クラウド時代はDNS Pinningが落とし穴になる | 水無月ばけらのえび日記
公開: 2011年9月3日19時50分頃 モバツイ (www.movatwi.jp)の作者えふしんさんと、Twitterでこんなやりとりをしました。 OperaってDNSのTTL考慮してない？！多くのブラウザは安全性のために短すぎるTTLを無視したりしますが (DNS Pinning)、それとはまた違う話でしょうか?AWSのElastic Load Balancingで、動的にロードバランサーのサーバが増えたり減ったりするようで、夜明けのOperaがよく全然違うサービスに繋がってしまうことがあるんですよね。少なくともクッキーは送っちゃってますよね...あー、なるほど。それはまずいですね。これは盲点でした……。 OperaやIEなどは、DNSのTTLが短く設定されていても無視してキャッシュし続ける事があります。これはDNSの負荷を減らすというだけはでなく、セキュリティ上の意味もあり、「DNS
「最低限のセキュリティはDNSで確保を」---シマンテックがスマートデバイス戦略
シマンテックは2010年7月29日に開催した戦略説明会の席上で、スマートフォンや情報家電などインターネットを利用するスマートデバイス向けに、Webフィルタリングサービスを無償提供する方針を明らかにした。ベータ公開中の「Norton DNS」による名前解決の過程で、悪質なサイトへのアクセスを遮断する仕組みを用意する（写真1）。 具体的には、URL内のホスト名とIPアドレスを変換するNorton DNSによる名前解決の際に、同社のレピュテーション技術「SHASTA」によるWebフィルタリングの機能を利用できるようにする。米Symantec Productのプロダクト・マネジメント部門ディレクターのDan Nadir氏は「『Wii』や『iPad』が直接ウイルスの脅威にさらされているわけではないものの、安全と認識するのは間違いだ。メールでフィッシングサイトに誘われ、機密情報を入れたらパソコンと同様
HASHコンサルティング徳丸浩の日記 - 自分でできる - 「かんたんログイン」DNSリバインディング耐性のチェック方法
■「かんたんログイン」DNSリバインディング耐性のチェック方法 このエントリでは、ケータイ向けWebサイトがDNSリバインディング攻撃に対する防御耐性があるかどうかをチェックする方法を説明します。ケータイ向けに「かんたんログイン」機能をもつWebサイトをチェック対象とします。 基本的な前提として、検査対象のWebサイトの管理者が自ら検査することを想定しています。 用意するもの チェック対象のWebアプリケーション(かんたんログイン機能あり) 携帯電話（かんたんログイン可能なもの） インターネット接続されたパソコン ステップ0:IPアドレスの調査 検査対象のWebサーバーのIPアドレスを調べます。一例として、検査対象サーバーのホスト名が mobile.example.com の場合、以下のコマンドでIPアドレスを調べることができます。 C:>nslookup mobile.example.
DNSサーバー「BIND9」にぜい弱性，JPRSが緊急パッチを呼びかけ
広く使われているDNSサーバー・ソフト「BIND9」にぜい弱性が発覚した。攻撃を受けたDNSサーバーは停止してしまう可能性があるという。開発元の米インターネット・システムズ・コンソーシアム（ISC）や，.jpドメインを管理する日本レジストリサービス（JPRS）は，緊急のパッチ適用を呼びかけている。 脆弱性はBIND9のダイナミック・アップデート機能にあるという。攻撃者が特定のダイナミック・アップデート・パケットを送るとDNSサーバーが停止する。ダイナミック・アップデート機能を有効にしていなくても，攻撃できてしまう。ISCによると，攻撃用パケットは既に流通してしまっている。このため，緊急の対応が必要だという。 今回の攻撃の被害にあうBIND9は，何らかのゾーンのプライマリDNSサーバーとして稼動しているもの。どのゾーンに対してもセカンダリ以下のDNSゾーンになっている場合は，攻撃は成功しない
DNSSECは解決策になりえるか？ DNSの脆弱性の発見者に聞く
セキュリティシンクタンクの米Black Hatとインターネット協会の共催によるカンファレンス「Black Hat Japan 2008」が10月5日から10日まで、東京・新宿の京王プラザホテルで開催中だ。 まず、8日までの4日間は、授業形式で詳細な知識を解説する「トレーニング」を実施、続いて9日・10日にセキュリティ専門家らによる講演「ブリーフィングス」を実施する。 9日に行われるブリーフィングスの基調講演には、セキュリティ研究者のDan Kaminsky氏が登場する。Kaminsky氏は、7月にその存在が広く公になったDNSキャッシュポイズニングの脆弱性（通称「カミンスキー攻撃」）の発見者。8月にラスベガスで行われたBlack Hatに引き続き、日本でもこの脆弱性について講演する予定だ。今回、Kaminsky氏にメールでインタビューした。 なお、ブリーフィングス2日間の参加費は8万950
今更だけどDNSキャッシュポイズニングについて簡単に説明するよ！ - そして、DNSポイズニングがなかなか対応されない理由。 - FreeBSDいちゃらぶ日記
