黒塗りのDNS
黒塗りのDNS (萎縮編) ～共用サービスの闇～ Apr 23, 2019 ssmjp E-ONTAP.COM 鈴木常彦 (@tss_ontap) ある日の我が職場 (恥) 私(TEL) 「m.chukyo-u.ac.jp 見てみれ！ 中華料理屋に乗っ取られてるぞ www」 情報システム 「え！...これは...調べます...」 後日 「レンタルサーバ返した後 A レコード削除申請がなかったようです!」 危険な忘れ物 - Floating Domainname 借りたサーバ (IPアドレス) にリソースレコードを向けたまま解約してはいけない Subdomain Takeover Attack 放置された CNAME の先は狙って再登録されうる、、、 old-service.example.jp IN CNAME orphan.cdn.example.com fan.football.son
RFC2308 要約メモ
Updated by: 4035, 4033, 4034, 6604, 8020 PROPOSED STANDARD Errata Exist Network Working Group M. Andrews Request for Comments: 2308 CSIRO Updates: 1034, 1035 March 1998 Category: Standards Track Negative Caching of DNS Queries (DNS NCACHE) QNAME とは "QNAME" - the name in the query section of an answer, or where this resolves to a CNAME, or CNAME chain, the data field of the last CNAME. The last CNA
インターノット崩壊論者の独り言 - DNSSEC は危ない - これを NSEC/NSEC3 Replacement Attack と呼ぶのはどうだろう?
EPIC2014 Google Public DNS (8.8.8.8, 8.8.4.4) 経由では本サイトにアクセスできないよう措置させて頂いております。 二週間ほど前に恐ろしい毒入れ手法が成立しうることに気づいて、どうやって公表したらよいか悩やんだのだけれど、何と Herzberg と Shulman の論文を読み返したところアバウトながらしっかり書いてあったので躊躇することなく解説することにした。なぜ私はこれを読み流してしまっていたのか。どうしてこれを誰も騒ぎにしていないのだろうか。 DO bit を常に on にしろという RFC 4035 の傲慢な要請は修正されるべきだと思う。そして RFC 2308 という酷い RFC (私なら査読通さない) も SOA に付随する NS を許さないよう書き直されるべきだと思う。(私に IETF に行けというのは無し) 以下、第一フラグメント便
インターノット崩壊論者の独り言 - 嘘も方便 - こういう DNSSEC 推進おかしくないですか?
EPIC2014 Google Public DNS (8.8.8.8, 8.8.4.4) および Cloudflare (1.1.1.1, 1.0.0.1) 経由では本サイトにアクセスできないよう措置させて頂いております。 ブログを書こうと思っていたけれど、IGCJ members ML に投稿したのでそれを転載します。意見のある方はぜひ IGCJ members ML へ。ただし IGCJ を本当にインターノットガバナンスの場と考えて良いかは疑問に思っていますけれど。 総務省高村様からこちらで議論するのがよかろうと伺って投稿させて頂きます。 DNSの世界的な運用変更に伴うキャッシュDNSサーバーの設定更新の必要性 http://www.soumu.go.jp/menu_news/s-news/02kiban04_04000212.html という総務省の注意喚起文書に色々疑問があって総
「浸透」でごまかすことの弊害
待つ必要のない客を待たせる (客を騙す行為) 騙されていることに気づかない サービスの問題点に気づかない (キャッシュ・コンテンツ兼用など) ... 実例 適切な設定確認を怠る (まず委任元と権威サーバを非再帰問い合わせで確認) 不適切な確認でネガティブキャッシュを入れて自爆する (いきなりキャッシュサーバに再帰検索要求) 待った上でしか設定ミスや障害を疑わない そもそもいつまで待てばいいのかわからない (自分から見えたら浸透完了? 例えば30日待ちますか?) 浸透待ちで睡眠不足になる (人的コストの無駄遣い) DNS の仕組みの理解が進まない 間違った理解の浸透と定着に手を貸す 「浸透いうな」と言われて悲しい目にあう (あるいは逆切れしてさらに無知を晒す) 確実に同じ失敗を繰り返す etc. (募集中) 浸透いうな!
Vixie's grumble
What kinds of security vulnerabilities does providing DNSSEC expose? への回答 by Paul Vixie. DNS にはいくらかのリスクがあるが、直接的に反射や増幅につながるものではないんだ。それについては EDNS0 メッセージサイズ拡張が誤解の元になっている。俺に説明させてくれ。 身元が確認されていないパケットの交換は、無認証で反射や増幅を利用できる DDoS 攻撃者に悪用されがちだ。例えば (ping に用いられる) ICMP が悪用されやすい。TCP SYN パケット を使うと 40 個までの SYN-ACK パケットをそんなものを要求していない被害者のところへ誘導することができる。もちろん、NTP や SSDP、uPNP そして DNS を含むすべての UDP サービスはこの攻撃に脆弱性がある。 多くの侵入検知
インターノット崩壊論者の独り言 - 厚顔無恥 - JPRS の「学生向けJPドメイン名活用支援プログラム」は悪徳商法では?
