アクセス制御機能付DNSの実装と評価
6
0
0
全文
(2) ると考えられる。また、年々増加しているサービス妨. れ に よ り 、DNS メ ッ セ ー ジ に 含 ま れ る リ ソ ー ス レ コ ー. 害 攻 撃 （ DoS 攻 撃 ） で は 、 送 信 元 を 偽 造 し た 大 量 の パ. ド だ け で な く 、DNS ヘ ッ ダ も 暗 号 化 さ れ る た め 、返 却. ケットを送りつけることにより、ターゲットのネット. したエラーの種類やリソースレコードの数なども第三. ワークやホストに負荷をかけることを目的としており、. 者に知られないようにすることが可能となる。. このような攻撃はホストやファイアウォールでのアク. ま た 、 TENC で 使 用 す る 暗 号 化 用 の 秘 密 鍵 を AC ク. セ ス 制 御 で は 防 ぐ こ と が で き な い 。し か し 、DNS の 名. ラ イ ア ン ト と AC ネ ー ム サ ー バ と の 間 で 共 有 す る た め. 前 解 決 の 段 階 で 、ア ク セ ス を 許 可 す る ユ ー ザ の み に IP. に 、も と も と は 、TSIG で 使 用 す る 認 証 鍵 を 共 有 す る た. アドレスを開示するようなアクセス制御を行うことが. め に 標 準 化 さ れ た 鍵 交 換 の 仕 組 み で あ る TKEY. できれば、これらの攻撃をある程度防ぐことができる. （ Transaction Key ） [7] を 拡 張 し た も の を 使 用 す る 。. と考えられる。. TKEY で は 、TSIG で 使 用 す る MAC ア ル ゴ リ ズ ム の ID. そ こ で 、著 者 ら は 、DNS に お け る ア ク セ ス 制 御 を 実. を指定することで、生成する認証鍵の種類を相手に通. 現する仕組みとして、アクセス制御対応ネームサーバ. 知する仕様となっている。そこで、このアルゴリズム. （ AC ネ ー ム サ ー バ ） が ア ク セ ス 制 御 対 応 ク ラ イ ア ン. ID に 、TENC で 使 用 す る 共 通 鍵 暗 号 ア ル ゴ リ ズ ム の ID. ト （ AC ク ラ イ ア ン ト ） 上 の ユ ー ザ を SIG(0)の 仕 組 み. を 追 加 す る こ と に よ っ て 、AC ク ラ イ ア ン ト と AC ネ ー. を利用して認証し、その認証結果に従ってアクセス制. ムサーバとの間で暗号化用の秘密鍵を共有することが. 御 を 行 う 方 式 を 提 案 し て い る [6]。本 稿 で は 、提 案 し た. できるようにする。. 方式をプロトタイプとして実装し、主に処理性能につ. TENCおよびSIG(0)を適用後. いて評価した結果を報告する。. 新DNSヘッダ オリジナルのDNSメッセージ. 2. DNS ア ク セ ス 制 御 方 式. アルゴリズムID 鍵IDなど. DNSヘッダ. 最 初 に 、こ れ ま で に 提 案 し た DNS に お け る ア ク セ ス 制御方式について説明する。. 暗号化. データ. 暗号化された DNSメッセージ. 2.1. DNS アクセス制 御 の考 え方. 署名. （ 1） ア ク セ ス 元 の 識 別 お よ び 認 証 本 方 式 で は 、AC ネ ー ム サ ー バ が 、AC ク ラ イ ア ン ト. TENC RR. SIG(0) RR. 図 1 TENC による DNS メッセージの暗 号 化. ま た は AC ク ラ イ ア ン ト 上 の ユ ー ザ を 識 別 お よ び 認 証 す る た め に 、 SIG(0)を 使 用 す る 。 DNS メ ッ セ ー ジ に 付. （ 3） ア ク セ ス 制 御 リ ス ト の 記 述. 加 さ れ る SIG(0)リ ソ ー ス レ コ ー ド （ SIG(0) RR） に は 、. ア ク セ ス 制 御 リ ス ト （ ACL） は 、 同 じ ゾ ー ン を 管 理. 問い合わせ元ユーザが生成したデジタル署名とドメイ. する複数のネームサーバで共有されるように、ゾーン. ン 名 形 式 の 署 名 者 ID が 含 ま れ て い る た め 、 ネ ー ム サ. デ ー タ 内 に TXT レ コ ー ド を 使 用 し て 記 述 す る 。