1. DNS/毒盛再考/ゾーンなしドメイン名

Contents

ゾーンとしては存在していないドメイン名は偽NSという毒で偽委譲され易い

1.1. ゾーンではない属性JP

属性JPドメインでは xxxxxx.co.jp のようなドメイン名を使っています。

co.jp というゾーンは存在していない。

この構成を利用して、co.jp ゾーンが存在するかのような偽返答を返してやると、比較的簡単にキャッシュへの毒盛が成功すると考えました。

毒盛可能なことをJPRSに連絡しました。 (第一報は2014-2-15）

危険性について、JPRSは一部のキャッシュサーバ提供業者には説明しているようです。

私は以前から、Mueller 手法を説明しています。これを機会に co.jp を例に毒を入れる方法の説明をします。 -- ToshinoriMaeno 2014-04-28 08:08:39

co.jp がゾーンとして、 jp から委譲(委任）されているかのように NS レコードをキャッシュさせる。

Kaminsky 型攻撃：キャッシュされていそうもない名前 $$(random).co.jp を問い合せる。
- キャッシュにない場合、キャッシュは jp NS サーバに問い合せる。
  - 通常の返事はNXDOMAINだろう。
Mueller 攻撃（偽返答）：　co.jp NS がキャッシュされていないことを利用する。
- co.jp NS xxx という返答を送りつける。（co.jp zone は存在していないので、キャッシュにはないはず）
通常返答のチェックを通れば、 co.jp NS としてキャッシュされる。 TTL 限界まで生き残ることを期待する。
- もともとゾーンとしては存在しないので、通常返答では NS が上書きされることもない。
キャッシュされていない *.co.jp が問い合せられた場合にはこの偽NSが使われる。 (毒として効果を示す；キャッシュの通常動作）
NS の TTL 期間はキャッシュされる可能性がある。　（Ghost Domain Names 脆弱性があれば、いつまでも残るかも）

このように非常に簡単にco.jp のような重要なドメインが乗っ取れる。

-- ToshinoriMaeno 2014-04-29 03:10:33

Mueller 手法は Kaminsky 講演とおなじ 2008 年に公表され、2009年にはKaminsky も取り上げています。

これほど簡単な話をDNS専門家が知らなかったとは考えづらいのです。

攻撃する側はすでに十分な知識を持っているはずなのに、対策すべき側のほとんどのひとに知らされていない。

このまま黙って待っていることはできない、ということで公開しているものです。 -- ToshinoriMaeno 2014-04-29 10:00:23

co.jp に毒盛できたからと言って、 jp や net のような TLD に対して簡単に毒が入るものではありません。

MoinQ: DNS/毒盛再考/ゾーンなしドメイン名 (last edited 2021-05-01 23:59:20 by ToshinoriMaeno)