先日IIJの一日インターンに行ってきました。 NDAがあるので、事細かに書くことは出来ないのですが、教育的なプログラムが組まれていて非常に面白かったです。 そこで、色々お話しして、その中でDNSポイズニングがなかなか対応されない理由、当たり前の理由が聞けたので、「DNSポイズニングって何がヤヴァイのか良くわかんね」って人に向けた簡単な解説とあわせて書きたいと思います。 まず、DNSキャッシュポイズニングの何が怖いか? 簡単に言うと、 「googleに繋いだはずが全く別サイトに繋がっちゃう！」 って話です。 本当に繋ぎたいサイトと違うサイトに繋いじゃう事が出来るので、例えば 実在するショッピングサイトそっくりの偽サイト作って、ショッピングさせて。クレジットカードの番号ゲットしちゃったり、住所ゲットしちゃったり。 夢が広がる怖い事が出来ちゃいます。 きちんとしたセキュリティ対策していれば大丈夫
DNSの危機に対応を
DNSの危機に対応を! 〜キャッシュ毒入れ新手法 Kaminsky Poisoning 〜(8/28 脅威についての説明追記) 2008年7月、セキュリティ技術者 Dan Kaminsky 氏が考案したDNSに対する新たな攻撃手法が明らかになり、8月6日、Kaminsky氏による発表がセキュリティ関連の国際会議 Black Hatで行われました。 これはDNSキャッシュサーバに偽の情報を注入（毒入れ/Poisoning）するものです。DNSは原理的にキャッシュへの毒入れ脆弱性を持ち合わせており、特に脆弱な実装のDNSサーバソフトウェアでは過去に何度か対応が図られてきました。今回あきらかになった手法は従来手法よりはるかに効率的に、状況によってはほぼ確実に毒入れができるというもので、大変危険なものです。 すでに攻撃コードも公開されており、被害も発生していることが報告されています。 まず、以下の
Web-based DNS Randomness Test
2023-06-01: This service has been deprecated in favor of Check My DNS. US-CERT's Vulnerability Note VU#800113 describes deficiencies in the DNS protocol and implementations that can facilitate cache poisoning attacks. The answers from a poisoned nameserver cannot be trusted. You may be redirected to malicious web sites that will try to steal your identity or infect your computers with malware. Wor
porttest.dns-oarc.net -- Check your resolver's source port behavior | DNS-OARC
2023-06-01: This service has been deprecated in favor of Check My DNS. The announcement in Jul 2008 of CERT VU#800113 made it clear that resolvers should use random source source ports when sending queries. Here at OARC, we crafted a special DNS name and server that you can query to learn whether or not your own resolver is using random ports. Use a DNS query tool such as dig to ask for the TXT re
DNSキャッシュ汚染に関する脆弱性が公表さる | スラド セキュリティ
US-CERTは、DNSプロトコルおよび一般的なDNS実装における機能欠如により、DNSキャッシュ中毒攻撃(DNS cache poisoning attacks)を助長する脆弱性の存在を公表した(US-CERT Technical Cyber Security Alert TA08-190B, US-CERT Vulnerability Note VU#800113, CNET記事)。 US-CERT TA08-1908によると、影響するのは次の2点である。 キャッシングDNSリゾルバ DNSスタブリゾルバ の 2つである。この脆弱性を利用した効果的攻撃法も示される状態にある。解決する最善の方法としてはベンダのパッチを適用することだが、暫定的な回避方法として5点挙げられている。 アクセスの制限 ネットワーク境界点におけるトラフィックのフィルタリング ローカルでDNSキャッシュを行う 再帰
セキュリティホール memo DNSキャッシュポイゾニング
》 犯行予告を自分で通報するサイト「予告.if」登場 (gigazine, 7/31)。うーん、予告.in、そんなことになってたのか。 Satoru.net もなんだか……。 関連: 犯行予告を共有するサイト「予告.in」はもう限界に達している (gigazine, 7/31) 》 “情報化時代”に追いつけるか？ 審議が進む「新常用漢字表（仮）」 第2部 新常用漢字表と文字コード規格 第3回 互換漢字という「例外」 (Internet Watch, 7/28) 第4回 互換漢字をめぐる非漢字圏諸国との「波風」 (Internet Watch, 7/29) 》 北京の大気汚染、劇的改善は困難か 「良」でも注意が必要 (産経 MSN, 7/31)、緊急大気汚染対策、北京五輪開幕に向け発表 (CNN, 7/31)。本当にひどいみたいですね。 》 規律違反の喫煙原因、横須賀配備予定の米原子力空母の
