本日、JPRS がようやく重い腰をあげて注意喚起を発してくれましたが、その内容は危険性をよく理解して対策をとるにあたって十分な情報が含まれているとはいえません。
一方で注意深い攻撃者が探せば、ネット上にはすでに深刻な攻撃を行うのに必要な情報は十分に流れています。特に、JPRS が3月に慌てて co.jp などにこっそり入れた署名付き TXT レコードは大きなヒントに見えます。
DNS に詳しい攻撃者であれば、攻撃手法に辿りつくのは時間の問題でしょう。(すでに攻撃は行われているかも知れません)
長く秘密にしておくことは得策ではないと判断し、防御する側の心構えと手助けにして頂くべく、今回わかったことの要点を「キャッシュポイズニングの開いたパンドラの箱」に記載し公開させて頂きます。
今回の件は qmail.jp の前野さんが Müller の論文(2008)にある危険性を(再)評価し、論文に書かれている以上の危険性があることに気づき、私が前野氏の推測を元にインターネットシミュレータ上で様々な検証実験を行なうことで判明してきたものです。途中から JPRS にも報告してそれらの事実を確認していただき、彼らの検討からさらなる新事実(親子問題やDNSSEC運用の穴)も判明しました。
前野さんいわく、
さらに今回、Müller 論文から前野氏の洞察で導かれた問題の恐ろしさにくわえて、実験結果から、
DNS の仕様、特に RFC2181 にあるキャッシュの優先度の扱いにも大きな欠陥があることがわかりました。（実装依存ですが現状はとても危険です）
今回わかったことの多くは、本来は 2008年の Müller 論文をもっと早い時期に評価し大きく問題にすべきだったものです。
ただ、当時は Kaminsky の示した手法だけで十分危険と思われており、大きな騒動になっていたので、Müller の手法はその亜流としか見られていなかった可能性があります。
その後、2011年に Kaminsky の示した例では毒入れできないことを実験で確認しました。
その時に Müller 氏の node re-delegation も試してその効果を確認しましたが、残念ながらその応用による恐ろしい影響範囲までは気づきませんでした。
2008年そして2011年、その後今回の再検証まで私の目は節穴だったわけです。
しかし果たして世の DNS 専門家たちの目は節穴だったのでしょうか。
JPRS の発行した「実践DNS」には node re-delegation に似た RFC2181 の欠陥を突いた毒入れ手法が小さな脚注で明らかにされています。
彼らはこの方法で jp キャッシュに毒入れできないか検討しなかったのでしょうか。本当に今日まで事実に気づいていなかったのでしょうか。
諺に「ハンロンの剃刀」という言葉があります。「無能で説明できることを陰謀と思うな」という意味ですが、さて真実はどうなのでしょうか。
ちなみに今回の話は第一フラグメント便乗攻撃(アイコラ攻撃)と組み合わせるとずっと危険になる (ポートランダマイズが役立たない) 可能性があります。(実証はできていません)
フラグメンテーションが発生する大きさの DNS 応答を作り出す EDNS0 は DNSSEC のために作られたと言っても良く、これを世に送り出した Paul Vixie は EDNS0 の危険性を当初から「知ってた」と最近になって語っています。ため息しか出ません。隠し通すことでセキュリティは守られるのでしょうか。
今回の件でまた DNSSEC 推進の声が聞こえてくるでしょうが、DNS を葬るまえにまず DNSSEC を葬って、もっと他にやるべきことを考えた方がよいでしょう。すべてのドメインが DNSSEC を実装する前に、DNS は終わりを迎えるでしょうからね。(ちなみに DNSSEC なサーバが偽 root を見破るとどうなるでしょうか → すべての名前が引けなくなります)
インターノットは砂上の楼閣です。インフラになんかしてはいけません。ずっとこのブログで言い続けていることです。
そろそろご理解いただけましたでしょうか。
参考:前野さんの解説ページ https://moin.qmail.jp/DNS/毒盛
今回の経緯
Copyright by T.Suzuki
インターノット、ってなっているところがあります。
インターノットですから。
インターノットwww
っ http://www.e-ontap.com/internet/
「放置されてきた DNS の恐るべき欠陥」ですね。DNSSECへ誘導したいからでしょう。<br>なぜ、手間のかかる（それだけで安全からは遠ざかる）ものに？<br>利権というか、お金になるからです。（戦争が起きて儲かるのは武器商人）
ほとんど話題になりませんね。みなさんDNSの怖さを知らないのかな。
間違いの「わかりやすい説明」の方を見ているひとがどういう感想なのか、知りたいけど、<br>知る手段はなさそう。
「前野さんの解説ページ」の証明書が…
前野さんなりのメッセージですよ。何を信用しますか?
あー、なるほど。そういうことなんですね。<br>ありがとございます。
「なるほど」で帰ってもらえた。よかった。
「お祭りは終わったのか」とか言う人がいたので、「これからです」と言っておきました。<br><br>責任の自覚がないひとだとはっきりした。
一部でパンドラポイズニング (パンドラの毒入れ) と呼ばれているらしい。
ISC が BIND10 の開発保守を放棄したとのニュースがありました。この問題が根本解決されることはないかもしれません。
正しく理解していると思えるtweetもblogも見当たらないのが気がかりです。<br><br>修正される可能性のあるところにはコメントを投げているのですけど、かんばしくない。
JPRSがなにか発表するというのは口封じ（またま一週間延ばす）のための出まかせだったという気がしています。あるいは社内での抗争があるのか。<br><br>DNS/TCPの話題が増えているのは、業界でも危険性を認識していることの現れだと思いたい。
TCP にしたらどうまずいのか、説明があってもいい。 性能的な問題なら、Google とか Amazon に root を任せるということも検討してもいいのではないか。
「放置されてきた」というのが適当なのかどうか。
海外に伝わっていない（らしい）ままではまずいのではないでしょうか。<br>（運用に関わっているひとが理解できないままだと。）
「放置されてきた」というより、必死で隠蔽していたのに、「王様は裸だ」という子供が現れたというところでしょう。<br><br>そこで、「DNSSECを使っていないで、なにを今更」というのが nic.fr の対応ではないでしょうか。
一周年となりましたが、注意喚起が進んでいないせいで、実装と運用で可能な対策も進んでいません。
二周年になって、対策案はやっと出来上がりましたが、これにもまだ反応は悪いので、現実の対策は進みません。どうしたものでしょう。
プログラマをやって10年になりますが、ここ1年情報処理SCの勉強をしていて、やっとこういう内容が問題になっていることを知りました。ドノスは奥が深いんですね。
IPA は問題にしたがっていませんけどね。