国のキャッシュレス・消費者還元事業 (2019/11 - 2020/5) で使用されていた cashless.go.jp が lame delegation 状態で放置されており、そのうち乗っ取られるかもしれません。
In addition, if you delete a hosted zone, someone could hijack the domain and route traffic to their own resources using your domain name.cashless.go.jp は以下のように jp からの委任が AWS の Route 53 に向いていますが、Route 53 に該当のゾーンは存在していません。(ある記録によれば 2021/11/10 以降消滅)
% dig ns cashless.go.jp @a.dns.jp +norec +noall +auth cashless.go.jp. 86400 IN NS ns-1470.awsdns-55.org. cashless.go.jp. 86400 IN NS ns-563.awsdns-06.net. cashless.go.jp. 86400 IN NS ns-319.awsdns-39.com. cashless.go.jp. 86400 IN NS ns-1799.awsdns-32.co.uk.
このため 2/28 に JPRS へ通報したところレジストラに伝えるという返事があり対応を待っていました。しかし動きが見えなかったため 3/8 に whois の登録担当者 (経産省) に直接メールをお送りしましたが今日に至るまでお返事がなくネームサーバの設定もそのままです。
ここに至ってはいつ乗っ取りが行われてフィッシングなどに使用されるかもしれないので、注意喚起としてここに公表することにしました。
なお、AWS が昨年の 5 月から削除されたゾーンと同じドメインには再度同じサーバは割り当てないという対策をしたという以下の情報があり、私もそうした制約の存在を実験で確認しています。
In May 2021, however, Amazon released the fix for this behavior by simply not assigning the same nameservers twice to the same DNS zone. This means that DNS takeover is mitigated on Route53.
しかしこれは緩和策であり根本対策ではありません。Route 53 のネームサーバは 4096 (1024組) ありますが、場合により再利用に支障がでる可能性はありますし、登録妨害の攻撃も考えられますから制約には期限があるのではないでしょうか。したがって引き続き lame delegation は危険と考えておいたほうがよいでしょう。もちろん初利用のドメインではゾーン作成前に委任を向けたら速攻で乗っ取り可能な状態になりますからくれぐれもドメインの運用開始時にはご注意ください。 (一般論からの思い違いをしていました。他のサービスとは違い Route 53 ではこれはなさそうです。ゾーンを作成しないと NS が決定しませんから。それでも間違った NS への委任は見られるので注意は必要です。)
なお、公表にあたり少しでも安全を期すために乗っ取り可能となり次第 protect.cashless.go.jp ゾーンを cashless.go.jp が委任されている 4 つのサーバに自動作成するスクリプトを稼働させました。これは乗っ取りではなく VISA 事件の際と同様の保護 (緊急避難) です。Route 53 では親子同居ができない制約があるのでこれで親ゾーンの乗っ取りが防げます。(保護は完全ではありませんがその説明は危ないので控えます)
参考: 共用 DNS 権威サーバの脆弱性 / 黒塗りの DNS -論文編-
p.s.
Route 53 以外にも危険なサービスやドメインは多く存在しています。lame delegation 乗っ取り一般に関しては、明日にでももう少し詳しい解説を書きたいと思います。
追記: 第一弾の解説書きました。
ドメインの乗っ取りを避けるために ■ lame delegation の危険性を知りましょう
やればできるじゃないですか。経産省へ手を回してくださった日本ハッカー協会の杉浦さんありがとうございました。
必要ないのに委任が消えず変更されていますが、お名前.com (GMO) では委任を消すことができないとのこと (本当?)。GMO とは手を切ったほうが良いと思いますけどね。GO.JP ゾーンを起こしてレジストリもレジストラもデジタル庁がやればよいのに。
追記: dnsv.jp も lame delegation です。現在のお名前.com の仕様では偽ゾーンの作成はできないようですが、本物の権威サーバが応答しない状況はキャッシュポイズニングのよいカモです。
~% dig ns cashless.go.jp @a.dns.jp +norec +noall +auth cashless.go.jp. 86400 IN NS 02.dnsv.jp. cashless.go.jp. 86400 IN NS 04.dnsv.jp. cashless.go.jp. 86400 IN NS 01.dnsv.jp. cashless.go.jp. 86400 IN NS 03.dnsv.jp. ~% ~% whois -h whois.jp cashless.go.jp [ JPRS database provides information on network administration. Its use is ] [ restricted to network administration purposes. For further information, ] [ use 'whois -h whois.jprs.jp help'. To suppress Japanese output, add'/e' ] [ at the end of command, e.g. 'whois -h whois.jprs.jp xxx/e'. ] Domain Information: [ドメイン情報] a. [ドメイン名] CASHLESS.GO.JP e. [そしきめい] けいざいさんぎょうしょう f. [組織名] 経済産業省 g. [Organization] Ministry of Economy, Trade and Industry k. [組織種別] 政府機関 l. [Organization Type] government agency m. [登録担当者] HS50003JP n. [技術連絡担当者] HS49860JP p. [ネームサーバ] 01.dnsv.jp p. [ネームサーバ] 02.dnsv.jp p. [ネームサーバ] 03.dnsv.jp p. [ネームサーバ] 04.dnsv.jp s. [署名鍵] [状態] Connected (2023/02/28) [登録年月日] 2019/02/14 [接続年月日] 2019/02/15 [最終更新] 2022/03/14 17:42:35 (JST)
Copyright by T.Suzuki
委任･委譲を変更すれば、終りなんですかね。
今のデジタル庁でやって大丈夫なのだろうか・・・
a. [ドメイン名] CASHLESS.GO.JP <br>f. [組織名] 一時凍結ドメイン名 <br>[最終更新] 2023/03/01 02:18:12 (JST) <br>
私の実験によればどうやら制約があるのは 3 ヶ月程度のようです。