ある日の我が職場 (恥)

• 私(TEL) 「m.■■■■■-u.ac.jp 見てみれ！ 中華料理屋に乗っ取られてるぞ www」
• 情報システム 「え！...これは...調べます...」
• 後日 「レンタルサーバ返した後 A レコード削除申請がなかったようです!」

危険な忘れ物 - Floating Domainname

• 借りたサーバ (IPアドレス) にリソースレコードを向けたまま解約してはいけない
• Subdomain Takeover Attack
  

  放置された CNAME の先は狙って再登録されうる、、、

  old-service.example.jp IN CNAME orphan.cdn.example.com

  • fan.football.sony.net (IN CNAME fanfootballsony.s3-us-west-2.amazonaws.com)
  • notifications.buildmypinnedsite.com (Microsoft)
  • ghs.google.com
• 参考: The Principles of a Subdomain Takeover
  https://blog.sweepatic.com/subdomain-takeover-principles/
• まだまだ怖い話が、、、

ゾーンとは

• ドメイン名 (とそれに結びつく情報) は管理の都合のためにゾーンカットでゾーンに区切られる
  (RFC2181: The DNS tree is divided into "zones")
• 管理の都合のためにゾーンに区切られる
  (RFC2181: ...treated as a unit for certain management purposes.)
• よくある誤解: ラベルの区切り(.) といちいち対応するものではない
• Delegation (委任/委譲) によって管理が受け渡される

Delegation (委任/委譲) とは

• (root): jp ゾーンの管理は a.dns.jp に任せたのでそっちに訊いてくれ
  
  jp. IN NS a.dns.jp.
  a.dns.jp. IN A 203.119.1.1
• (jp): example.jp ゾーンの管理は ns.example.jp に任せたのでそっちに訊いてくれ
  
  example.jp. IN NS ns.example.jp.
  ns.example.jp. IN A 192.0.2.1
• (example.jp): 私が example.jp ゾーンの権威だ
  　　　
  example.jp. IN SOA ns.example.jp. ...(snip)
  example.jp. IN NS ns.example.jp.
  ns.example.jp. IN A 192.0.2.1

ゾーンと委譲の図

■■■■.CO.JP 事件

$ date ; dnsq ns ■■■■.co.jp a.dns.jp
Thu May 19 04:35:38 JST 2005
2 ■■■■.co.jp:
99 bytes, 1+0+2+0 records, response, noerror
query: 2 ■■■■.co.jp
authority: ■■■■.co.jp 86400 NS ccdnsi01.singtel-expan.com
authority: ■■■■.co.jp 86400 NS escdns01.e-ontap.com

■■■■.CO.JP 事件

$ date ; dnsq ns ■■■■.co.jp a.dns.jp
Thu May 19 04:35:38 JST 2005
2 ■■■■.co.jp:
99 bytes, 1+0+2+0 records, response, noerror
query: 2 ■■■■.co.jp
authority: ■■■■.co.jp 86400 NS ccdnsi01.singtel-expan.com
authority: ■■■■.co.jp 86400 NS escdns01.e-ontap.com 

% dnsq ns ■■■■.co.jp escdns01.e-ontap.com
input/output error

e-ontap.com 側はかなり前から応答無し (2003年頃 qmail.jp 前野氏が警告)

この状態が lame delegation

■■■■.CO.JP 事件 (2005.5.18 深夜)

• ない! (NXDOMAIN)

  % dnsq ns e-ontap.com a.gtld-servers.com
  102 bytes, 1+0+1+0 records, response, authoritative, nxdomain
  

• 消えちゃってる!!!

  % whois e-ontap.com
  No match for "E-ONTAP.COM"
  

• 夜道で迷子を見つけたら保護しますよね! (誘拐ではない)

E-ONTAP.COM

E-ONTAP.COM

E-ONTAP.COM

E-ONTAP.COM が管理していたドメイン

• ■■■■.co.jp
• ■■■■.com.au
• ■■■■.com.cn
• ■■■■.com.tw
• my■■neysk■lls.co.kr
• ■■money■kills.com.hk
• ■■■■platinum.com.hk
• ■■■■■.com.sg (シンガポール国際金融取引所)

この事件の詳しい経緯は e-ontap.com へどうぞ

問題は不適切な委譲だけではなく権威サーバ側にも

■■■■.co.jp の技術者は当初これで直したつもりでいた。

$ date ; dnsq ns ■■■■.co.jp a.dns.jp
Thu May 19 07:29:35 JST 2005
2 ■■■■.co.jp:
103 bytes, 1+0+2+0 records, response, noerror
query: 2 ■■■■.co.jp
authority: ■■■■.co.jp 86400 NS pricus.starhub.net.sg
authority: ■■■■.co.jp 86400 NS ccdnsi01.singtel-expan.com

権威側は以下。これがキャッシュに入るとやはり危険。権威側も直せとダメ出し。

$ date; dnsq ns ■■■■.co.jp ccdnsi01.singtel-expan.com
Fri May 20 05:59:46 JST 2005
2 ■■■■.co.jp:
115 bytes, 1+2+0+1 records, response, authoritative, noerror
query: 2 ■■■■.co.jp
answer: ■■■■.co.jp 3600 NS escdns01.e-ontap.com
answer: ■■■■.co.jp 3600 NS ccdnsi01.singtel-expan.com
additional: ccdnsi01.singtel-expan.com 28800 A 203.208.224.91

lame delegation でも属性ドメインなら...