http://wizardbible.org/40/40.txt
[-]=======================================================================[-] Wizard Bible vol.40 (2008,4,17) [-]=======================================================================[-] x0xXx0xx0xXx0xx0xXx0xx0xXx0xx0xXx0xx0xXx0xx0xXx0xx0xXx0xx0xXx0xx0xXx0xx0xXx0x x0xXx0xx0xXx0xx0xXx0xx0xXx0xx0xXx0xx0xXx0xx0xXx0xx0xXx0xx0xXx0xx0xXx0xx0xXx0x ---- 第0章：目次 --- x0xXx0xx0xXx0xx0xXx0xx0xXx0xx0xXx0xx0xXx
SPF Query Tool
Overview These tools are meant to help you deploy SPF records for your domain. They use an actual RFC 7208 compliant library (pyspf) for tests and will dynamically test for processing limit errors (no other testers I'm aware of do this). This site uses a caching DNS resolver, so for tests that use live DNS, results will be cached for the Time To Live of the DNS record. For most basic uses, these t
SPF: Project Overview
About SPFWelcome to the Sender Policy Framework project!Read an introduction to what SPF is, or about how SPF fits into the bigger picture of e-mail authentication. Further ReadingStatistics on the adoption of SPF.SPF vs Sender ID – Is SPF the same thing as Sender ID? Which is better?FAQ – Frequently Asked Questions.Avoid these common mistakes made by domain owners (senders) and by receivers.Best
ドメイン名の更新を促す「不気味な明朝フォント」の通知に注意
「Internet Week 2007」で21日に行なわれたカンファレンス「事業者がやってよいこと悪いことを考えよう」において、GMOインターネット取締役グループ法務戦略室長の橘弘一氏が「ドメイン名と商標権─他国からの脅威」と題して講演し、gTLDがらみで起こっている問題を紹介した。 ● ドメイン名に絡む「海外からの脅威」とは 橘氏にはまず、ドメイン名の紛争処理手段としてWIPOが提供しているフレームワークや、その処理件数の動向などを紹介した後、「海外から、あの手この手で勧誘する事例が目立つようになってきている」と指摘。こういった海外からの「脅威」について橘氏は、“東京でディープに語る4日間”という今年のInternet Week 2007のキャッチフレーズを引き合いに出し、伝聞情報を含むディープな事例を紹介した。 まず1つ目は、海外のドメイン名事業者と思われるところから、「不気味な明朝フ
DNSベストプラクティスとは「隠す」そして「重ねる」 ― ＠IT
第2回 DNSベストプラクティスとは「隠す」そして「重ねる」 澁谷 寿夫 Infoblox株式会社 Systems Engineer 2007/12/14 軽視されがちのDNSにもう一度明かりをともす新連載。第2回ではDNSの最新情報と、前回の最後で図だけ提示した「DNSのベストプラクティス」構成の意味を解説します（編集部） いまだに設定ミスの多いDNS 今回も引き続きDNSについて説明していきたいと思います。まずは、おさらいをかねて、2007年11月に発表されたDNS関係のリリースを紹介したいと思います。 11月19日に開催されましたDNS DAYでも話題に上がっていたのですが、いまだに多くのDNSサーバに設定ミスが多いという問題があります。設定ミスの内容としては、いくつかありますが、その中でも深刻な問題としてはオープンリゾルバのサーバになってしまっているというものです。 前回説明した「
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
United States
DNS発明者のモカペトリス氏、DNSセキュリティの強化訴える
NPO東海インターネット協議会理事、鈴木常彦氏によるプレゼン資料「DNSの危機に対応を」もうだめかもしれないけど、、、
http://japan.internet.com/webtech/20071120/10.html