1. 共用ゾーンサービス/さくら

-- ToshinoriMaeno 2015-06-29 06:54:23

さくらDNSでは任意のドメインを登録できた。(すでに存在しているドメイン名と同一のものだけ排除)

/サブドメイン乗っ取り

https://www.sakura.ad.jp/news/sakurainfo/newsentry.php?id=653

さくらに限らないらしいが、/使用上の注意

https://help.sakura.ad.jp/hc/ja/articles/206207381

/仕様変更 を見てもわかるように、別人がサブドメインを作れるようになっていたと推測できる。

https://www.sakura.ad.jp/information/announcements/2012/06/29/653/

/その後の話

1.1. 警告

さくら共用DNSサービスにあった脆弱性について、分かっていることを書いています。

徳丸浩の日記 さくらDNSにサブドメインハイジャックを許す脆弱性 https://blog.tokumaru.org/2012/06/sakura-dns-subdomain-hijacking.html

実行出来ないのであれば、危険なサービスをひっこめるなりすべきだと思うが、 なんの広報もない。こんな不誠実を見過ごすのか。

/脆弱性 /関連ページ DNS/サービス

/議論のページ : いまも残る脆弱性などが理由で、アクセス制限されています。

e-ontap/blog http://www.e-ontap.com/blog/20120614.html

1.2. お知らせという名で脆弱性の報告

さくらからの/お知らせ やっと動きはじめた。2012年06月29日

さくらDNSの危険性はサブドメインハイジャックだけではない。
さくらから脆弱性についてのきちんとした説明はいまもない。
調査結果も報告すべきだが、不十分な追加メッセージしかないらしい。

DNSサービスへのドメイン登録時における不具合について(2012年06月13日掲載)

DNS OPS Summer 2012 での田中さんの講演から: http://togetter.com/li/365620


徳丸浩の日記: http://blog.tokumaru.org/2012/06/sakura-dns-subdomain-hijacking.html

巨大なセキュリティホールなのにこんなタイトル(重大さを隠そうとしているように見える)

「落とし穴」脆弱性を指摘した。仕様は正しくて、実装が間違っていたという説明だったのに、これだ。

さくらの言う仕様とはなにか。まともな社内文書があるなら、公開したら。-- ToshinoriMaeno 2012-06-15 01:48:13

最初の指摘(4月中旬)ではすぐに直したと言っていたが、直っていなかったのだ。 そして、6月8日にやっと修正したはずが、とんでもない穴を作りこんだ。 それが緊急対策(?)されたのが13日。この対応は速かったと言えるか。

現在は/本格対策を検討、テスト中とのこと。 -- ToshinoriMaeno 2012-06-16 03:21:54

まだ文書は公開されない。暫定版もない。 /提案


/DNS設定についての注意 (さくら)

/問題点 : アクセス制限中 (脆弱性が残っている)

2. さくらは対応したと言っている脆弱性

/qmail.jp /sastudio.jp登録実験(サブドメインが後のケースが危ない。)

さくら自身がこういう登録があることを認めている。(怖い)

また、親ドメインと異なる会員IDで登録されている子ドメイン(約400件)につきま
しても、順次解消を進めております。

3. さくらDNSの問題

  1. ドメイン所有の検査をしていない。(DNSサービスはどこも似たような話という説も聞くが、本当か)
    • レジストラのおまけのDNSサーバは取得したドメインしか登録できないものが多いようだ。
  2. ドメインとサブドメインをおなじサーバでDNSサービスしている。
    • 委譲されていないのに、サブドメインが見えてしまう。(BINDサーバなどでもあるらしい)
      • 前野はこれはサーバの実装不良だと考えている。
  3. ドメインが登録されているときに、その登録者と異なる人がサブドメインを登録できるという不良
    • 6月8日に混入したとの説明。(これ以前にあったかどうかは不明)
  4. ドメインが登録されていないときに、あらかじめサブドメインを登録しておくことで、落とし穴を作れる。
    • ドメイン登録時にエラーにするという仕様だという説明があったが、実装はそうではなかった。 4月中旬に発見して、報告したが、6月初めまで対策されなかった。
  5. その他
    • 情報公開が不十分、どこかにドキュメントがあってもわかりづらい。隠そうとしているのかと思ってしまう。