% dnsq ns ■■■.ac.jp a.dns.jp
authority: ■■■.ac.jp 86400 NS ■■■■.nn.■■■■■■■■■■.ac.jp
authority: ■■■.ac.jp 86400 NS ns.■■■■■■.ne.jp

% dnsq ns ■■■.ac.jp ■■■■.nn.■■■■■■■■■■.ac.jp
answer: ■■■.ac.jp 600 NS ■■■■.nn.■■■■■■■■■■.ac.jp
answer: ■■■.ac.jp 600 NS ns.■■■■.ac.jp
answer: ■■■.ac.jp 600 NS ns.■■■■■■.ne.jp

% whois ■■■■.ac.jp
  No match!!

しかし ac.jp なら拾われないはずだが、、、

えええええ!!!!! まさかの ac.jp が!

属性ドメインでも...

% dnsq ns ■■■.ac.jp a.dns.jp
authority: ■■■.ac.jp 86400 NS rjer.nn.■■■■■■■■■■.ac.jp
authority: ■■■.ac.jp 86400 NS ns.■■■■■■.ne.jp

% dnsq ns ■■■.ac.jp rjer.nn.■■■■■■■■■■.ac.jp
answer: ■■■.ac.jp 600 NS rjer.nn.■■■■■■■■■■.ac.jp
answer: ■■■.ac.jp 600 NS ns.■■■■.ac.jp
answer: ■■■.ac.jp 600 NS ns.■■■■■■.ne.jp

% whois ■■■■.ac.jp
  No match!!

■■■■.ac.jp 登録できたら、生きている ■■■.ac.jp も乗っ取れますね。

現在も危険な状態のドメインはたくさんあります!

■■■■■■■■.or.jp
■■■.ed.jp
■■■■■■■.jp
■■■■■■■■.gr.jp
■■■■■■■.or.jp
■■■■■■■■.co.jp
■■■■■.jp
■■■■■.or.jp
■■■■■.ne.jp
■■■■■.co.jp
■■■■■■■■.co.jp
■■■■■■■■■■■.co.jp
■■■■■■■■■■■■■■.co.jp
■■■■■■■■■■■■.co.jp
■■■■■■■■■■.jp
■■■■■■■■■■■■.ac.jp
■■■■.jp
■■■■.jp
■■■■.or.jp
■■■■■■■■■■.co.jp
■■■■■■■.■■■■.■■■■■■■.jp
■■■■.co.jp
■■■■■■■■■.co.jp
■■■■■■.co.jp
■■■■■■■■.co.jp
■■■■■■■■■■■.co.jp
■■■■■■■■■■■.co.jp
■■■■■■■■.gr.jp
■■■■■■■■■■■■■■■■■■.or.jp
■■■■.ne.jp
■■■■■■.or.jp
■■■■■■.jp
■■■■.co.jp
■■■.ac.jp
■■■■■■.co.jp

  

ある日のツイッター

実験させてもらった

当時の DNS

• JP の設定
  

  infragirl.jp  86400 NS ns2.dns.ne.jp
  infragirl.jp  86400 NS ns1.dns.ne.jp
  

• だが ns[12].dns.ne.jp は未設定...カモネギ
• この状態で乗っ取れるか試したが失敗
• 私のアカウントで ns[12].dns.ne.jp にゾーン作成不能
• 理由: infragirl.jp のレジストラがさくらインターネットだから
  (2012年に対策済)

ならば...彼女に協力してもらおう

当時の DNS

• JP の設定 (引越し中の想定で下３つを加えてもらった)
  

  infragirl.jp  86400 NS ns2.dns.ne.jp
  infragirl.jp  86400 NS ns1.dns.ne.jp
  infragirl.jp  86400 NS ns-a1.■■■■■■.■■
  infragirl.jp  86400 NS ns-a2.■■■■■■.■■
  infragirl.jp  86400 NS ns-a3.■■■■■■.■■
  

• 某共用 DNS 権威サーバの設定 (私のアカウントでゾーン作成できてしまった)

  infragirl.jp.  3600 NS ns-a2.■■■■■■.■■
  infragirl.jp.  3600 NS ns-a1.■■■■■■.■■
  infragirl.jp.  3600 NS ns-a3.■■■■■■.■■
  

