LinuxにおけるDNSSEC設定：SSLだけでは防げないウェブサイトの「乗っ取り」を阻止する – ITFROMZERO

Table of Contents

なぜSSLだけではウェブサイトの保護に不十分なのか？

多くのネットワーク管理者は、HTTPS（SSL/TLS）を導入しさえすればウェブサイトは完全に安全だと考えがちです。しかし、大規模システムのセキュリティ監査を何度も行ってきた経験から、私は一つの致命的な脆弱性に気づきました。それがDNSです。SSLはブラウザとサーバー間のデータを暗号化しますが、ユーザーが最初から偽のサーバーに誘導されてしまった場合には役に立ちません。

次のようなシナリオを想像してみてください。攻撃者がDNSスプーフィングを実行し、itfromzero.comへのアクセスリクエストを傍受して、フィッシングサイトのIPを返したとします。ユーザーのブラウザはそのまま偽のサイトに接続してしまいます。さらに、キャッシュポイズニング攻撃によって中間DNSサーバーのキャッシュが汚染されると、わずか数分で数百万人のユーザーが誤った方向に誘導される可能性があります。ここで重要な役割を果たすのがDNSSEC（Domain Name System Security Extensions）です。

DNSSECは、すべてのDNSレコードに偽造不可能な電子署名を付与するようなものです。これにより、ユーザーに届く応答データが改ざんされておらず、100%真正であることを保証します。

DNSSECの仕組みとは？

従来のDNSは、検証なしにあらゆる応答を受け入れてしまうため、非常に「無防備」です。DNSSECは公開鍵基盤（PKI）を利用してこれを解決します。盲目的に信頼するのではなく、コンピュータが受信した各レコードに対して数学的な証明を要求します。

DNSSECを有効にすると、システムは主に2種類の鍵を使用してセキュリティを確保します：

ZSK (Zone Signing Key): A、MX、CNAMEなどのレコードに直接署名するために使用されます。通常、この鍵の長さは2048ビットです。
KSK (Key Signing Key): ZSK自体に署名するために使用され、自ドメインからルートサーバー（Root Servers）に至る「信頼の連鎖（Chain of Trust）」を構築します。この鍵はより強力な4096ビットが一般的です。

BIND9によるDNSSEC導入の実践ステップ

このガイドでは、DNSサーバーのデファクトスタンダードであるBIND9を使用し、Ubuntu Server上での操作を解説します。ここでは、lab.itfromzero.vnというドメインのゾーンを保護すると仮定します。

ステップ1：必要なツールのインストール

まず、システムを更新し、最新のBIND9パッケージをインストールします。

sudo apt update && sudo apt install bind9 bind9utils -y

鍵をより専門的に管理するために、専用のディレクトリを作成し、bindユーザーに権限を付与します。

sudo mkdir /etc/bind/keys
sudo chown bind:bind /etc/bind/keys

ステップ2：DNSSEC機能の有効化

デフォルトではBIND9の検証機能が有効になっていない場合があります。設定ファイルを開いて確認しましょう。

sudo nano /etc/bind/named.conf.options

以下の行を探し、無効化されていないことを確認します：

dnssec-validation auto;
auth-nxdomain no;
listen-on-v6 { any; };

ステップ3：ZSKおよびKSKキーペアの作成

次に、ドメインのための「印鑑」を作成します。keysディレクトリに移動します：

cd /etc/bind/keys

RSASHA256アルゴリズムを使用してZSK（Zone Signing Key）を作成します：

sudo dnssec-keygen -a RSASHA256 -b 2048 -n ZONE lab.itfromzero.vn

続いて、より強力なKSK（Key Signing Key）を作成します：

sudo dnssec-keygen -a RSASHA256 -b 4096 -f KSK -n ZONE lab.itfromzero.vn

これらのコマンドを実行すると、4つのファイルが生成されます。.privateファイルは非常に慎重に保管してください。この鍵が漏洩すると、攻撃者があなたに代わって偽のレコードに署名できてしまいます。

ステップ4：ゾーンの署名と公開

作成した公開鍵を元のゾーン設定ファイル（例：/etc/bind/db.lab.itfromzero.vn）に組み込みます。先ほど作成した.keyファイルへのパスを指定する$INCLUDE行を追加してください。

その後、以下のコマンドを使用してゾーン全体に署名します：

sudo dnssec-signzone -A -3 $(head -c 1000 /dev/urandom | sha1sum | cut -b 1-16) -N INCREMENT -o lab.itfromzero.vn -t /etc/bind/db.lab.itfromzero.vn /etc/bind/keys/Klab.itfromzero.vn*.private

このコマンドでは、NSEC3（-3パラメータ）を使用して、ハッカーがサブドメインを列挙する「ゾーンウォーキング（Zone Walking）」という手法を防止しています。結果として、db.lab.itfromzero.vn.signedというファイルが生成されます。

ステップ5：新しい設定の適用

BINDが署名済みファイルを読み込むように、/etc/bind/named.conf.localファイルを変更します：

zone "lab.itfromzero.vn" {
    type master;
    file "/etc/bind/db.lab.itfromzero.vn.signed";
};

サービスを再起動して完了です：sudo systemctl restart bind9

DSレコードによる信頼の連鎖の完了

設定が終わったのにチェックでエラーが出るという声をよく聞きます。その原因は、ドメインレジストラ（Registrar）に鍵を報告していないことです。

ゾーンを署名すると、dsset-lab.itfromzero.vn.というファイルが生成されます。このファイル内のDS (Delegation Signer)レコードの内容をコピーし、Mắt Bão、Cloudflare、GoDaddyなどの管理画面にあるDNSSEC管理項目に貼り付ける必要があります。このステップは、役所で自分の署名を実印登録するような手続きだと考えてください。

確認とメンテナンス

最も手軽な確認方法は、dig +dnssec lab.itfromzero.vnコマンドを使用することです。RRSIGレコードが表示されれば成功です。視覚的に確認したい場合は、DNSViz.netにアクセスしてみてください。図がすべて緑色であれば、システムは安全です。

重要な注意点： DNSSECの署名には有効期限（通常30日）があります。署名を更新せずに期限切れになると、ウェブサイトはブラウザによって完全にブロックされます。このリスクを避けるために、毎月自動的にdnssec-signzoneコマンドを実行するcronjobを設定しておくことを強くお勧めします。

セキュリティは継続的なプロセスです。DNSSECはウェブサイトの速度を上げるものではありませんが、ユーザーが「偽の住所」に迷い込むのを防ぐための不可欠な盾となります。