こ れ に. ー バ は 、 署 名 者 ID を 基 に 問 い 合 わ せ 元 ユ ー ザ を 識 別. よ り 、ゾ ー ン 転 送 時 に 自 動 的 に ACL も 転 送 さ れ る よ う. し、署名を検証することでアクセス元を認証すること. に な る 。こ の TXT レ コ ー ド で は 、以 下 の よ う に 、 「 ACL」. が で き る 。SIG(0)で は 、通 常 は 、署 名 者 ID と し て FQDN. という文字に続いて、対象となるリソースレコードの. （ Fully Qualified Domain Name）で 記 述 さ れ た ホ ス ト 名. タ イ プ 、 識 別 子 （ SIG(0) RR の 署 名 者 ID で 使 用 す る. を 使 用 す る が 、 ユ ー ザ ID を 「 baba._user.example.com」. FQDN） を 記 述 す る こ と で 、 ア ク セ ス を 許 可 す る ホ ス. のように表記することで、リソースレコードへのアク. トまたはユーザをリソースレコード毎に記述する。. セスをユーザ単位で制御できるようにする。 www （ 2） デ ー タ の 機 密 性 確 保 DNS メ ッ セ ー ジ を 暗 号 化 す る た め の 仕 組 み と し て 、. IN. A. 192.168.0.30. IN. TXT. “ACL A baba._user.example.com.”. IN. TXT. “ACL A kusaka._user.example.com.”. 著 者 ら が 新 た に 提 案 し た TENC リ ソ ー ス レ コ ー ド （ TENC RR： Transaction Encryption Resource Record）. た だ し 、 DNS の ツ リ ー 構 造 を た ど る た め に 必 要 な. を 使 用 す る 。TENC で は 、オ リ ジ ナ ル の DNS メ ッ セ ー. SOA、NS、SIG、NXT、KEY、DS の 各 リ ソ ー ス レ コ ー. ジ全体を、共通鍵暗号を使用して暗号化し、暗号化し. ドに対してはアクセス制御を行わず、すべての問い合. た メ ッ セ ー ジ を 新 た に 作 成 し た DNS メ ッ セ ー ジ 中 の. わせに対して回答することとする。. TENC RR の デ ー タ 部 に 挿 入 し て 送 信 す る （ 図 1）。 こ. −100−.
(3) 2.2. プロトコルシーケンス. る署名を検証する。署名の検証に成功した場合は、該. （ 1） 通 常 名 前 解 決. 当 す る リ ソ ー ス レ コ ー ド の ACL を 参 照 し 、そ の 署 名 者. AC ク ラ イ ア ン ト は 、 最 初 に ロ ー カ ル ネ ー ム サ ー バ. に対してリソースレコードの内容を返却して良いかど. 経由で通常のクライアントと同様の名前解決処理を行. う か を 判 断 す る 。ア ク セ ス が 許 可 さ れ て い る 場 合 に は 、. う。アクセス先のリソースレコードがアクセス制御さ. 回 答 に AC ネ ー ム サ ー バ の 秘 密 鍵 で 署 名 を 施 し た. れていない場合は、ここで回答が返却される。. SIG(0) RR を 付 加 し た DNS メ ッ セ ー ジ を AC ク ラ イ ア ン ト に 送 信 す る 。AC ク ラ イ ア ン ト で は 、受 信 し た DNS メ ッ セ ー ジ に 付 加 さ れ て い る 署 名 を 、 AC ネ ー ム サ ー. （ 2） ア ク セ ス 先 AC ネ ー ム サ ー バ の 探 索 通常名前解決で回答が得られなかった場合は、アク. バの公開鍵を使用して検証する。. セス制御対応名前解決を行う。アクセス制御対応名前. DNS メ ッ セ ー ジ を 暗 号 化 し な い 場 合 は 、鍵 交 換 フ ェ. 解 決 で は 、AC ク ラ イ ア ン ト は 、AC ネ ー ム サ ー バ に 直. ー ズ は 存 在 せ ず 、 問 い 合 わ せ メ ッ セ ー ジ に SIG(0) RR. 接 問 い 合 わ せ を 発 行 す る た め 、 最 初 に ア ク セ ス 先 AC. を 付 加 し た も の を 、AC ネ ー ム サ ー バ に 直 接 送 信 す る 。. ネームサーバの探索を行う。 ア ク セ ス 先 AC ネ ー ム サ ー バ の 探 索 処 理 は 図 2 の よ NS レ コ ー ド を ロ ー カ ル ネ ー ム サ ー バ 経 由 で 問 い 合 わ せ 、 ゾ ー ン を 管 理 す る AC ネ ー ム サ ー バ の ホ ス ト 名 を 取 得 す る 。 