これにより、特定のドメイン名が名前解決できない現象が徐々に増えていく注意喚起が出ています。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

さて、先週末の2019年2月1日にインターネットの世界ではDNSの回避策の機能を削除するということが起きています。

この機能削除の日を『DNS flag day』と言います。

今日はそれをお伝えします。

DNS flag day 以降の名前解決に問題が

まず、DNS（Domain name system）はインターネットにおいて重要なもので、これがないとウェブサイト（ホームページ）やメールの利用はできません。

そして、このDNSにはEDNS（Extension Mechanisms for DNS）という拡張機能があり、このEDNSの実装が正しくない、動作に不具合があるようなサーバなどに対しても名前解決ができるよう、回避策が実装されていました。

しかし、このような回避策を実装するという対応はDNSサーバの処理速度低下を招いたり、プログラムコードのメンテナンスや新規機能の実装を困難にさせたりする要因になっており、今回、それを改善するため、各種オープンソース実装をしている複数の組織が2019年2月1日以降にリリースされるDNSソフトウェアから『回避機能を取り除く』ことを発表したのです。

これによって何が起きるのか？

いくつかの現象が発生することが予想されていますが、その中の1つとして、正しくないEDNS実装のDNSサーバに対してEDNSを用いた通信ができなくなることにより、そのDNSサーバが提供するドメイン名に対して名前解決ができなくなる可能性がある。

つまり、ウェブサイト（ホームページ）の表示やメールの送受信が行えなくなることや、必要以上に遅延が発生する可能性があるということになります。

ただし、これは2019年2月1日（DNS flag day）を過ぎた時点で直ぐに何かが起きるわけではなく、新しいバージョンのDNSサーバの普及とともに徐々に増えていくとされています。

さて、この問題に対して自社や自店では何をすれば良いのか？

確認サイトが公開されていますので、自社や自店などのドメインを確認してみてください。

EDNS Compliance Tester

※　ドメイン名はwww.example.com等ではなく、example.comで確認してください。

その結果、『All OK』と出れば問題ありませんが、『The Following Tests Failed』と出てしまうようであれば問題があります。

その場合、契約しているサーバ会社などに確認をしてみると良いかもしれません。

これにより、あらゆるところに偽のメールが送りつけられるなどし、フィッシング詐欺などが多発しています。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

さて、皆さんもご存知の通り、送られてきたメールの差出人が『rakuten.co.jp』であったり、『apple.com』であったりし、件名や本文も本物にそっくりの状態で作られているために本物と勘違いしてしまう偽装メール。

こういったものを防ぐ手立てはないものでしょうか？

ドメイン偽装は防ぎようがないのか？

まず、ドメインを偽装するというのは簡単にできてしまいます。

そして、これを完全に防ぐことはできません。

そのため、大手企業はもちろんのこと、中小企業などにおいてもドメインの名前解決に用いられるDNSというものに対してそれなりのものが書かれていたりします。

それによって本物であることを認証させたりしているわけですが、正直なところ、メールを受け取る側においても意識をしない限り、実際のところは役に立たないことも多いです。

例えば、常日頃からIT系の業務に携わっている人であったりセキュリティ意識の高い人であれば、疑わしいメールが送られてきた瞬間にメールのヘッダ情報を確認したりします。

しかし、そうでない人はそこまでのことは行いませんし、ヘッダー情報を見てもわからないという人が大半です。

ではどうすれば良いのか？

１．業務上、メールのやりとりを行う相手先とは一定のルールを設ける

例えば、双方においてSPF認証は必須とし、メールサーバーにおいては認証していないものを隔離するか削除する措置を取るというのも1つの手でしょう。

２．社内においてマニュアルを作成し、全体に周知徹底を図る

３．一般の消費者に対して偽装メールが届いてしまった場合、ウェブ上で確認方法や注意喚起などのアナウンスを行う

ただし、３に関しては受信者からの問い合わせ連絡などがない限り大半の企業では把握していないことも多いかと思います。

それを早期に把握するため、DNSにDMARCというものを記述し、レポートが受け取れる状態にしておくことがお勧めです。

皆さん、こんにちは。

業務改善を行う業務コンサルタント、高橋です。

以前に一度DNSSECに関して触れたことがあります。

DNSSECを使えるなら使うべきという記事にて触れさせていただきました。

これをおさらいしておくと下記のようなことを行っています。

DNS応答の完全性検証

ドメインは、DNSというものにて名前の解決を行っています。

簡単には、住所のようなIPアドレスとドメインの紐づけを行っているようなものなのですが、そのDNSの応答は答えが正しいものかどうかのチェックを行っていません。

それにより、偽装された応答を紛れ込ませておいて偽サイトのサーバーへ誘導させてしまうことも起きています。

それを防ぐためにDNSSECというものを使い、ユーザーがWEBサイトを訪れようとした際に行われるDNS応答が正しいものであるかを鍵と署名をつけて返し、それらから守ったりします。

DNSSECの署名キー作成と設定

しかし、DNSSECというものでDNSを保護できることを知ったとしても、その作成から設定に至るまでの手順があまり知られていないように感じます。

そこでDNSSECの作成・設定手順を記載しておきます。

１．ウェブサイトを置いているホスティング会社にDNSSECの署名キー作成・発行依頼をします。

　　（例：お名前.comのサーバーを使っているのであればお名前.comへ依頼）

２．example.jp. 86400 IN DS 60485 5 1 (2BB183AF5F225…)といった感じのものが発行されます。　

３．２の内容をドメインを管理している指定事業者（お名前.comのようなところ）へ登録します。

基本的にはこの手順でDNSSECの設定は完了します。

ただし、１と３のそれぞれにおいてDNSSECの対応をしていることが前提になりますので、対応の可否は契約先に確認してみてください。

追伸：アルゴリズム番号は”8″か”10″（海外のように”13″の対応がまだなので）、ハッシュは”SHA-256″をお勧めします。