DPSとは
DPS(DNSSEC Practice Statement)とは、 DNSSECの運用内容を明文化し、情報公開するための文書です。 DPSは、DNSSECの運用者が作成します。 またDPSは、DNSSECの運用に対する考え方を実際の運用に反映させたり、 一定の運用を保ったりするためにも役立つと考えられています。 なお、DPSにはDNSSECのための登録要件などが書かれますが、 DNSSEC運用者向けの規則や、利用者との間で取り交わされる同意書ではありません。 DNSルートゾーンをはじめ、.NET、.SE、JPドメイン名などのDPSが記述され、 公開されています(*1)(*2)(*3)(*4)(*5)(*6)。
DPSは、IETFのInternet-Draft(*7)で提案されているもので、 CPS(Certificate Practice Statement)のフレームワーク(*8)を元に作られています。 DPSの各章には、DNSSECにおける署名検証の考え方(DNSSEC Policy(DP))と、 これを実現するための実施要領であり、文書自体の名前にもなっている、 DNSSECの運用ステートメント(DNSSEC Practice Statement(DPS))の二つが記述されます。 これらの記述によって、 DNSSECのサービスを運用する者(組織)における運用の考え方を明確化します。
以下に、Internet-Draftで提案されているDPSの章立てを示します。 なお、DPSは必ずしもこの章立てに従わなければならないものではありません。
DPSの章立て
-
イントロダクション (Introduction)
DPSの概要と作成者の連絡先などが記述される。 -
DPSの公開とリポジトリー (Publication and Repositories)
DPSのURLなどが記述される。 -
運用上の要件 (Operational Requirements)
DNSSEC運用者の役割分担やDNSSECにおける登録要件が記述される。 -
設備や運用管理、運用上の実施事項 (Facility, Management, and Operational Controls)
DNSSECの運用設備や設備を運用する上での実施事項が記述される。 -
技術的なセキュリティ (Technical Security Controls)
DNSSECや運用するシステムの技術的なセキュリティに関わる実施事項が記述される。 -
ゾーン署名 (Zone Signing)
ゾーン署名に使われる鍵の鍵長やライフタイムなどの仕様が記述される。 -
準拠性監査 (Compliance Audit)
DNSSEC関連業務について、監査するかどうかや監査者がどのような者かについて記述される。 -
法律に関する事項 (Legal Matters)
DNSSEC運用に関わる法律や裁判に関する事項が記述される。
DNSSECの開始にあたってDPSを記述することは、 運用する者(組織)の中で、運用に関する考え方や方法などを明確化せねばならず、 手間がかかります。しかし、DPSの章立てに沿った検討をし、明文化することで、 DNSSECの適切かつ安定した運用につながるため、DNSSEC導入組織の多くがDPSを記述し、 公開しています。
(*1) DNSSEC Practice Statement for the Root Zone KSK Operator
https://www.iana.org/dnssec/icann-dps.txt
(*2) DNSSEC Practice Statement for the Root Zone ZSK operator
http://www.root-dnssec.org/wp-content/uploads/2010/06/vrsn-dps-00.txt
(*3) VeriSign DNSSEC Practice Statement for NET Zone
http://verisigninc.com/assets/20100925-NET+DPS-FINAL.pdf
(*4) DNSSEC Practice Statement (DPS)
http://www.iis.se/dl/DPS-PA9-ENG.pdf
(*5) JPドメイン名におけるDNSSEC運用ステートメント(JP DPS)
https://jprs.jp/doc/dnssec/jp-dps-jpn.html
(*6) DNSSEC Practice Statement for the JP Zone (JP DPS)
https://jprs.jp/doc/dnssec/jp-dps-eng.html
(*7) DNSSEC Policy & Practice Statement Framework
http://www.ietf.org/id/draft-ietf-dnsop-dnssec-dps-framework-03.txt
(*8) Internet X.509 Public Key Infrastructure - Certificate Policy and Certification Practices Framework
http://www.ietf.org/rfc/rfc3647.txt