そ し て 、 そ の AC ネ ー ム サ ー バ の ホ ス ト 名 に対する A レコードをさらに問い合わせることにより、. 暗号化アルゴリズムの指定、鍵交換 TKEY＋SIG(0) （サーバの秘密鍵で署名） 暗号化された問い合わせ TENC＋SIG(0) （クライアントの秘密鍵で署名）. ＡＣネームサーバ. ＡＣクライアント. う に な る 。 AC ク ラ イ ア ン ト は 、 ア ク セ ス 先 ゾ ー ン の. 暗号化アルゴリズムの指定、鍵交換 TKEY＋SIG(0) （クライアントの秘密鍵で署名）. 暗号化された回答 TENC＋SIG(0) （サーバの秘密鍵で署名）. ア ク セ ス 先 ゾ ー ン を 管 理 し て い る AC ネ ー ム サ ー バ の IP ア ド レ ス を 取 得 す る 。. アクセス先ゾーンを管理する ACネームサーバのホスト名 ACネームサーバのAレコードの 問い合わせ アクセス先ゾーンを管理する ACネームサーバのIPアドレス. 図 3 暗 号 化 を有 効 にした場 合 のプロトコルシーケンス. ローカルネームサーバ. ＡＣクライアント. アクセス先ゾーンのNSレコードの 問い合わせ. 3. ア ク セ ス 制 御 機 能 付 DNS の 実 装 こ れ ま で に 述 べ た AC ネ ー ム サ ー バ お よ び AC ク ラ イアントの機能を、プロトタイプとして実装した。. 3.1. AC ネームサーバの実 装 AC ネ ー ム サ ー バ 機 能 は 、 BIND（ BIND 9.2.1） を 改 造 す る こ と で 実 現 し た 。BIND に は 、SIG(0)が 付 加 さ れ. 図 2 AC ネームサーバの探 索 シーケンス. た問い合わせを受信し、検証する機能が実装されてい る が 、 SIG(0)を 付 加 し た 回 答 を 送 出 す る 機 能 は 実 装 さ. （ 3） ア ク セ ス 制 御 対 応 名 前 解 決. れ て い な い 。 こ の た め 、 BIND に 、 回 答 へ の SIG(0)付. ア ク セ ス 先 ゾ ー ン を 管 理 す る AC ネ ー ム サ ー バ の IP. 加処理を追加した。そして、暗号化鍵を生成できるよ. ア ド レ ス を 取 得 し た ら 、AC ク ラ イ ア ン ト は 、AC ネ ー. う に 、 BIND の TKEY 処 理 を 改 造 し 、 さ ら に TENC 処. ムサーバに対して、ローカルネームサーバを介さずに. 理 を 追 加 し た 。 TENC で 使 用 す る 暗 号 化 処 理 は. 直接問い合わせを行う。. OpenSSL 0.9.6b を 利 用 し た 。. DNS メ ッ セ ー ジ を 暗 号 化 す る 場 合 は 、図 3 の よ う に 、. TENC で 必 要 と な る 暗 号 化 ア ル ゴ リ ズ ム や SIG(0)で. 最 初 に AC ク ラ イ ア ン ト と AC ネ ー ム サ ー バ と の 間 で. 必 要 と な る 秘 密 鍵 は 、 BIND の 設 定 フ ァ イ ル で あ る. TKEY に よ る 暗 号 化 用 の 秘 密 鍵 の セ ッ ト ア ッ プ を 行 う 。. named.conf で 指 定 で き る よ う に し た 。. そ し て 、TKEY に よ っ て 生 成 さ れ た 秘 密 鍵 を 使 用 し て 、 DNS メ ッ セ ー ジ を 暗 号 化 し 、 そ の 内 容 を TENC RR に. 3.2. AC クライアントの実 装. 挿 入 し て 送 信 す る 。こ こ で 交 換 さ れ る メ ッ セ ー ジ に は 、. AC ク ラ イ ア ン ト 機 能 は 、 既 存 の ア プ リ ケ ー シ ョ ン. す べ て 、SIG(0) RR を 付 加 し て 認 証 を 行 う 。AC ネ ー ム. を変更することなく、アクセス制御機能を利用できる. サ ー バ で は 、SIG(0) RR の 署 名 者 ID に 対 応 し た 公 開 鍵. よ う に す る た め に 、共 通 ラ イ ブ ラ リ で あ る glibc（ glibc. を 使 用 し て 、受 信 し た DNS メ ッ セ ー ジ に 付 加 さ れ て い. 2.3.2） 上 に 実 装 し た 。 ま た 、 TENC で 使 用 す る 暗 号 化. −101−.
