web-dev-qa-db-ja.com

ドメインからDNSSECサポートを削除する方法は？

組織は、ドメインに対してDNSSECをサポートしています。彼らはまた、鍵を管理する信頼できるネームサーバーとしてBIND9を実行しています。ただし、DNSSECを削除することが決定されました。 /var/lib/bind/priのキーマテリアルを削除してサーバーを再起動するだけで十分ですか、それともそれを取得するために実行する必要がある手順がありますか？

debianbinddnssec
8
qbi

いいえ、権限のあるネームサーバーでローカルに構成を削除するだけでは不十分です。

DNSSECは階層システムであり、チェーンオブトラストとは逆に DNSキャッシュポイズニング です。

[〜＃〜] dnssec [〜＃〜] は、DNSキャッシュポイズニングなどの 特定の攻撃 からインターネットを保護するために設計されました。これは、DNSの拡張セットであり、a）DNSデータのオリジン認証、b）データの整合性、c）認証された存在の拒否を提供します。

Chain of Trustの例：

  1. ゾーン自体は、プライマリ権限のあるネームサーバーの秘密キーで署名されています。 ns1.example.com.には、example.com. Aをexample.com. RRSIG Aで署名するための秘密鍵があります。
  2. example.com.の公開鍵は、com.の機関に送信および確認され、example.com. DS hashおよび対応するexample.com. RRSID DSにあり、秘密鍵で署名されています.com.の場合

  3. com.の公開鍵がroot権限に送信され、確認されました。これにより、com. DS hashおよび対応するcom. RRSID DSにそれが含まれます。 プライベートルートキーで署名、つまり.のキー、別名 ルートゾーントラストアンカー ：

    ルートキー署名キーは、ドメインネームシステムのDNSSECのトラストアンカーとして機能します。このトラストアンカーは、DNSデータの検証を容易にするためにDNSSEC対応のリゾルバーで構成されます。

DNSViz を使用すると、任意のドメインを適切に視覚化できます。また、構成エラーも検出します。

したがって、TLDを担当する機関にレジストラを介して連絡し、ドメインでDNSSECを無効にする必要があることを通知する必要があります。ネームサーバーからチェーンDSレコードを削除してDNSSECを無効にします。それ以外の場合、DNSSECは引き続き有効になり、権限のあるネームサーバーが不正なネームサーバーと見なされます。

17
Esa Jokinen