DNSSEC とは
DNS 回答の認証、信頼の連鎖、その制約を説明します。
DNSSEC は DNS データに電子署名を追加し、検証を行うリゾルバーが、回答が正当で通信途中に変更されていないことを確認できるようにします。正しく導入すれば DNS 回答の完全性を保護できます。DNS の問い合わせを暗号化したり、閲覧行動を隠したり、ウェブサイトの HTTPS の代わりになったりするものではありません。
検証の仕組み
署名されたゾーンは署名と DNSKEY データを公開します。信頼の連鎖は、通常、親ゾーンの DS レコードを通じて親から子へつながります。検証を行うリゾルバーは、署名された回答を受け入れる前にその連鎖を確認します。署名や接続が誤っていると、元の A や MX の値がもっともらしく見えても、検証に失敗することがあります。
このため、設定には登録事業者と DNS 事業者の両方が関係します。DNS 事業者がゾーンに署名し、親側の DS 情報が一致していなければなりません。事業者の変更後に古い DS レコードが残ると、検証するリゾルバーからドメインへ到達できないように見えることがあります。
DNSSEC で解決できないこと
DNSSEC は DNS データを認証しますが、回答が指すサーバーが安全であることや、ウェブの内容が正しいことを証明しません。また、登録事業者のアカウントを保護するものでもありません。HTTPS 証明書や通信の暗号化は、別の問題を扱います。DNS over HTTPS はリゾルバーまでの接続を暗号化できますが、それだけでは署名された DNS の連鎖を検証できません。
署名されていないドメインが侵害されているとは限りません。DNSSEC を有効にするかどうかは、事業者の対応状況と、鍵や委任を正しく継続管理できるかを考えて判断します。
実践的な確認
有効にするときは DNS 事業者の手順に従い、一致する DS を登録事業者で公開し、旧事業者を停止する前に検証を試します。ネームサーバーや鍵を変更した後は、DS と DNSKEY が引き続き一致することを確認してください。/whois で表示可能な DNS の状況を確認できますが、信頼の連鎖を確かめるには専用の検証リゾルバーや診断ツールを使用します。DNS レコードのガイドでは、関連するレコード種類を文脈とともに説明しています。
参考資料
検索ツールを試す
ドメインの登録情報や DNS レコードを確認します。
検索する