(4) ま た 、 暗 号 化 を 有 効 に し た 場 合 の AC ネ ー ム サ ー バ の. 処 理 は OpenSSL 0.9.6b を 利 用 し た 。 SIG(0)署 名 の 生 成 に 使 用 す る ユ ー ザ の 秘 密 鍵 は 、 別 のユーザがアクセスできないように、各ユーザのホー. 各フェーズの処理時間とメモリ使用量もあわせて測定 した。. ム デ ィ レ ク ト リ の .sdns デ ィ レ ク ト リ 配 下 に 置 く よ う にした。. 4.2. 評 価 環 境. 3.3. 公 開 鍵 の管 理 方 式. ームサーバには、アクセス制御対応のものと非対応の. 評 価 環 境 を 図 4 に 示 す 。ク ラ イ ア ン ト と sdns.com ネ 本 方 式 で は 、AC ク ラ イ ア ン ト お よ び AC ネ ー ム サ ー. も の を 用 意 し 、 そ れ ぞ れ の ク ラ イ ア ン ト か ら sdns.com. バ 間 で 交 換 さ れ る メ ッ セ ー ジ に 付 加 さ れ る SIG(0)署 名. ネ ー ム サ ー バ の 管 理 す る ”www.sdns.dom”の A レ コ ー ド. を検証するために、相手の公開鍵が必要となる。この. に対して名前解決を行った。この際に、クライアント. 公開鍵は、事前に取得して保持しておいてもよいが、. ユ ー ザ お よ び サ ー バ の 公 開 鍵 は 、そ れ ぞ れ 、home.dom. それでは、スケーラビリティの面で問題となる。そこ. ネ ー ム サ ー バ お よ び sdns.dom ネ ー ム サ ー バ に KEY レ. で 、 本 実 装 で は 、 ク ラ イ ア ン ト ユ ー ザ お よ び AC ネ ー. コードとして登録しておいた。. ム サ ー バ の 公 開 鍵 を あ ら か じ め KEY レ コ ー ド と し て. インターネット側. DNS に 登 録 し て お き 、 SIG(0)署 名 の 検 証 時 に 、 SIG(0). ルート ネームサーバ. に 含 ま れ て い る ID か ら KEY レ コ ー ド を DNS に 問 い 合. dom ネームサーバ. sdns.dom ネームサーバ. わ せ る こ と で 、公 開 鍵 を 動 的 に 取 得 で き る よ う に し た 。. 3.4. AC ネームサーバの探 索 方 式 ア ク セ ス 先 AC ネ ー ム サ ー バ の 探 索 処 理 で は 、AC ク. PWR. 10M100M ACT ACT. 1 2 3 4 5 6 7 8 9 101112. 1. 2. 3. 4. 5. 6. 7. 8. 9. 10. 11. 12. 13. 14. 15. 16. 17. 18. 19. 20. 21. 22. 23. 24. UPLINK. COLCOL SWITCH 131415161718192021222324. 10Mbpsシェアドハブ. ラ イ ア ン ト か ら 、 ア ク セ ス 先 ゾ ー ン に 対 す る NS レ コ ー ド を DNS に 問 い 合 わ せ る 。し か し 、実 際 は 、名 前 解 決しようとしているドメイン名から、そのリソースレ コードを管理しているゾーンの名称を割り出すことは. クライアント home.domネームサーバ （ローカルネームサーバ） イントラネット側(home.domドメイン). 