キー署名キー（KSK）

キー署名キー（KSK）とは何ですか？

キー署名キー（KSK）は、DNSSEC（Domain Name System Security Extensions）の中で、DNSレコードを保護する鍵に署名し検証するために使われる専用の暗号鍵です。その主な役割はゾーン署名キー（ZSK）に署名することであり、そのZSKが実際のDNSデータに署名します。これらの機能を分離することで、KSKは安全な信頼の連鎖を作り出し、DNS情報が送信中に改ざんされたり偽造されたりしないことを保証します。

KSKはDNSSECの信頼階層の要です。DS（Delegation Signer）レコードと呼ばれる仕組みを通じて、ドメインのDNSゾーンとその親ゾーンとの間に検証可能なつながりを確立します。この連結により、リゾルバーはDNS応答が正当な発信元から来ており、経路上で改変されていないことを確認できます。

キー署名キーの仕組み

DNSSECはDNSに公開鍵暗号を導入し、連携して機能する2種類の鍵を生み出します。

• ゾーン署名キー（ZSK）： ゾーンファイル内の個々のDNSレコード（A、MX、TXTなど）に署名します。
• キー署名キー（KSK）： ZSKの公開部分に署名し、ゾーンの鍵セットを認証します。

リゾルバーがDNSルックアップを行う際、デジタル署名を使って応答を検証します。信頼の連鎖は次の順序をたどります。

• ZSKがDNSデータに署名する。
• KSKがZSKの公開鍵（DNSKEYレコード内）に署名する。
• 親ゾーンが、KSKのフィンガープリントを参照するDSレコードを公開する。

リゾルバーは、KSKの署名を親ゾーンのDSレコードと照合してDNS応答を検証します。連鎖が途切れていなければ、その応答は本物であり改ざんされていないとみなされます。

DNSSEC鍵レコードの例：

KSKの管理とローテーション

KSKはゾーンの信頼の起点となるため、統制された手順で慎重に保護しローテーションする必要があります。KSKが侵害されたり期限切れになったりすると、DNS解決が壊れたり、攻撃者がドメインになりすませたりするおそれがあります。

鍵管理のベストプラクティスには次のものがあります。

• RSAやECDSAといった強力な暗号アルゴリズムを使う
• KSKを安全に保管する。多くの場合はオフライン、またはハードウェアセキュリティモジュール（HSM）内で保管する
• セキュリティの完全性を保つため、KSKを定期的にローテーションする
• 新しいKSKを導入するたびに、親ゾーンのDSレコードを更新する
• ローテーションのたびにDNSSEC検証をテストする

Internet Assigned Numbers Authority（IANA）は、グローバルなDNS階層のルートKSKを管理しています。定期的な鍵のロールオーバーは世界規模で告知・調整され、すべてのDNSリゾルバーにわたって信頼の継続性が保たれます。

KSKとメール認証

KSKはDNSSECの内部で機能しますが、そのセキュリティ上の利点は DKIM、SPF、DMARC にも及びます。これらのプロトコルが依存するDNSレコードが偽造・改変されないよう保証するからです。DNSSECが正しく実装されていれば、攻撃者は認証データをなりすましたり、SPFやDKIMの鍵を含むDNS TXTレコードを改ざんしたりできません。

この完全性は、認証ポリシーをDNSで公開するドメインにとって極めて重要です。認証設定の傍受や改変を防ぐことは、安全なメールインフラの中心的な目標の一つだからです。

キー署名キーとDMARCeye

DMARCeyeは、KSKの完全性を含むDNSSEC検証のシグナルを活用し、ドメインレベルの信頼に対する可視性を高めます。認証レコードが暗号的に安全なDNSゾーンの下で公開されていることを検証することで、SPF、DKIM、DMARCの設定が正しいだけでなく、改ざんからも守られていることを保証します。

DMARCeyeは、DSレコードの欠落、鍵の期限切れ、未署名のゾーンといったDNSSECの問題を管理者に通知します。これらはドメイン全体のメール認証態勢を弱めかねない問題です。KSKの健全性を監視することは、信頼できるDNS基盤を保ち、確実なメールセキュリティとブランド保護を支えるのに役立ちます。

DMARCeyeの無料トライアルに登録して、メールドメインを保護しましょう。

DMARCおよび関連用語について詳しくは、DMARCeye用語集をご覧ください。