DNS用語集
TSIG（トランザクション署名）とは？
TSIG（トランザクション署名）は、共有秘密鍵と鍵付きハッシュを使用してDNSメッセージを認証するDNSセキュリティメカニズムです。これはゾーン転送や動的更新を保護するために一般的に使用されており、サーバーは同じ鍵を保持する相手からのリクエストのみを受け入れます。
主なポイント要点はAIの支援により生成されています。自動生成された要約には、時折誤りがあったり、重要な文脈が抜け落ちたりする場合があるため、完全な情報を得るには、必ずブログ記事の全文をご参照ください。TSIG (Transaction Signature) is a DNS security mechanism defined in RFC 8945 that authenticates DNS messages between two parties sharing a secret key and keyed hash, primarily protecting zone transfers and dynamic updates without encrypting the content. The mechanism requires both sides to be configured with matching key names, algorithms, and secrets, and includes timestamp validation to prevent replay attacks while relying on synchronized system clocks. Operational risks include poor key management practices, clock drift between servers, and the need for explicit access rules to enforce TSIG requirements, making proper documentation, rotation, and monitoring essential for maintaining reliable DNS communications.
TSIGの仕組み
TSIGは、共有秘密鍵と鍵付きハッシュを使用して、DNSメッセージが鍵を保持する当事者から送信されたものであり、転送中に改ざんされていないことを証明します。双方とも、事前に同じ鍵名、アルゴリズム、および秘密鍵が設定されている必要があります。
- 鍵の共有：管理者が秘密鍵を生成し、両方のサーバー、またはクライアントとサーバーの両方で、同じ鍵名、アルゴリズム、および秘密鍵を設定します。
- メッセージへの署名：送信者は、DNSメッセージと、タイムスタンプを含む特定のTSIGフィールドに対して鍵付きハッシュを計算し、その結果をTSIGレコードとしてメッセージに追加します。
- 署名の検証：受信側は名前で鍵を検索し、ハッシュを再計算して、受信したハッシュと比較します。一致しない場合、メッセージは拒否されます。
- 時刻の確認：受信側は、署名付きタイムスタンプが許容時間枠内に収まっているかどうかも確認します。これにより、キャプチャされたメッセージのリプレイが制限されます。
- 応答への署名：受信側は同じ鍵を使用して返信に署名するため、リクエスト送信者はその回答が期待したサーバーから送信されたものであることを確認できます。
TSIGはメッセージの認証と完全性を保護しますが、メッセージを暗号化することはありません。共有秘密鍵に依存しているため、公開解決ではなく、既知の当事者間の通信に適しており、双方の時計は適度に同期されている必要があります。
TSIGに関する一般的な問題
TSIGにはタイムスタンプが含まれており、受信側は許容時間枠外のメッセージを拒否します。サーバーの時計にずれが生じると、キーが正しくても、転送や更新が「時間エラー」で失敗します。通常、NTPを使用して双方の時計を同期させることで、この問題は解決します。
キー名、アルゴリズム、およびシークレットは、双方で完全に一致している必要があります。シークレットの入力ミス、アルゴリズムの不一致、またはキー名の綴りの違いがあると、「署名不備」または「未知のキー」エラーが発生し、リクエストは拒否されます。
キーを定義したからといって、それ自体がキーの使用を必須とするわけではありません。ゾーンが依然として送信元 IP アドレスによる転送や更新を許可している場合、署名のないリクエストも成功する可能性があります。アクセスルールでは、キーを明示的に指定する必要があります。
チケットに貼り付けられたシークレット、複数のゾーンで共有されているシークレット、またはローテーションが行われていないシークレットは、1つでも漏洩すると影響範囲が広がります。関係ごとに個別のキーを使用し、スケジュールに従ってローテーションを行うことで、被害を最小限に抑えることができます。
TSIGはメッセージに署名を行いますが、暗号化は行いません。転送中に送信されるゾーンの内容は、TLSなどの手段でトランスポート層も保護されていない限り、通信経路上で読み取られる可能性があります。
関連用語
組織のネットワーク向けに、ガバナンスが確立され、監査対応可能なIPAMワークフローおよび承認モデルを構築する
ガバナンスが確立され、監査対応が可能なIPAMワークフローを実現するIP管理ソリューションをご覧ください。企業ネットワークチーム全体で、範囲を限定した承認と完全な監査証跡を実現します…
コンテンツハブ OSIモデルの理解：7層構造におけるDNSとIPアドレスの位置づけ
OSIモデルの7つの層と、DNSおよびIPアドレスがそれらにどのように位置づけられるかを理解しましょう。BlueCatでネットワークアーキテクチャの基礎を学びましょう。…
IPv6 およびデュアルスタック企業ネットワーク向けの DNS および IPAM のスケーリング
デュアルスタック企業ネットワーク向けに DNS および IPAM を拡張します。Micetro が、統合された DNS、DHCP、および IPAM…
Embedding DNS, DHCP, and IPAM into Ansible and Git-based infrastructure-as-code pipelines
Embedding DNS, DHCP, and IPAM into Ansible and Git-based IaC pipelines with Micetro turns address and record changes into versioned, reviewable steps
ポッドキャスト ポッドキャスト：AIがエンタープライズソフトウェア開発をどう変えているか
AIはネットワークの自動化を変革しますが、安全な導入には、サービス停止を防ぐための堅固なソフトウェア開発手法、テスト、およびドメインの専門知識が必要です。…
ポッドキャスト ポッドキャスト：ネットワーク運用においてオープンプラットフォームが重要な理由
オープンプラットフォームとAPIファーストのアーキテクチャにより、ハイブリッド環境の企業全体で、インテリジェントなネットワーク運用、自動化、そしてAI駆動のワークフローが実現されます。…
LiveAssistを活用して、すでに保有しているLiveNXのデータから答えを引き出しましょう
LiveNX用のAI搭載アドオン「LiveAssist」が、ネットワークデータを迅速で分かりやすい回答に変換し、わずか数日でその価値を実感できる仕組みについてご覧ください。…