6月14日の記事『「さくらDNSにサブドメインハイジャックを許す脆弱性」ってのは過小評価』に関して、6月29日にさくらインターネットから当社DNSに関するお知らせという記事が出ました。
このお知らせを評価するのは難しいですね。あまり丁寧に書いてしまうと危ない話なのですが、わかりやすく書かなくては「お知らせ」になりません。私はよくここまで書いたなと素直に思っていますが、それでもどういう脆弱性があったのか(あるのか)という点については曖昧な点や書かれていない話(まあ書くと危ないとは思いますが)もあります。
この話がなぜ深刻なのかはDNSの仕組みを理解していないと理解できないでしょうからここでくどくど説明しませんが、一言でいうと誰もがゾーンデータを登録できる共用DNSコンテンツサーバはとても危険だということです。そしてそのことに今回ようやく一部の人たちが気づきはじめたということです。ゾーンデータというのはよほど慎重に管理されていないと「誰もがゾーンデータを登録できる」サーバでなくとも、ドメイン名のハイジャック(VISA.CO.JP事件を憶えていますか)が生じてしまう可能性があるのです。それを共用のサーバにおいて生じないようにするのはとても難しいことだと私は思っています。
さくらの「お知らせ」ではとりあえずの対策が報告されていますが、同種の対策さえもやっていない危険な事業者は他にもいくつもあるでしょう。ゾーンデータの取扱いについて何の説明もない事業者は要注意です。「まさか」と書いた事業者は最低限の対策をした旨のメールを数日前(水曜)にくれましたが、要求した利用者への説明はいまだに出されていないようです。(彼ら自身が報告しなければ私からまた報告させてもらいます)
さくらの「お知らせ」には根本対策として所有確認を今後行っていく旨が書かれていますが、私は所有確認というより登録の正当性確認が必要だと考えています。それも登録時点だけでなく常にです。果たしてそこまでできる事業者があるでしょうか。さくらの現在の対策でも複雑で、下手すると引越し中のドメインなどに悪影響がでるかもしれませんし大変そうです。さくらの「お知らせ」をとっかかりの試金石としてDNS業界がどこまで健全化が図れるか、今後を見守りたいと思います。
そもそもDNSにおいて共用サーバで集中管理するようなサービスはやってはいけないサービスだったのかもしれません。
ここのところ、私を含む一部でいろいろと騒いでいる共用のDNSサービスの危険性に関して、重要で緊急の注意喚起が JPRS から本日付けで指定事業者に流されており、明日 JPRS さんから一般公開されるらしいとのことです。ある事業者さん曰く「オシッコちびっちゃうタイトル」だそうです。みなさん、おむつをして発表に備えましょう。
なお、例の「まさか」の事業者さんにも私のほか JPRSさんからも事前連絡が言ったとのことで、次のようなアナウンスがなされていました。
DNS関連サービス／システムにおける危険性への緊急対策について（2012.7.3）
考察はあすの発表を待ちましょうかね。
JPRSから本日付けで「権威／キャッシュDNSサーバーの兼用によるDNSポイズニングの危険性について」<http://jprs.jp/tech/security/2012-07-04-risk-of-auth-and-recurse.html>という注意喚起文書(業界用語では通称「重複」)がでました。また、あわせて、「ドメイン名ハイジャック」及び「DNSポイズニング」の危険性に関する一連の注意喚起について<http://jprs.jp/tech/security/2012-07-04-risk-of-shared-dns.pdf>という解説資料もだされています。
重大なポイントは大きく2つ。
まず、共用DNSコンテンツサーバ(キャッシュ兼用は関係ない)にこんなゾーンの設定がされていて、
example.jp. IN NS bogus.example.ad.jp. www.example.jp. IN A 192.0.2.1
それと同じサーバに、
www.example.jp. IN NS bogus.example.ad.jp. www.example.jp. IN A 192.0.2.100 (悪意あるIPアドレス)
なんていうゾーンデータが他人によって置かれちゃうと怖いですよね、って話がひとつ。これは実は以前にJPRSから流された注意喚起に含まれる話(私のブログではこちらの件)ではありますが、危険性が十分認識されていない可能性があるため、あらためてはっきり解説したということのようです。
もう一つは、公開されているキャッシュサーバが、自由にデータを設定できる権威サーバを兼ねていると、
www.google.com. IN A 192.0.2.100 (悪意あるIPアドレス)
とか、自由に悪意あるデータ置かれちゃったら、これがキャッシュサーバの毒になりますよね、って話がもう一つ。怖いですねぇ。
ほかにも、幽霊ドメイン名脆弱性への攻撃(引越し妨害など)や VISA.CO.JP 同様のハイジャックが容易に行われるなど、なんでもありだという話への注意喚起ということですね。(後者は書いてあるのかな?)
キャッシュサーバと権威サーバを兼用すると危ないというのはいまさらな話なのですが、このように毒入れに使われてしまうというのは、あまり認識されていなかったのではないでしょうか。まさかこんな危険性を抱えたサービスをしていたり、利用したりしている人(組織)は今時いませんよね。まさかいるようでしたら、この資料をみて、オシッコちびってください。
Copyright by T.Suzuki
Before...
■ tss [DNS Summer Days 2012 http://dnsops.jp/event20120831.html に..]
■ tm [確認が困難だから、危険なものを放置するというのは無責任ですね。 そういうサービスを使うのはやめましょう。 ついでに..]
■ tm [最近もひとつ見つかりましたが、どうしますか。]