難 し い 。 例 え ば 、 www.foo.example.com の A レ コ ー ド は 、foo.example.com ゾ ー ン で 管 理 さ れ て い る の か 、あ る い は 、 example.com ゾ ー ン で 管 理 さ れ て い る の か を. 図 4 評価環境. AC ク ラ イ ア ン ト 側 で 判 別 す る こ と は で き な い 。 そ こ で、本実装では、問い合わせ先ドメイン名のラベルを. 評価に使用したマシンのスペックは表 1 のとおりで. 左 か ら ひ と つ ず つ 削 っ て 、 そ の NS レ コ ー ド を 問 い 合. あ る 。な お 、ル ー ト ネ ー ム サ ー バ 、dom ネ ー ム サ ー バ 、. わ せ る よ う に し た 。つ ま り 、www.foo.example.com の A. home.dom ネ ー ム サ ー バ（ ロ ー カ ル ネ ー ム サ ー バ ）に は 、. レコードを問い合わせた場合は、最初に、ラベルをひ. 改 造 を 施 し て い な い 、 通 常 の BIND 9.2.1 を 使 用 し た 。. と つ だ け 削 っ た foo.example.com に 対 し て NS レ コ ー ド を問い合わせ、エラーが返ってきた場合は、ラベルを さ ら に ひ と つ 削 っ た example.com に 対 し て NS レ コ ー ドを問い合わせるようにした。. 表 1 評 価 用 マシンのスペック マシン DELL OptiPlex GX260. 4. 評 価. CPU Intel Pentium 4 2.80GHz. メモリ 1024MB. OS Red Hat Linux 9. ま た 、署 名 ア ル ゴ リ ズ ム に は 768 ビ ッ ト の DSA、デ. 実装したプロトタイプを使用して、アクセス制御に. ー タ の 暗 号 化 ア ル ゴ リ ズ ム に は 3DES-CBC 、 DH. 関わる処理時間およびメモリ使用量について測定した。. （ Diffie-Hellman）鍵 に は 768 ビ ッ ト の も の を 使 用 し た 。 本 来 は 、署 名 鍵 お よ び DH 鍵 の 長 さ は 1024 ビ ッ ト 以 上. 4.1. 評 価 方 法. の も の を 使 用 す る べ き で あ る が 、 DNS メ ッ セ ー ジ を. ACL を 除 い た リ ソ ー ス レ コ ー ド 数 お よ び 名 前 解 決. UDP で 送 信 す る 際 の 512 バ イ ト の 限 界 を 超 え て し ま う. を 行 う 対 象 の リ ソ ー ス レ コ ー ド に 対 す る ACL 数 を 変. た め 、こ れ ら の 鍵 の 長 さ を 768 ビ ッ ト と し た 。こ の 512. 化させて名前解決時間を測定した。測定は、暗号化を. バイトの限界は、クライアントとサーバの両方で. 有 効 に し た 場 合 と 無 効 に し た 場 合 に 分 け て 10 回 ず つ. EDNS0 を サ ポ ー ト す る こ と で 解 決 す る こ と が 可 能 で. 行い、最大値および最小値を除いて平均を算出した。. あるが、今回のプロトタイプでは対応していない。. −102−.
