要約

  • RFC 9718は、DNSSECルート鍵の素材と、その配布ファイルを認証する仕組みを分離する。ICANN CAもWeb PKIもDNSSECのトラストアンカーではない。
  • 利用可能なアンカーには、真正なファイル、有効期間、内部表現の一致、対応する解析、運用者による明示的受容という五つの判断が必要だ。

信頼の鎖は上から下へ説明しやすい。検証器が信頼済みの鍵でルートを検証し、署名された委任をたどる。しかし最初の鍵を誰が検証したのかという問いは、鎖の外側を向く。

RFC 4033はこの境界を隠さない。トラストアンカーとは検証器に設定された権威DNSKEYまたはDSダイジェストであり、初期値はDNSの外にある安全または信頼された手段で取得する。DNSSECはアンカーから先を認証するが、アンカーを信頼すると決めた理由までは認証しない。

2025年1月にIETFのInformational RFCとして刊行されたRFC 9718は、Ableyらがこの継ぎ目を明文化した文書である。RFC 7958を廃止し、IANAによるルートゾーンのアンカー情報の公表形式を定めた。帯域外の信頼を消したのではなく、その周囲に名前を付けた。

最初の境界は、対象物と封筒の間にある。IANAのXMLにはKeyDigestが入り、分離CMS署名はICANN管理のCAへ連鎖できる。HTTPSはWeb PKIの下で配送元を認証する。これらが示すのは、期待した発行元から来た文書か、途中で変化していないかである。

RFCはICANN CAがDNSSECトラストアンカーではないと明記する。証明書チェーンが認証するのは公表ファイルであり、その中のダイジェストや公開鍵が処理と受容を経て初めてDNSSECアンカーになり得る。二つを同じ「信頼の根」と呼べば、別々の制度と運用者の決定点が消える。

RFC 7958にあった鍵別のPKIX証明書、証明書署名要求、OpenPGPによる仕組みは新版で削除された。RFC 9718の説明では、認証鍵への帯域外信頼とDNSSECルート鍵への帯域外信頼を混ぜていたからだ。暗号形式を増やしても、起動時の判断はなくならない。

XMLにも複数の状態がある。validFromとvalidUntilはKeyDigestを利用できる期間を区切る。全リゾルバーへの導入を示すものでも、導入命令でもない。正しく署名された文書でも、対象エントリが期間外なら現在の設定には適さない。

任意のpublickeyinfoはダイジェストに加えてDNSKEY公開鍵とflagsを運ぶ。DNSKEYを直接組み立てられる一方、両表現が矛盾すればそのKeyDigestを使ってはならない。CMS署名は内部矛盾を修復しない。

任意要素への対応はローカルな能力でもある。同じ真正なXMLを読む適合実装でも、publickeyinfoへの対応差により候補集合が違い得る。入力の由来が同じでも解釈は自動的には一致しない。解析器の版、変換規則、出力形式を記録する必要がある。

source属性も助言的な位置づけにすぎない。URLは置き場所を示すが、文書に記されたことで権限を得るわけではない。所在地と命令は異なる。

最後に受容がある。RFCは検証器運用者が任意の方針でアンカーを受け入れるか決められるとする。IANAは公表し、証明書制度は出所確認を支え、実装者は解析し、ベンダーは配布し、運用者は検証器の信頼状態を変える。隣接する主体は互いの判断を代行しない。

RFC 5011は最初の判断を消さない。すでにアンカーを信頼する検証器が、観測期間などの条件を経て後継鍵をプロトコル内で学ぶ方法だ。既存の信頼は移行を認証できるが、最初の導入を遡って認証できない。

IANAの現行ページでは、root-anchors.xmlがデータ、root-anchors.p7sが分離署名、icannbundle.pemが署名検証用証明書を担う。ベンダーごとに更新方法と時期が異なるとも記す。一つの公表集合がリゾルバーに届くまでには、複数組織のリリース判断が介在する。

IANAは2024年11月の告知で、XMLの定期取得と改訂形式の処理試験を求めた。公表の成功は導入の成功ではない。真正で新しいファイルでも、解析器が拒み、パッケージが古く、運用者が採用しないことがある。

現行のroot-anchors.xmlは機械可読の公表物であり、特定の検証器が各項目を受容したという宣言ではない。

NSRCの略歴は、AbleyがICANNのDNS Operationsを率い、ルートDNSSECの展開に携わったと記録する。これは彼をルートの主権者にする根拠ではない。むしろ、隣り合う証明を混同しない運用規律が、このRFCに刻まれた背景を示す。

監査可能な受領記録は五つの答えを残すべきだ。ファイルの出所と内容を何で検証したか。有効期間内か。ダイジェストと公開鍵は一致したか。どの解析器と変換が候補を作ったか。誰がどの方針で、どの検証器に受け入れたか。「署名は有効」は最初の一問にしか答えない。