広く知ってほしいDNSのこと ―とあるセキュリティ屋から見たDNS受難の10年間―
広く知ってほしいDNSのこと ―とあるセキュリティ屋から見たDNS受難の10年間―1. ssmjp20171031 広く知ってほしいDNSのこと ～とあるセキュリティ屋から見たDNS受難の10年間～ 2017年10月31日 NRIセキュアテクノロジーズ株式会社 日本DNSオペレーターズグループ Internet Week 2017 プログラム委員会 中島 智広 2. Copyright（C） NRI SecureTechnologies, Ltd. All rights reserved. 1 本日のゴール 参加者全員が以下のキーワードの区別が付くようになる ▪ スタブリゾルバ、フルリゾルバ、ネームサーバ ▪ レジストラ、レジストリ 「DNSの脅威」を正しく知り、正しく怖がる 「DNSの浸透問題」が都市伝説であることを知る 技術者としてDNSを正しく理解し、備えるモチベーションを得
SAD DNSのICMP rate limitを用いたサイドチャネル攻撃について - knqyf263's blog
脆弱性ネタは人気がないことが過去の傾向から明らかですが、自分が震えるほど感動したので忘れないためにも気合い入れて大作を書きました。 要約 背景 SAD DNSの解説 全体像 UDPのソースポートについて ICMP rate limit per-IP rate limit global rate limit Public-Facing Source Portのスキャン Private Source Portのスキャン 攻撃Windowの拡張 サイドチャネル攻撃でUDPソースポートを推測してみる 対策 攻撃実現性 まとめ 要約 ちゃんと理解するの結構難しいという話があったので、先に要約しておきます。雰囲気だけでも掴んでもらえると嬉しいです。 DNSキャッシュポイズニングの新しい手法としてSAD DNSが発表された キャッシュポイズニングのためには権威DNSサーバ正規の応答を返すより先に攻撃者が
DNSSEC はなぜダメなのか
DNS に依存している 腐り沈みゆく船 (DNS) の上に継ぎ足しで新しい船を築くのは愚か DNSSEC は難しすぎる 強度の弱い暗号を用いているため、鍵を定期的に更新しなければいけない (そして失敗) 鍵を証明する情報を定期的に上位組織 (委任元) に預けて署名し直してもらわなくてはいけない (そして失敗) ルートの鍵を証明する情報を定期(?)的に世界の検証サーバたちに配布し直さなくてはいけない (歴史上始めての更新が今年行われつつあり障害発生が危惧されている) 運用事業者の移管の際に事業者間で安全に鍵を受け渡すことが困難 運用事業者の移管の際に一旦署名を外すのは安全性と可用性を下げる DNSSEC 署名対応事業者から非対応事業者への移管で事故も起きている (移管元も移管先も委任元に預けた鍵情報を消さなかったのが原因 / 一部の有志たちが作成したガイドラインがあって移管先が消すことになっ
DNS Amp攻撃の解説と、踏み台にされないためのBIND DNSの設定
誰もが攻撃者側になる可能性のあるDNS Amp攻撃 古くからその危険性を指摘され、今だ被害が拡大しているDNS Amp攻撃。 DNSサーバの脆弱性を突かれてDNS Amp攻撃の踏み台にされないように、攻撃の詳細と対策についてまとめました。 DNS Amp攻撃について 多くのサイトで解説されているので、このページでは簡単にわかりやすく解説します。 「Amp」とは「アンプ（増幅器）」のことです。 攻撃者はDNSへの問い合わせと、キャッシュ機能を利用してデータの量を増幅させます。そのデータを対象とするサーバへ送信することで、回線をパンクさせるDDos攻撃の一種です。 1.攻撃者は特定のサーバを乗っ取りDNSレコードの内容を書き換える 実際にDNS Amp攻撃攻撃に使われるゾーンファイルレコードの例 example.com. 21600 IN A 1.1.1.1 example.com. 2160
無料・ダイナミックDNS(DDNS)サービス - ieServer.Net
IPアドレス更新が出来ない等障害発生時は迄御一報いただけますと幸いです（本文は空白とし、件名欄に障害状況を簡潔に御記入下さいますようお願いいたします）。 ダイナミックDNS(DDNS)サービス概要 ダイナミックDNS(DDNS)ってなに？ 家サーバーを外部に公開しようとした場合、接続プロバイダーから割り振られたIPアドレスが、固定IPアドレスでも、接続毎にアドレスが変わるダイナミックIPアドレスでも、ＤＮＳサーバを立ち上げてドメイン名を付けなければ、外部から接続する場合に呪文のようなIPアドレスを直接入力してもらう事になります。 固定IPアドレスなら一度ブックマークしてもらえばIPアドレスでの運用でも問題は無いのですが、接続する度にIPアドレスが変わってしまうダイナミックIPの場合は、変わったIPアドレスをどう利用者に知らせるかという問題が出て来ます。 これを解決するのがダイナミックDNS
Amazon EC2から負荷テストを行うときの落とし穴と対策 | DevelopersIO
ども、大瀧です。 ここのところ新機能を追いかける記事ばかりだったので、今回は少し毛色の異なるノウハウ系を書いてみます。 負荷テストの前置き(読み飛ばし可) 「Webサイトがテレビ番組で紹介されることになった！大幅なアクセス増がやってくる！」という場合に、ロードバランササービスのElastic Load Balancing(ELB)やCDNのCloudFrontなどスケールするサービスを組み合わせ乗り切るというのは、クラウドらしい柔軟性の高さを活かせる典型な例かと思います。実際、弊社の事例でも多くのお客様に提供し、ご好評をいただいています。 これらのサービスを構成するにあたり、実際のアクセス増に耐えられるか試すため負荷テストを実施することも多いと思いますが、大規模なケースになってくると難しいのが負荷テストを実施するマシンの確保です。これについてもAmazon EC2であれば、Auto Sca
Nginxでproxy_passにホスト名を書いた時の名前解決のタイミング - （ひ）メモ
Nginx 1.4.2で試しました。 ネームサーバーは、ローカルのunboundをlocal-zone, local-dataを使って簡易コンテンツサーバーにして試しました。 local-zone: "oreno." static local-data: "api.oreno. 30 IN A 192.0.2.11" # local-data: "api.oreno. 30 IN A 192.0.2.12" proxy_passにホスト名を書くと→名前解決は一度だけ このように Nginx の設定を書いた場合、 location /api { proxy_pass http://api.oreno:9999; } 「api.oreno」の名前解決は、nginxの起動時に行われます 名前解決できない場合は、nginxは起動しません 名前解決できた場合は、ずっとそのIPアドレスにreverse
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Why the use of DNS "short names" should not be used as a strategy - Zebulak