1. DNSの諸問題
DNSを信用するのは危険です。
かけられる費用を考慮すれば、危険性を承知しておくことも重要です。
使いつづけられる間は使い続けていくしかないでしょう。 -- ToshinoriMaeno 2015-04-25 00:02:38
Contents
1.1. 設計、設定、負荷、運用
- DDoS に弱い。 （攻撃元が偽装されているので、防御が手間）
DDoS (攻撃）に利用されやすい。 「未熟なDNS」と言われています。
- DNSキャッシュサーバに毒盛される。 （案件）
- DNS管理が乗っ取られる。 （TLD)
- 権利のないゾーン登録を排除しない。（共用ゾーンサービス、 実例 さくら）
- 未熟な管理、未熟なサービス
- 間違った設定、間違ったゾーンデータ
1.2. 勉強しようとしない利用者
- DNS障害、DNSエラーに戸惑うひとたち。
- 「DNS浸透を待て」にごまかされるひとたち。
- 「DNS浸透神話」を利用する業界
- ネット上に氾濫する間違い情報
-> DNSを信用するのは危険
1.3. DNS RFC の問題
基本RFC DNS/RFC1034, DNS/RFC1035, DNS/RFC2181
- 悪い人はいないという前提での出発, 場当たり的習性
- DNS の構造による脆弱性 (root サーバへの DoS 攻撃、TLD サーバの 方が弱いでしょう。)
1.4. 実装の不良
(問合せ爆弾なども) BIND, Unbound, PowerDNS, MS DNS サーバなど実装不良の多さ。
[http://jprs.jp/tech/notice/2003-12-10-bind-8.4.3.html query を出し続ける不具合]]など、
偽データを取り込み易いキャッシュサーバ
- Ghost Domain Names 脆弱性
1.5. 運用ミス
1.6. レジストリ
1.6.1. レジストラ
- Verisign 問題など -- wild card を含む存在しないドメイン内のレコードを返す Verisign は .com/.net の SOA レコードを変更するそうです。
- minimum TTL が 86400 から 900 になることの影響を見のがしている人がほとんどです。(AAAA の問合せを参照のこと)
- 上位との名前の不一致
- authority なしの返事
- セカンダリサーバの不良、ゾーン転送の不良
1.7. DNS サーバの設定不良
http://D/separation.html コンテンツサーバとキャッシューサーバの同居など
DNS/ドメイン管理 問題
1.8. コンテンツサーバ内のデータ不良
特に ISP の DNS サーバ)
- ゾーン外の NS 名に対する余計な A レコード
- 一部の type の 問合せにしか返事しないサーバ (負荷分散用のサーバに見られます。AAAA など)
DNS/短かすぎる TTLなど (negative caching TTL を含む) http://D/checklist/ 個別レコードについて]]は別途扱います。
- 返答中の余計(無駄)なレコード、重複レコード： additional, authority section
- recursive query サービスにも関係がありそうです。
- ゾーン外の名前を含むレコード(NS, MX)に対する A レコードなど
- recursive query サービスにも関係がありそうです。
DNS/逆引き設定の不良 (特にDNS/クラスレスの委譲)
1.9. 利用側
- root server への無用な問合せ (存在しない TLD など)
- ローカルアドレス の問合せ問題
http://D/IPv6/ipv6config.html IPv6 問合せ問題
- 負荷分散(?) のための問合せ
- dns blacklist 乱用
- 問合せの繰返し(キャッシュサーバの設定、port ブロック)
dynamic DNS (TTL、身元隠し)
1.10. 基礎
UDP を使うことの弱点
- DNS データの騙り攻撃;
- DoS 攻撃 (recursive query も関与) これらをきちんと理解して、対処できることが DNS 管理者には必要です。
管理者の養成が最重要です。 「だれが養成できるか」という大問題があります。:-) そして、だれが負担するか、も。
1.11. 参考資料
http://wiki.tokai-ic.or.jp/hiki.cgi?DyingDNS DNSの低信頼性とさらなる低下(東海インターネット協議会のWikiサイト)