DNSサーバーセキュリティソリューション

多くの企業で使用されるドメインネームシステム（DNS）サーバーは、固有のセキュリティを備えていないために繰り返し侵害され、キャッシュポイズニング、通話のリダイレクト、中間者攻撃によるパスワード盗用、メールの再ルーティング、サービス拒否攻撃などの悪意のある攻撃を受けています。

ドメインネームシステムセキュリティ拡張（DNSSEC）は、DNSレコードにデジタル署名することでDNSサーバーの階層を保護し、受信したメッセージと送信されたメッセージが同一のものであることを保証します。

DNSサーバーのセキュリティを確保するには、強力な鍵の保護が必要

DNSSECは実質的に公開鍵基盤（PKI）を実装することで、DNSサーバー間の安全な通信方法を確立します。PKIとして機能するDNSSECは、鍵の生成、署名、鍵管理などの新しいプロセスを要求します。しかし、DNSSECが導入するリソースレコードは暗号化されていないファイルに保持されるため、DNSSECがもたらすメリットを必ずしも得られるとは限りません。

DNSSECのインフラストラクチャ全体が完全かつ包括的に保護されている場合にのみ、組織はDNSSECがもたらす利点を活用することができます。これを実現するには、以下を実行する機能が必要となります。

• セキュアなデジタル署名: DNSサービスの有効性を保証するために、DNSメッセージにデジタルで署名を行う必要があります。
• アクセスの制御: 企業は、承認された顧客と内部スタッフのみが機密のアプリケーションとデータにアクセスできるようにする必要があります。
• アプリケーションの整合性を維持: 整合性を確保し、不正なアプリケーションの実行を禁止するために、関連するすべてのアプリケーションコードとプロセスを保護する必要があります。
• 大量のデータ処理に対応するための拡張性: DNSの更新は頻繁に行われるため、DNSSECのインフラストラクチャは、常にタイムリーな処理を保証する性能と拡張性を備えている必要があります。

ハードウェアセキュリティモジュール（HSM）によるDNSサーバーの安全性の確保

DNSSECはDNSサービスの有効性を保証するために、公開鍵暗号を使用してDNSメッセージにデジタルで署名します。必要なセキュリティを実現するには、秘密署名鍵をしっかりと保護することが不可欠です。秘密署名鍵とそれに付随するデジタル証明書が危険に晒されると、DNS階層の信頼チェーンが壊れ、システム全体が陳腐化します。これを防止するために、ハードウェアセキュリティモジュール（HSM）が重要な役割を果たします。

HSMは目的に特化したシステムで、デジタル署名の要となる暗号鍵と暗号処理を物理的かつ論理的に保護します。HSMは次の機能をサポートします。

• 鍵の生成、配付、ローテーション、保管、失効、アーカイブ化を含むライフサイクル管理。
• 暗号処理。アプリケーションサーバーから暗号処理を分離し、オフロードするという2つの利点があります。

HSMは、強化された集中管理型デバイスに暗号鍵を格納することにより、暗号鍵を安全性の低い異なるプラットフォームに格納することで生じるリスクを排除することができます。さらに、この集中型管理により、セキュリティ管理が大幅に合理化されます。

タレスのDNSSEC向けHSM:

• DNSSECのトラストアンカーシステムをサポート
• DNSの基点と階層全体に対する鍵の保護 - ゾーン署名鍵（ZSK）と鍵署名鍵（KSK）
• 強力な暗号化エンジンにより、DNSサーバーから暗号処理の負担を軽減
• 種類豊富なHSMが揃っているため、様々なDNSSECの要件への対応が可能
• PKCS#11、Java、MS CAPIを含む標準API
• FIPS認証およびコモンクライテリア認証を受けたモデルが利用可能
• OpenDNSSEC、BIND 9.7、FreeBSDなどの主要なDNSプラットフォームとの統合が可能