EPIC2014 Google Public DNS (8.8.8.8, 8.8.4.4) 経由では本サイトにアクセスできないよう措置させて頂いております。 学生に無料でドメイン名を提供? ありがたいことですね。でも初期登録料が無料なだけ? その後はどうなるのでしょう。維持料が必要になるのですよね? そして払わないと、たとえば ↓こういうことになるのですよね? 中高生が取得したドメイン名がアダルトなサイトになる日 全国中学高校Webコンテスト」で使われたドメイン、その後業者に利用される プレスリリースには 日本のインターネットの未来を担う学生を、指定事業者と共に支援することを目的に、JPドメイン名の新規登録料を無料とする「学生向けJPドメイン名活用支援プログラム」の提供を開始する と書いてありますが、指定事業者はちゃんとリスクを説明した上で提供してくれるのでしょうか。JPRS はそれをちゃ
THE CHOICE BETWEEN LIVING AND DYING
生と死の間の選択 ～インターネット崩壊論～ May 25,2012 WIDE研究会 中京大学情報理工学部 鈴木常彦 http://www.e-ontap.com/internet/wide2012/ どちらのインターネットをお使いですか? ISPのテレアポから電話 「どちらのインターネットをお使いですか?」 「え? インターネットって何ですか?」 「え?」 「え?」 インターネットって何 WWW? メールは? IPリーチャビリティ? IPv4? IPv6? 何が疎通するとインターネット? HTTP? SMTP? DNS? ケータイはインターネット? どこからどこまでがインターネット? サーバが立てられなくてもインターネット? 接続形態やプロトコルじゃないなら何? RFC 4084 Terminology for Describing Internet Connectivity Rise o
Truth of Kaminsky Bug
実験目的 Kaminsky が示した毒入れ手法は DNSプロトコルの欠陥によるものであり、非常に危険なものであるという論を根拠に DNSSEC が推進されている。しかし、BlackHat USA 2008 における Kaminsky の講演のスライドに示されている方法にはいろいろな点で疑義がある(Finchなど)。qmail.jp の前野氏からあれで毒が入ると思うかとの指摘を受けたこともあり、散々考えたが、私には Kaminsky のスライドどおりに毒が入ることがどうしても納得いかなかった。そして、Kaminskyが間違っている(あるいは嘘をついている)、あるいは、BIND には毒が入るバグがあって Kaminsky の攻撃手法が成功するというのではないかという仮説が引き出せる。これは前野氏が当初から洞察していたことであった。この仮説に基づくと、Kaminsky の発表から3年経った今、そ
インターノット崩壊論者の独り言 - 開いたパンドラの箱 - 長年放置されてきた DNS の恐るべき欠陥が明らかに
EPIC2014 Google Public DNS (8.8.8.8, 8.8.4.4) および Cloudflare (1.1.1.1, 1.0.0.1) 経由では本サイトにアクセスできないよう措置させて頂いております。 本日、JPRS がようやく重い腰をあげて注意喚起を発してくれましたが、その内容は危険性をよく理解して対策をとるにあたって十分な情報が含まれているとはいえません。 一方で注意深い攻撃者が探せば、ネット上にはすでに深刻な攻撃を行うのに必要な情報は十分に流れています。特に、JPRS が3月に慌てて co.jp などにこっそり入れた署名付き TXT レコードは大きなヒントに見えます。 DNS に詳しい攻撃者であれば、攻撃手法に辿りつくのは時間の問題でしょう。(すでに攻撃は行われているかも知れません) 長く秘密にしておくことは得策ではないと判断し、防御する側の心構えと手助けにし
キャッシュポイズニングの開いたパンドラの箱 -2-
キャッシュポイズニングの開いたパンドラの箱 -2- Opened Pandora's box of Cache Poisoning -2- 鈴木常彦 2014.04.15 (Concept by 前野年紀 2014.02) 移転インジェクション攻撃: RFC2181 5.4.1 "Ranking data" の欠陥 今回、委任インジェクション攻撃に加え、さらに RFC2181 の欠陥を突いた攻撃が可能であることを確認した。 委譲元から得た最低ランクの NS キャッシュを、偽権威の Answer に付随する Authority Section の NS で上書きして毒入れすることができ、そのゾーンを自由にできる。 これにより、現状では別途示した 1, 2, 3 の条件に関係なく容易に毒入れすることが可能である。 攻撃者は以下のようにターゲットのゾーンの NS を偽権威に向けることができる。
キャッシュポイズニングの開いたパンドラの箱