(5) が、それ以外の処理には変化が見られなかった。. 4.3. 評 価 結 果 ACL 数 を 5 で 固 定 し 、ACL を 除 い た リ ソ ー ス レ コ ー. 表 3 AC ネームサーバでの処 理 時 間. ド数を変化させた場合の名前解決時間は、図 5 のグラ. 処理内容 処 理 時 間 （秒 ） 通 常 名 前 解 決 フェーズ Aレコード回 答 処 理 0.001～0.003 （アクセス制 御 判 定 処 理 ） （ACL=1～100） ACネームサーバ探 索 フェーズ 0.001 NSレコード回 答 処 理 0.001 Aレコード回 答 処 理 鍵 交 換 フェーズ 0.027 ユーザ公 開 鍵 取 得 処 理 0.002 リクエストSIG(0)検 証 処 理 0.007 DH処 理 および鍵 生 成 処 理 0.002 レスポンスSIG(0)署 名 処 理 アクセス制 御 対 応 名 前 解 決 フェーズ 0.002 クエリSIG(0)検 証 処 理 0.001 クエリ復 号 化 処 理 Aレコード回 答 処 理 0.001～0.003 （アクセス制 御 判 定 処 理 ） （ACL=1～100） 0.001 レスポンス暗 号 化 処 理. フのようになった。リソースレコード数を変化させて も名前解決時間にはほとんど影響がなく、暗号化を無 効 に し て い る 場 合 は 約 0.09 秒 、暗 号 化 を 有 効 に し て い る 場 合 は 約 0.13 秒 で あ っ た 。 0.16 AC ク ラ イ ア ン ト （ 暗 号 化 有 効 ）. 名前解決時間（秒）. 0.14 0.12. AC ク ラ イ ア ン ト （ 暗 号 化 無 効 ）. 0.1 0.08 0.06 0.04. 通常クライアント. 0.02 0 0. 200. 400. 600. 800. 1000. リソースレコード数（ACL数=５）. 図 5 リソースレコード数 と名 前 解 決 時 間 の関 係. レスポンスSIG(0)署 名 処 理. 0.002. 計. 0.048～0.052. AC ネ ー ム サ ー バ の メ モ リ 使 用 量 に つ い て は 、 ACL の 数 で は な く 、ACL を 含 ん だ 総 リ ソ ー ス レ コ ー ド 数 が. ま た 、 ACL を 除 い た リ ソ ー ス レ コ ー ド 数 を 50 で 固. 影 響 し た 。ACL を 含 ん だ 総 リ ソ ー ス レ コ ー ド 数 を 変 化. 定 し 、ACL 数 を 変 化 さ せ た 場 合 の 名 前 解 決 時 間 は 、図. させた場合のメモリ使用量の変化は図 7 のようになっ. 6 の グ ラ フ の よ う に な っ た 。 ACL 数 が 増 え る と と も に. た。. 名前解決時間もやや増加したが、同一のアクセス制御. メモ リ使 用 量 （Kbyte）. 対 象 リ ソ ー ス レ コ ー ド に ACL を 100 付 与 し た 場 合 で も 、 暗 号 化 を 無 効 に し て い る 場 合 で 0.10 秒 未 満 、暗 号 化 を 有 効 に し て い る 場 合 で 0.14 秒 未 満 で あ っ た 。. 0.16 AC ク ラ イ ア ン ト （ 暗 号 化 有 効 ）. 名前解決時間（秒）. 0.14 0.12. AC ク ラ イ ア ン ト （ 暗 号 化 無 効 ）. 0.1. 1780 1760 1740 1720 1700 1680 1660 0. 0.08 0.06. 200 400 600 800 総リソースレコード数（ACL含む）. 1000. 図 7 総 リソースレコード数 とメモリ使 用 量 の関 係. 0.04 0.02. 通常クライアント. 5. 考 察. 0 0. 20 40 60 80 ACL数（リソースレコード数=50）. 100. 5.1. 名 前 解 決 時 間 評 価 結 果 か ら 、 名 前 解 決 時 間 は 、 AC ネ ー ム サ ー バ に登録されているリソースレコード数を増加させても. 図 6 ACL 数 と名 前 解 決 時 間 の関 係. ほ と ん ど 影 響 が な い こ と が わ か っ た 。し か し 、ACL の. ま た 、 暗 号 化 を 有 効 に し た 場 合 の AC ネ ー ム サ ー バ の各フェーズの処理時間の平均は表 3 のようになった。 ACL 数 を 変 化 さ せ た 場 合 は 、通 常 名 前 解 決 フ ェ ー ズ の A レコード回答処理とアクセス制御対応名前解決フェ ーズの A レコード回答処理で処理時間に変化があった. 数を増加させた場合には、名前解決時間がわずかであ る が 増 加 し た 。こ れ は 、ア ク セ ス 元 の ユ ー ザ 名 と ACL 中のユーザ名を比較する処理に時間がかかっているこ とが主な原因である。ただし、暗号化を有効にし、あ る リ ソ ー ス レ コ ー ド に 対 し て 100 の ACL を 付 与 し た 場 合 で も 、名 前 解 決 時 間 は 0.14 秒 未 満 で あ り 、こ の 程 度. −103−.
