1. DNS/毒盛/Mueller/fujiwara

9月になってもこう言っている。（まともな対策案を出せない）

• 対策案がないから、警告も出せないということなのか。

2014年電子通信学会 (9月になって、学会での発表）

2. 発表

藤原　和典

http://www.ieice.org/~ia/archives/ia20140906/20140912-ia-fujiwara.pdf

「根元」は攻略されたのか ～ DNSキャッシュポイズニング攻撃とその対策について 改めて考える ～

（最初のスライドすら、おかしいが）

• 攻略されていないという主張かと思ったら、...

-- ToshinoriMaeno 2017-01-30 20:51:45

slide 47

権威DNSサーバでの対策

 •  NSがないドメイン名はすべて攻撃対象
 •  子孫と同居しているとすべて攻撃対象
ということで、
　  一段ごとに完全にゾーン分割
　　一段ごとに権威DNSサーバを分離
するとある程度守れるのではないか

slide 48 ホスト名の守り方

• ホスト名  ごとに  ゾーンとDNSサーバアドレスを分ける
• ホスト名と同じアドレスをホスト名ゾーンのDNSサーバとする

問題点
–サービスアドレスと、権威DNSサーバが同じアドレス
– 変更時には上位のグルーと下位を同時に変更
– 権威DNSサーバのアドレスを増やすと、サービスアドレスも増える
– 内部名のDNSサーバ名には適用不可能
   •なぜなら、親子同居になるため
   •どこかには必ず内部名のDNSサーバが必須のため、どこかで負ける
–  RFC 2181 Ranking問題のバグを持つサーバへの注入は可能

slide 49

中間ドメイン名の守りかた
•すべての階層をゾーンに分割– IPv6の逆引きどうするんでしょうか？

slide 50

JPでの 中間ドメイン名対策の可能性

中間ドメイン名(dns.jp)
•  2014/6/24 JPRSはdns.jpをJP DNSから分離しました
  – IPアドレスも変更