1. DNS/毒盛再考/co.jp毒盛

ゾーンとしては存在していない co.jp ドメインにはNSレコードなどの毒を入れやすい。

1.1. 偽 co.jp ゾーン

キャッシュサーバに対して、co.jp 毒(NS)が入って、効果を示すまでの流れを説明してみましょう。


query 

キャッシュされたRRSet

問い合せ先

返答

(start)

root, jp NS あり

 

 

 

$.co.jp

 

jp 

nxdomain

偽co.jp委譲

(毒が入る)

root, jp, co.jp NS

 

 

 

$.co.jp

root, jp, co.jp 

co.jp(偽)

毒返答

--

$.co.jp

root, jp, co.jp 

jp 

nxdomain

偽co.jp委譲

毒がキャッシュされた直後でも jp サーバからは nxdomain が返ってくるので、上書きされて無毒化されることはない。

偽返答でキャッシュに毒が入っても、並列実行された問い合せに対する正規の返答が 毒を消すということがない。そのことを示すことも毒が入る説明では重要だと思いました。 (キャッシュからゾーンサーバへの問い合せは攻撃のために並列して行われているからです。)

jp NS が消えた状態は想定していません。(話を複雑にしたくなかったためです。演習問題)

1.2. dns.jp ゾーン毒盛

../dns.jp ゾーンについても同様の説明ができるはずです。 (親子同居が危険なことはJPRSの指摘です。)

ただし、それがjpゾーン全体への毒盛につながるかどうかは検討課題です。 -- ToshinoriMaeno 2014-05-17 22:53:35

1.3. 誤解される説明

co.jp の件は 「事前に NS のキャッシュがないか容易に上書きでき、本物の応答に邪魔されないノードが危険である」 という表現では誤解されると思う。

厳密には攻撃では毒NS以外はキャッシュされることがない。

1.4. NS レコードがキャッシュされていないドメイン名が危ない

JPRSは jp/dns.jp ゾーンの同居を解消しただけで、その理由の説明も十分にはしていません。

他の問題はどうするのでしょうか。 co.jp ドメインはゾーンに分離しないのでしょうか。

1.5. JPRS の言い訳

本件は新しい問題ではない。

「ポートランダム化以外の対策も提案、実装されている」 と言いながら、jp/dns.jpゾーンの分離以外の対応は進んでいない。 

そして、一番の問題:

-- ToshinoriMaeno 2014-08-03 11:53:38

MoinQ: DNS/毒盛/2014/co.jpは危険だった/毒盛 (last edited 2021-05-02 00:08:40 by ToshinoriMaeno)