要約

  • ICANNは10月12日、DNSSECの委任署名者レコードを自動化する仕組みについて、Interisle Consulting Groupの安全性・安定性評価への意見募集を始めた。
  • Interisleは、七つの必須要件を満たし、運用に関する七項目を記録する場合に限り、関連定義上の重大な問題は生じないと結論付けた。
  • 意見募集は証拠を点検する段階で、導入許可ではない。ICANN org自身の判断が残り、Fast Trackの契約文案は後続の手続で公開される。

今回の審査には、先に定められた条件がある。ICANN理事会は2025年9月、SSACの勧告を受け入れ、ICANN orgが安全性・安定性の問題を認めない場合に限り、レジストリ運営者向けのRegistry Services Evaluation Policy（RSEP）Fast Trackを設けるよう指示した。同じ決議は、レジストラがICANNの承認を得ずにサービスを導入できるとも明記する。約一年後、組織は条件が満たされたと宣言する代わりに、外部評価を公開審査にかけた。

6月23日付のInterisle報告書が扱うのは、限られた引き継ぎ経路だ。子ゾーンの運営者が署名済みのCDSまたはCDNSKEYレコードを公開し、親側のレジストリまたはスポンサー・レジストラが取得して検証する。その後、親ゾーンにDSを公開できるのはレジストリだけだ。登録者は自らのDNSSEC設定に対する最終的な権限を保つ一方、運営者、レジストラ、レジストリはそれぞれ別の工程を担う。

DSレコードは子ゾーンの鍵を親側の信頼チェーンに結び付ける。自動化で手作業の待ち時間を減らせる一方、ある組織の信号が別の組織のゾーンに公開変更を起こす。評価はDSの日常保守、初期設定、安全でない委任への移行を対象にするが、プッシュ型API、帯域外インターフェース、CSYNCは含まない。

18件の所見には異なる重みがある。七つの必須条件は、親側でのDS検証、権威サーバー間の一貫性、レジストラのオプトアウト、clientUpdateProhibitedロックだけを理由にした定常保守の停止禁止、手動DS管理の維持、DNSSECを解除する際の認証済みアルゴリズム0信号の適切な処理、そしてEPPを使うレジストリ主導の自動化におけるレジストラ通知だ。さらに七項目では、確認頻度や遅延、TTLとロールバック期間、追加検証、複数署名の構成、報告先と連絡手段など運営者固有の判断を記録する。四つの推奨策には、差分の検知・報告やDS TTLの短縮が含まれる。

したがってInterisleの結論は条件付きであり、どの実装にも通用する認証ではない。必須条件を満たし、開示事項が記録されれば、RSEPの定義上、重大な安全性・安定性の問題はないと報告書は述べる。一方、複数署名、障害の観測・報告、ブートストラップ経路で署名済みネームサーバーを前提とする点を引き続き注意事項に挙げる。

ICANNは、評価が関連する問題を特定しているか、緩和策が十分で、相応で、実行可能かを尋ねている。意見は2026年11月23日まで、要約報告は12月7日が期限だ。ICANNはコメントを考慮して評価を更新し、審査内容を説明する追補を公開したうえで、Fast Track向け標準契約修正文案を別の手続にかけるとしている。理事会の条件付き指示、コンサルタントの所見、ICANN orgの判断、契約条項、運営者の導入は、なお別々の状態だ。

出典