DNS/BINDの歴史/場当たり的対応について、ここに記述してください。
Kaminsky 流攻撃で明らかになった不良：
- Answer section がある返答に付け加えられた[Authority/Additional] section のRRSet でキャッシュを更新するというもの。
分かっていること：
- TTLだけが異なる場合にはTTLは更新されない。 （滲透しない問題は起きなくなる）
NSレコード値（サーバ名）が異なる場合には新たにキャッシュされる。 -> Ghost Domain Names 脆弱性へ
Ghost Domain Names 脆弱性への対応；
- 上位サーバからの委譲返答のTTLを上限とするように制約した。
- これでもサーバ名が異なるときにはキャッシュが置き換えられるので、毒盛につながる。
-- ToshinoriMaeno 2014-03-21 14:56:04