-- ToshinoriMaeno 2012-06-14 05:57:27

第三者が当社のネームサーバへドメイン名を登録する際には、
  当社で同一のドメ  イン名が登録されていない限り、特に制限を行っていません。

注意深く読めば、他の問題点も見つかるはずだが、対応が確認できていないので、まだ公表しない。

さくらの説明によれば、以下のような対策を検討中とのことだが、詳細は不明。

  1. 異なる登録者が共有部分をもつドメイン(つまり、ドメインとサブドメイン)を同時に登録することはできない。
  2. ドメイン所有の確認手法は検討している。(上位サーバからさくらを指すのではだめ。乗っ取りの危険が増す。)

-- ToshinoriMaeno 2012-06-14 06:08:27

3.1. 警告

他のDNSサービスでも同種の脆弱性があるかもしれません。個別の調査は行っていません。

awsdnsでも安全だという確信は得ていません。もし、安全だという説明がどこかにあるなら、教えてください。 -- ToshinoriMaeno 2012-05-16 09:48:50

DNSサービス業界はさくらと同根の脆弱性をもっていて、いまは必死で修正中というのが考えられる中ではベストのシナリオだ。修正するつもりもなくて、ひたすら嵐が過ぎ去って、脆弱性が忘れられることを期待している業者もありそうだ。

3.2. 共用DNSについての警告

ドメインの所有者でなくとも、自由にDNSレコードを登録できるようなサーバを権威サーバに指定するのは危険です。

4. 記録

始まり: さくらの提供するDNSサービスで共用DNSにありそうな脆弱性をひとつ見付けました。(2012年4月)

さくらには発見当初に連絡ずみです。個人あてには対応したとの返事はもらいましたが、具体的な説明はありません。

公表された説明はいまもまったくないようです。-- ToshinoriMaeno 2012-06-05 13:08:28

さくらの情報公開についての姿勢にはおおいに問題があると思っています。-- ToshinoriMaeno 2012-05-16 09:34:46

4.1. さくらDNSの脆弱性

「誰でも好きな情報(DNSレコード)を登録できる」ということに「危うさ」を感じてください。

今回発見した脆弱性とは、

親ドメインを登録したひとには警告がないので、気づかないうちに乗っ取りが起きていることになります。

この状態はさくらがDNSサービスを開始した当初(昨年の9月?)から成立していたと思われます。

さくらがどう修正したかはさくらからの報告を待ってください。-- ToshinoriMaeno 2012-05-16 09:48:50

4.2. 歴史

さくらVPSにおけるDNSサービス開始:2011年9月28日より開始いたします。 http://www.sakura.ad.jp/news/sakurainfo/newsentry.php?id=572

さくらサーバの契約者むけの付加サービス: http://www.sakura.ad.jp/function/upgrade/nameserver.html

4.3. ドメインに関する設定 (サポートページ)

http://support.sakura.ad.jp/manual/domain.html

非公式wiki http://faq.sakuratan.com/wiki/wiki.cgi?%a5%c9%a5%e1%a5%a4%a5%f3%a4%c8DNS

4.4. さくらのサブドメイン

一覧: /サブドメイン

4.5. 他社で取得・管理のドメイン

ドメインを利用(他社で取得・管理のドメイン) http://support.sakura.ad.jp/manual/rs/domain/other_company.html

指定するドメインが利用者の所有するものかどうかの検査をしていないと思われる。(/例: 危険)

レジストラとしてのさくらが管理するドメインについての設定とは別物なのか。

サーバが同じというのはまずい。

4.6. サーバリスト

/サーバリスト

4.7. さくらDNSサービス利用ドメインの調査

4.8. 調査対象ドメイン

約1500ドメイン(不適切なドメイン名が含まれていたので、実際は1400ドメイン程度)

ns*.dns.ne.jp に問い合わせ


さくらからの移転先

  1. value-domain   
  2. 01.dnsv.jp
  3. gmoserver.jp
  4. xserver.jp
  5. muumuu-domain
  6. lolipop.jp

4.9. 登録チェック

ドメイン追加時に警告が表示され追加ができません。

4.10. 悲鳴

https://twitter.com/katoSat/status/290082628231626752

さくらのDNSをマスターからスレーブに切り替えようとして、一旦ゾーンを削除したら、
   何故か再登録がエラーになる。なんでや〜。 

--> FAQ

さくらのレンタルサーバで独自ドメインを利用している場合に発生する問題 Advent Calendar 2015 http://blog.orepedia.com/entry/2015/12/04/000000

DNS/ゾーン転送

MoinqmailJp: DNS/脅威/共用ゾーンサービス/さくら (last edited 2019-03-26 22:40:53 by ToshinoriMaeno)