(6) であれば、名前解決を行う実際のアプリケーションの. バでは、3 クエリ分の処理が余分に生じてしまう。こ. 利用への影響はないと考えられる。. れは、既存のローカルネームサーバが対応できるよう に、アクセス制御対象のリソースレコードに通常問い 合わせを行った場合の回答として、アクセス制御用の. 5.2. AC ネームサーバの性 能 要 件 暗 号 化 を 有 効 に し た 場 合 の AC ネ ー ム サ ー バ で の 処. 専 用 の エ ラ ー コ ー ド で は な く 、 既 存 の 「 Non-Existent. 理 時 間 の 合 計 は 、ACL 数 を 1 か ら 100 ま で 変 化 さ せ た. Domain」エ ラ ー を 返 す よ う に し て い る た め で あ る 。こ. 場 合 で 、0.048～ 0.052 秒 と な っ た 。た だ し 、AC ネ ー ム. れ に よ り 、 AC ク ラ イ ア ン ト は 、 存 在 し な い リ ソ ー ス. サーバのユーザ公開鍵取得処理の中には、外部ネーム. レコードの場合でも、アクセス制御されているリソー. サーバからの返答を待っている時間も含まれているた. スレコードの場合と同様の処理をしてしまう。この問. め 、実 際 に CPU が 動 作 し て い る 時 間 は 、1 ク エ リ あ た. 題 に よ る 影 響 は 小 さ い も の で あ る が 、実 用 化 の 際 に は 、. り 0.024～ 0.028 秒 程 度 で あ る と 考 え ら れ る 。 つ ま り 、. 新たに専用のエラーコードを定義し、ローカルネーム. 今 回 の 評 価 で 使 用 し た ス ペ ッ ク （ Pentium 4 2.80GHz）. サーバでアクセス制御用のエラーコードをクライアン. と 同 等 の PC を AC ネ ー ム サ ー バ に 使 用 し た 場 合 は 、. トに転送するようにする必要があると考える。. アクセス制御されているリソースレコードへの問い合 わ せ を 、1 秒 間 に 40 ク エ リ 程 度 処 理 す る こ と が 可 能 と. 6. ま と め DNS の 問 い 合 わ せ 元 を ホ ス ト ま た は ユ ー ザ 単 位 で. な る 。 ま た 、 AC ネ ー ム サ ー バ は 、 通 常 の ゾ ー ン 転 送 で ACL も 同 時 に 転 送 さ れ る 仕 組 み に な っ て い る た め 、. 認証し、認証結果に基づいてリソースレコードへのア. アクセス制御機能に対応したセカンダリネームサーバ. クセス制御を行う方式をプロトタイプとして実装した。. を増やすことで容易に負荷分散を行うことが可能であ. また、プロトタイプを使用して、主に性能面について. る 。 適 用 す る 環 境 の ア ク セ ス 数 に 合 わ せ て 、 AC ネ ー. 評価した結果を報告した。評価の結果、既存の環境や. ム サ ー バ の CPU 性 能 お よ び 台 数 を 調 整 す る こ と で 、本. 性能に大きな影響を与えることなく、本方式が導入可. 方式を問題なく適用することができると考えられる。. 能であることを示すことができた。. AC ネ ー ム サ ー バ が 使 用 す る メ モ リ 量 は 、 通 常 の BIND と 比 較 し て 大 き な 違 い は 見 ら れ な か っ た 。 ACL. 謝辞. を 含 め た 総 リ ソ ー ス レ コ ー ド 数 を 変 化 さ せ た 場 合 は 、1. 本 研 究 は 、 通 信 ・ 放 送 機 構 （ TAO） の 委 託 研 究 テ ー. リ ソ ー ス レ コ ー ド あ た り 90 バ イ ト 程 度 増 加 し た が 、. マ「 次 世 代 DNS に 関 す る 研 究 開 発 」の 一 環 と し て 行 わ. 1000 レ コ ー ド 登 録 し た 場 合 で も 、 メ モ リ 使 用 量 は 2M. れているものである。. バイトにも満たない。このため、メモリ量に関しては. 参. 特に問題ないと考えられる。. 考. 文. 献. [1] P. Mockapetris, "Domain Names – Concepts and. 5.3. 既 存 ネームサーバへの影 響. Facilities", RFC 1034, November 1987.. 本 方 式 で は 、 ル ー ト ネ ー ム サ ー バ や 、jp ネ ー ム サ ー. [2] P. Mockapetris, "Domain Names – Implementation. バ な ど の TLD（ Top Level Domain） ネ ー ム サ ー バ へ の 問い合わせは、多くの場合、最初の通常問い合わせ時. and Specification", RFC 1035, November 1987. [3] D. Eastlake 3 r d , "Domain Name System Security. と、サーバ側でのユーザ公開鍵取得時に発生するのみ で 、 AC ネ ー ム サ ー バ 探 索 処 理 な ど で は 、 キ ャ ッ シ ュ が 使 用 さ れ る 。