キャッシュポイズニングの開いたパンドラの箱 Opened Pandora's box of Cache Poisoning 鈴木常彦 2014.04.15 (Concept by 前野年紀 2014.02) / English version 背景 Kaminsky 2008年、Dan Kaminsky 氏が TTL に影響されない毒入れ手法を発表した。 しかし、偽応答のAdditional Section で毒が入るとされたのは誤りだったことを2011年に鈴木が明かにした。 http://www.e-ontap.com/dns/bindmatrix.html Müller Bernhard Müller の "IMPROVED DNS SPOOFING USING NODE RE-DELEGATION", 2008.7.14 https://www.sec-consult.c
インターノット崩壊論者の独り言 - デジタル通貨への政治的圧力? - 仮想通貨ラボがドメイン名を強制利用停止されたような、、、
EPIC2014 Google Public DNS (8.8.8.8, 8.8.4.4) 経由では本サイトにアクセスできないよう措置させて頂いております。 「仮想通貨ラボ 重要なお知らせ 今回のサイトダウンについて」という記事が出ていることを教えてもらいましたが、、、 whois に nameserver 指定されていますが、status が clientHold (利用停止状態)。そして .com サーバで引けない。 これ、政治的に強制利用停止を喰らったんじゃないですかね。単なる推測ですけど。 tao:~ tss$ whois kasoutuukalab.net Whois Server Version 2.0 Domain names in the .com and .net domains can now be registered with many different comp
インターノット崩壊論者の独り言 - 「浸透おそい」の原因はブラウザでしょ (Firefox編) - Firefox の名前解決キャッシュの謎 , Firefox の名前解決キャッシュの正体 , 結論
EPIC2014 Google Public DNS (8.8.8.8, 8.8.4.4) 経由では本サイトにアクセスできないよう措置させていただいております。 Firefox の名前解決キャッシュの動作が不可解だったので色々調べてみました。 「ISPのDNSキャッシュサーバはTTLを越えてキャッシュを保持するか?」の実験で用いている a.t.e-ontap.com は 5分毎に A レコードが切り替わるようになっています。 この http://a.t.e-ontap.com/ を Firefox 28.0 でリロードしながら観察するとおかしなことに気づきます。まず普通にリロードを行っても DNS 権威サーバ側で A レコードが切り替わっているのに、まるで HTTP の接続先が切り替わりません。さらにパケットダンプしてみると、DNSキャッシュサーバへ問合せを送り新しい A レコードを得てい
インターノット崩壊論者の独り言 - 再戦です - 一般社団法人JPNICを訴えました
EPIC2014 Google Public DNS (8.8.8.8, 8.8.4.4) 経由では本サイトにアクセスできないよう措置させて頂いております。 このたび一般社団法人日本ネットワークインフォメーションセンター (JPNIC) を相手取って裁判をはじめることとなりました。皆様のご支援をよろしくお願いいたします。(以下、以前のブログの改訂) JPNIC は平成23年8月31日に規約を一方的に変更し、我々中部アカデミックネットワーク(や多くの歴史的PIアドレスやAS番号の利用者たち)がそれに同意していないにも関わらず平成24年度から(JPNICができる前から使われていたものも含む)歴史的PIアドレスやAS番号に対して維持料を課すことを決め、平成9年に東海地域のネットワークの相互接続のために割り当てを受けた AS7520 にも昨年4月から維持料を請求してきました。これを無視していたとこ
維持料を負担すること自体は拒否していません。問題は維持料を払うことがその負担者を交えて民主的に決定されていないことなのです - インターノット崩壊論者の独り言(2012-11-26)
EPIC2014 Google Public DNS (8.8.8.8, 8.8.4.4) 経由では本サイトにアクセスできないよう措置させて頂いております。 このたび社団法人日本ネットワークインフォメーションセンター (JPNIC) を相手取って裁判をはじめることとなりました。皆様のご支援をよろしくお願いいたします。 JPNIC は平成23年8月31日に規約を一方的に変更し、私(や多くの歴史的PIアドレスやAS番号の利用者たち)がそれに同意していないにも関わらず平成24年度から(JPNICができる前から使われていたものも含む)歴史的PIアドレスやAS番号に対して維持料を課すことを決め、平成9年に東海地域のネットワークの相互接続のために割り当てを受けた AS7520 にもこの4月から維持料を請求してきました。これを無視していたところ年14.5%の延滞利息まで請求をはじめ、督促の電話も入るよう
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
DNS毒入れ擬似体験
Final Bomb for Internet
spamの語源
"DNSの学び方" - SECCON 2014 長野大会 鈴木常彦先生 (@.tss_ontap)