HTTPSレコードがRFCになりました | IIJ Engineers Blog
RFC9460が出ました 昨年、このエンジニアブログでHTTPSレコードについてとりあげました。これを書いたときはHTTPSレコードはまだインターネットドラフトだったのですが、2023年11月、ついにRFC9460として標準化されました。 RFCにはなったけど日本語の詳しい記事はまだ少ないし需要あるかなーと思って改めて解説を書きはじめたんですが、だらだらとクソ長くなって書いた本人が読んでも眠くて退屈な内容になってしまいました。ので、書いたものはばっさり捨てました。 そういえばいまから3年前、DNS Summer Day 2021で発表したプレゼン資料がありました。これをRFCになった現在の内容にあわせてアップデートしたほうがてっとりばやいしわかりやすそうです。 ということで、加筆修正した資料を置いておきます。DNS屋さんはとりあえず全部読んでおいてください。Web屋さんは前半だけ理解してお
「DNSに対する最悪の攻撃」 DNSSEC設計の根幹に関わる脆弱性「KeyTrap」が見つかる
「DNSに対する最悪の攻撃」 迅速なパッチ適用を推奨 ATHENEによると、KeyTrapを悪用した場合、単一のDNSパケットが結果的にCPUの使い果たしを誘導し、「Google Public DNS」やCloudflareのDNSなど広く使われているDNS実装やパブリックDNSプロバイダーを全て停止させることが可能だ。発表によると「BIND 9」を16時間ダウンさせたとされている。なお、この欠陥は「CVE-2023-50387」として特定されている。 この攻撃はインターネットの基本的な機能に深刻な影響を与え、世界中のWebクライアントの大部分が利用不能になる可能性がある。主要なDNSベンダーはこの攻撃を「これまでに発見されたDNSに対する最悪の攻撃」と呼んでおり、状況の重大さが指摘されている。 KeyTrapを悪用するサイバー攻撃者は、DNSSECを検証するDNSリゾルバを利用する全ての
なぜ我々はsession.cookieを変更しなければならなかったのか - BASEプロダクトチームブログ
はじめに こんにちは。バックエンドエンジニアの小笠原です。 今回は、2022年2月18日から2022年3月4日にかけて発生していたこちらの障害に対し私達開発チームが実施した、session.cookieで定義しているCookieのkey名を変更するという影響範囲の大きい対応について、実施に至るまでの経緯や対応過程についてご紹介したいと思います。 ショップオーナー向けに掲載していたお知らせの内容 背景 全ては iOS14.5から端末識別子の取得に同意が必要になったことから始まった ことの発端は、iOS14.5以降からIDFA（端末ごとに持つ固有識別子）の取得に端末所有者の許可が必要になったことでした。 この変更は、端末所有者側から見ると情報の活用範囲を自身で管理できることでよりプライバシーに配慮されるようになった良い変更と言えるでしょう。 一方で、広告出稿側から見た場合は拒否をしたユーザーの
Public Suffix List の用途と今起こっている問題について | blog.jxck.io
Intro Public Suffix List (PSL) は、現在の Web プラットフォームの一端を支えている非常に重要な要素だ。 実はこれが、少数のボランティアにより GitHub でメンテナンスされた、単なるテキストリストであることは、あまり知られていないかもしれない。 最近、このリストへの追加リクエストがあとを絶たず、問題になっている。 そもそも PSL とは何であり、今どのような問題が起こっているのかについて解説する。 Public Suffix List とは何か PSL を解説するには、まず関連する用語について整理する。 Top Level Domain (TLD) 例えば、このブログのドメインは blog.jxck.io であり、これは筆者が取得したドメイン jxck.io のサブドメインだ。 jxck.io は、 .io という TLD のサブドメインを販売しているレ
Dnsmasq - network services for small networks.
Dnsmasq provides network infrastructure for small networks: DNS, DHCP, router advertisement and network boot. It is designed to be lightweight and have a small footprint, suitable for resource constrained routers and firewalls. It has also been widely used for tethering on smartphones and portable hotspots, and to support virtual networking in virtualisation frameworks. Supported platforms include
DNS over HTTPSの必要性について - Qiita
なぜ今までのDNSでは問題があるのか インターネット上の通信の多くは、ブラウザを利用したウェブによるものです。 セキュリティ向上のため、GoogleやFireFoxといった大手ブラウザベンダーが平文通信であるHTTPから暗号通信であるHTTPSへの移行を推奨し、盗聴・改竄・なりすましといった問題を解決することが出来ます。 しかしながら、そのHTTPS通信をする前のDNSによるドメイン解決は暗号化されておらず盗聴でアクセスするホスト名を把握される、なりすましで偽の応答を返されるといった可能性があります。 それを防ぐための方法の1つが、DNS over HTTPSです。 DNS over HTTPSとは 今までDNSサーバ（フルリゾルバ）の（主に）UDPポート53番に対して行われていたDNSによる名前解決を、TCPポート443番に対するHTTPS(HTTP/2 over TLS)通信上で行うプ
「ネット世界の証明書の30％はLet’s Encrypt製」「3017年まで有効な証明書が1000件以上」など3億5000万件のSSL接続データセットからわかったことは？
by TBIT 「『最近のウェブで、SSLはどのように使われているのか』という既存データセットがなかったので自分で作った」というリー・バターマン(@leebutterman)さんが、その3億5000万件のSSL接続データセットを分析し、「どこの証明書が多く使われているか」やどういった暗号スイートが人気かという情報をまとめて公開しています。 Let’s Encrypt makes certs for almost 30% of web domains! RC4/3DES/TLS 1.0 are still used! Certs for hundreds of years! Analyzing hundreds of millions of SSL handshakes | Little Short Bulletins https://www.leebutterman.com/2019/08
Squid で SSL Bump なプロキシサーバを構築する - 約束の地