こ の た め 、ル ー ト ネ ー ム サ ー バ や TLD. Extensions", RFC 2535, March 1999. [4] P. Vixie, O. Gudmundsson, D. Eastlake 3 r d , and B. Wellington, "Secret Key Transaction Authenti-. ネームサーバへの影響は少ないと考える。 ま た 、 AC ク ラ イ ア ン ト か ら 、 既 存 の ネ ー ム サ ー バ が管理するリソースレコードに対して名前解決を行っ. cation for DNS (TSIG)", RFC 2845, May 2000. [5] D. Eastlake 3 r d , “DNS Request and Transaction Signatures ( SIG(0)s )", RFC 2931, September. た場合には、通常名前解決フェーズで回答が返される. 2000.. た め 、 本 方 式 に よ る 影 響 は 発 生 し な い 。 し か し 、 AC クライアントから、既存のネームサーバが管理するゾ. [6] 馬 場 ， 日 下 ， 山 岡 ， 松 田 ，“ DNS に お け る ア ク セ ス 制 御 プ ロ ト コ ル の 検 討 ”， 情 報 処 理 学 会 研 究 報. ーンの存在しないリソースレコードに対して名前解決. 告 ，2003-CSEC-20，Vol.2003，No.18，pp.173-178，. しようとした場合は、暗号化有効の場合は鍵交換フェ ーズ、暗号化無効の場合は、アクセス制御対応問い合 わせフェーズまで行われてしまい、既存のネームサー. February 2003． [7] D. Eastlake 3 r d , "Secret Key Establishment for DNS (TKEY RR)", RFC 2930, September 2000.. −104−.
(7)
関連したドキュメント
We describe a little the blow–ups of the phase portrait of the intricate point p given in Figure 5. Its first blow–up is given in Figure 6A. In it we see from the upper part of
In [2], the ablation model is studied by the method of finite differences, the applicable margin of the equations is estimated through numerical calculation, and the dynamic
In this section, we establish some uniform-in-time energy estimates of the solu- tion under the condition α − F 3 c 0 > 0, based on which the exponential decay rate of the
Then it follows immediately from a suitable version of “Hensel’s Lemma” [cf., e.g., the argument of [4], Lemma 2.1] that S may be obtained, as the notation suggests, as the m A
In [11, 13], the turnpike property was defined using the notion of statistical convergence (see [3]) and it was proved that all optimal trajectories have the same unique
In particular, we are able to prove that for Volterra scalar systems with a creep kernel a(t) such that a(0 + ) > 0; the finite-time and the infinite-time L 1 -admissibility
Since weak convergence is preserved by continuous mappings, the weak convergence in H α provides weak convergence results for H 0 α -continuous functionals of paths and for some
While conducting an experiment regarding fetal move- ments as a result of Pulsed Wave Doppler (PWD) ultrasound, [8] we encountered the severe artifacts in the acquired image2.
