Google Dominから移行する際に注意したほうが良さそうなDNSSECの話

こんにちは。
Google が Google Domains を Squarespace 社に売却してしまいますよ、というニュースが数日まえに発表され、界隈がざわめいていますね。

既存の Google Domains を利用しているアカウントの人はそのまま Squarespace へ移行され、特に何もする必要はないとアナウンスされていますが、
個別で移行を検討されている場合、DNSSECの設定がされていると問題が発生しそうだったので少し調べてみました。

DNSSEC とは

DNS応答に添付された署名を受信側で検証することにより、正しい相手から届いた正しいデータであることを確認できるようにするための技術

らしいです。

DNSSEC 何が嬉しい？

受信側で送った人が正しいということを検証するため、キャッシュポイズニングなどに対する耐性があります。（すごくざっくり）

DNSSEC 使っているかの確認

コマンドで調べる場合

dig コマンドで確認できます。

実行例

dig +dnssec group.ntt

ANSER SECTION で RRSIG レコードが帰ってきている場合、DNSSEC が有効化されていると判断できます。

例:

;; ANSWER SECTION:
group.ntt.      3473    IN  A   45.60.83.32
group.ntt.      3473    IN  A   45.60.134.32
group.ntt.      3473    IN  RRSIG   A 13 2 3600 20230709032542 20230608032542 39982 group.ntt. 985m3NeuAmDoxge696yATY6DawqYk8MkUeP7uHbv13hqLnCHdamcmbYb hLvrnzPQW2DCTdMKmAcblArVaWu8ww==