結論 細かく書いている時間がないので、以下は手順だけとさせてください*1。 なお、SSL Bump は MITM（中間者攻撃）とほぼ同等なロジックのため、（不）特定多数のユーザが使う場合には注意が必要です。 前提 CentOS 7 です。 手順 CentOS 7 の場合は Squid のライブラリは /usr/lib64/squid にあります。 1. 証明書のキャッシュディレクトリを作る ssl_db は私が勝手に命名したディレクトリ名です。任意の名前で構いません。 $ sudo /usr/lib64/squid/ssl_crtd -c -s /path/to/ssl_db $ sudo chown squid:squid -R /path/to/ssl_db 2. 証明書のファイルと秘密鍵のファイルを作成する Chrome 対策のために CN だけでなく SAN (Subject Al
「.amazon」ドメインの利用を巡ってAmazonと南米8カ国が係争中
2012年にトップレベルドメイン(TLD)の登録が緩和されて以来、さまざまなTLDが誕生してきました。その中で「.amazon」というTLDを巡り、Amazonと南米諸国が対立しています。 Amazon doesn’t want 8 South American countries to use the “.amazon” do https://www.fastcompany.com/90330554/amazon-doesnt-want-8-south-american-countries-to-use-the-amazon-domain Amazon may finally get its hands on .amazon after world's DNS overseer loses patience • The Register https://www.theregister.c
Home
PowerDNS is a leading provider of secure open-source and commercial DNS software. PowerDNS solutions are focused on large-scale DNS service providers, including mobile and fixed-line broadband operators, and hosting and cloud service providers. PowerDNS also underpins scalable security solutions from market-leading vendors. Providers trust PowerDNS to deliver an excellent user experience and prote
BIND 9 ゾーンファイル Dynamic Update の設定方法
概要 DHCP 環境下などで IP が動的に付与される場合は DNS レコードを動的に更新する必要があります。これを実現する Dynamic Update 機能が BIND 9 には実装されています。使用方法をまとめます。Dynamic Update に対応した DNS を特に Dynamic DNS または DDNS とよぶことがあります。なお、事前にこちらの手順にしたがって必要なソフトウェアはインストール済みであるとして記述しています。 ゾーンファイルの作成 ローカルホストに example.com のマスター権威ネームサーバを構築して Dynamic Update の実験をします。ファイル内容の意味についてはこちらを参照してください。 /var/named/example.com.zone $TTL 60 @ IN SOA ns1.example.com. username.exam
「France.com」のドメイン所有者がフランス政府にドメインを奪われようとしている
by Patrick S. 2018年3月12日、「France.com」サイトが突然オフラインになりました。France.comは24年間、観光旅行の予約サイトとして運用されてきたのですが、記事作成時点ではフランス政府公式の英語版にリダイレクトされるようになっています。リダイレクトされた先はフランス政府が運営するサイトであり、このリダイレクトの裏には、「France.com」の所有者とフランス政府による激しい法廷闘争があります。 This man is fighting the French government for control of France.com - The Verge https://www.theverge.com/2018/4/30/17302000/france-website-domain-name-lawsuit-french-government 「Fra
Announcing 1.1.1.1: the fastest, privacy-first consumer DNS service
Announcing 1.1.1.1: the fastest, privacy-first consumer DNS service Loading... Cloudflare's mission is to help build a better Internet. We're excited today to take another step toward that mission with the launch of 1.1.1.1 — the Internet's fastest, privacy-first consumer DNS service. This post will talk a little about what that is and a lot about why we decided to do it. (If you're interested in
DNSが使えなくなるトラブル、9月19日に発生する恐れ
DNS（Domain Name System）は、インターネットの名前解決を担う重要なシステムだ。ところが、2017年9月19日にDNSのトラブルが発生する恐れが浮上している。そのキーになるのが「DNSSEC」（DNS SECurity extensions）という技術だ。 DNSSECは、DNSの安全性を高める技術である。電子署名を利用してDNSから送られているデータの信頼性を検証することで、送信元の偽装を見抜く。日本での普及率は1割程度だが、8割以上普及している国もある。 DNSSECは公開鍵暗号方式を利用する。ドメインの管理単位であるゾーンに署名するゾーン署名鍵の「ZSK」（Zone Signing Key）と、ZSKに署名する鍵署名鍵である「KSK」（Key Signing Key）の2種類の鍵を使う。DNSの委任の仕組みを利用し、ルートサーバー（ルートゾーン）を頂点として、上位の
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Acrylic DNS Proxy
Updates to a BIND dynamic zone that is shared between views delayed
DNSSECとDNS update(RFC2136,nsupdate)とdelegation – kana.me 要
Creating a TXT only nsupdate connection for Let’s Encrypt – Dan Langille's Other Diary
IPアドレスを保存しない高速パブリックDNSサービス「1.1.1.1」、APNICとCloudflareが無料提供 
新gTLD「.shop」、49億円でGMOが落札、AmazonやGoogleなどに競り勝つ 