昨日さくらインターネットから「DNSサービスへのドメイン登録時における不具合について」という控えめなアナウンスがなされましたが、これだけの情報ではそれが意味するところの深刻性は多くの人には伝わらないでしょう。
そして今日、徳丸さんの日記に「さくらDNSにサブドメインハイジャックを許す脆弱性」という記事が出ました。以前より qmail.jp の前野さんが指摘を続けてきた問題です。
徳丸さんのまとめだけ見てもその危険性が深刻なことはわかるでしょうが、ハイジャックできたのはサブドメインだけではないはずですし(とりあえず詳細は控えますが問題の根はVISA.CO.JP事件にまで遡ります。あのときもっと突っ込んだ対応を業界がしていればよかった)、問題を抱えているサービスはさくらだけではないでしょう。さらに前野さんによれば、私も理解できていない深刻な問題が含まれている(いた?)ようですので、今後の前野さんの解説、警告に期待したいと思います。
この問題は単にさくらのサービスの不具合という話ではなく、業界、そして DNS そのものの根本に関わる大きな問題だと私は思っています。今後、さくらやJPRSがどう業界のなかで旗振りをしてこの問題に取り組んでくれるかを注視したいと思います。
p.s.
今日の日記のタイトルに「DNS権威サーバ」と書いてしまったが、権威のないものを答えるサーバを「権威サーバ」というのはおかしいな。やっぱり「コンテンツサーバ」と言うようにしたほうがいいと思う。ああ、それと、危ないのは共用のサーバだけじゃない。DNS はすべからく危険です。
追記:
6/22: JPRS ■サービス運用上の問題に起因するドメイン名ハイジャックの危険性について
6/30: さくらインターネット 当社DNSに関するお知らせ
ある老舗の地域ネットワーク運営団体のドメイン名(某.or.jp)が VISA.CO.JP 同様にハイジャック可能な状態になっていることに気づき、6月16日(土)13:43 にある放棄されたドメイン名(某.net)を取得(登録というのが正しい)しました。関係者(某有名人)にはすぐに連絡しましたので、近いうちに対処されるものと思います。
それはいいとして(よくないですが)、DNSを立ち上げてログを見てみると、すごい勢いで query が飛んできます。その名前がなんと ntp.***********.net となっています。サーチエンジンで調べてみると、昔、割と広く使われいた NTP サーバのようです。ちょっと躊躇しましたが、日曜になって、ファイアウォールで 123番ポートを遮断した上で、ntp.***********.net の A レコードを登録してみましたところ、今日までに1800以上の IP アドレスから接続がありました。接続元の IP アドレスのリストをこちらに置いておきますので、自分が関係するところがないか確認するとよいでしょう。多くはパソコンだと思われますが、一部サーバらしきものもありますね。
さて、NTPサーバを乗っとると何ができるでしょう。単に相手の時間を狂わせることができるだけなのですが、二次的には大変な被害が発生しそうです。あまり検証したことないのですが、時間をずらされたサーバではいろいろな障害が発生することが予想されます。Windows の ADサーバがクラッシュするという話も耳にしました。いろいろ落ちるサービスはあるでしょうね。データベースの類もやっかいなことになるでしょう。それとやっぱり DNSSEC ですね。DNSSEC は時間が正しく運用されていることが前提となっています。これが狂うと検証に失敗し、署名されたドメイン名は存在しないことになってしまうそうです。(私は検証していませんけど)
そして、DNSSEC は今回のような NTPサーバのドメインが乗っ取られる事象に対しては無力です。乗っ取ったなんて言っていますが、単に所有者が変わっただけの話ですから。無力な上に脆弱、困ったものです。皆さんがお使いの NTP サーバは信用できますか?
追記:
思うに、中古ドメイン名の取引は禁止されてしかるべきだと思う。危険過ぎるし、いらなくなったドメイン名を保持し続けて原野商法業界に大金を巻き上げられるのは辛くないですか? 皆さん。
追記2:
接続元の IP アドレスが2,300を越えたのでリストを更新しました。また .JP を抜き出したリストを作って見ました。
p.s.
タイトルは void さんに頂きました w
何を言っているのかわからないでしょうが、「まさか」なレンタルDNSコンテンツサーバを発見してしまってショックを隠しきれず、とりあえずブログに殴り書きをしています。
■ 「さくらDNSにサブドメインハイジャックを許す脆弱性」ってのは過小評価、という記事を先日書き、JPRSからも注意喚起文書が出たところですが、どんなゾーンのデータでも登録できてしまい、しかもキャッシュ兼用などというレンタルサーバを提供している、とんでもない「まさか」のレンタルDNSプロバイダが存在しているのを見つけてしまいました。たまたまなので他にも危ないところはたくさんあるのではないでしょうかね、、、
今夜は頭も胃も痛くなってきたので詳細は後日にまわすことにして、梅酒飲んで寝ます。
6/26追記
この記事について、stealthinu さんが「どんなドメインも登録できてしまうDNSサーバの危険性」という解説記事を書いてくださいました。どうもありがとうございます。世間に危険性が理解されていないのではないかという焦りが感じられますね。私も近いうちに続報を書くつもりです。
Copyright by T.Suzuki
Before...
■ tm [さくらと同様の脆弱性を抱えていた業者（Dozens, Value-Domain）の存在は明らかになっています。それ以..]
■ tm [過小評価の意味を理解した人はどれくらいいるか。 「過小評価」はもっと大きな脆弱性がいろいろある（あった）ことが 「..]
■ tm [一年になるが、さくらはまともな対応ができない。それを指導しないレジストリも問題を分かっていないのかもしれない。共用D..]