乗っ取り成功

親子ゾーンの同居

• 「サービス運用上の問題に起因するドメイン名ハイジャックの危険性について」
  株式会社日本レジストリサービス（JPRS）2012/06/22（Fri）
• こういうゾーンがあるサーバに
  

  example.jp.      IN NS bogus.example.ad.jp. 
  www.example.jp.  IN A 192.0.2.1
  

• こんなゾーンを他人に作られると怖い
  

  www.example.jp. IN NS bogus.example.ad.jp. 
  www.example.jp. IN A 192.0.2.100
  

• どちらが優先されると思いますか?

親子ゾーン同居説明図

共用権威サーバにおけるゾーン乗っ取りの要点(1)

浸透しない! なんてツイートした途端に乗っ取られるかもしれませんよ!

• 誰でもゾーンが作れる共用権威サーバが危ない 　
• ドメイン名の権利確認がないと危ない (初運用のドメイン名はどうするのか?)
• ゾーン作成前に委任すると危ない
• 委任したままゾーンを削除すると危ない
• 委任のキャッシュがどこかに残っているうちにゾーンを削除すると危ない
• 移管したとたんゾーンが消えるサービスは危ない 　
• ずっと消さないのもトラブルの元 (幽霊とか後述のメール配送問題とか)

共用権威サーバにおけるゾーン乗っ取りの要点(2)

• 親子同居は委任がなくても危ない
• example.jp のゾーンがなく www.example.jp だけあって偽親が作られる可能性もある
  (サービスの UI と説明に問題があるのでは?)
• 借りた任意のサブドメイン名を返すのも危ない
• CNAMEを向けられていることはサービス運営者にはなかなかわからない
• そもそもの話、他人のドメイン名を借りること自体が色々危ない (解説省略)
• さらにいうと中古ドメイン名は危ない (中古を使うのも中古にするのも)

なんかメール来た...

From: "■■■■■■■"<foryou@■■■■■■■■■.or.jp>
To: tss@e-ontap.com
Subject: 2019-04-11【chukyo-u.ac.jp　に関するご確認のお願い】■■■■■■■カスタマーセンター
Date: Thu, 11 Apr 2019 16:31:49 +0900

鈴木　常彦　さま  　　　　　　　　　　　　　　　
　　　　　　　　　　　　　　　　　　　　　　　　　2019年4月11日(木)

株式会社■■■■■■■サポートセンターです。
平素はご利用いただきありがとうございます。

2019/04/09　ご契約の弊社■■■■■■■■■■サービスに

　chukyo-u.ac.jp　中京大学のドメイン登録がございました。

お調べしましたところ､この当該ドメインは他で既にホスト運用
されているようです。

メール機能を弊社■■■■■■■■■■■に移転運用される場合は
現在アカウント設定がありませんので設定をお願いいたします。

また、テストとして登録された場合は、誠に恐縮ですが
当該ドメインの登録削除を速やかにお願いいたします。
共有サーバーのため　◯◯@chukyo-u.ac.jp　宛への
メール配信が正しくできません。
弊社のサーバー運用についてご協力のほどお願いいたします。

何か悪いことした?

• え? ...
  

  また、テストとして登録された場合は、誠に恐縮ですが
  当該ドメインの登録削除を速やかにお願いいたします。
  共有サーバーのため　◯◯@chukyo-u.ac.jp　宛への
  メール配信が正しくできません。
  

• 本物の chukyo-u.ac.jp の MX は私の大学向いているはず、、、
• まさか...まさか...まさか...まさか...まさか...

試してみるしかない

% dnsq mx internot.jp ns.internot.jp
answer: internot.jp 3600 MX 50 mx.internot.jp
	 

% dnsq mx internot.jp ■■ns1.■■■■■■■■.or.jp 
answer: internot.jp 3600 MX 10 po.internot.jp
authority: internot.jp 3600 NS ■■ns1.■■■■■■■■.or.jp 
authority: internot.jp 3600 NS ■■ns2.■■■■■■■■.or.jp 
additional: po.internot.jp 3600 A ■■■.■■■.■■■.■■

共用レンタルサーバにおけるメールの窃盗(1)

同じサーバの別アカウントからメールしてみたら... orz

メール配送の仕組み上、、、

まあそうなるよね (MX 関係なく virtual(8) の経路が設定される)

共用レンタルサーバにおけるメールの窃盗(2)

ここ(お名前は伏せる)もダメ

% dnsq ns chukyo-u.ac.jp ns-rs1.■■■■■■■■■.jp
answer: chukyo-u.ac.jp 600 NS ns-rs1.■■■■■■■■■.jp
answer: chukyo-u.ac.jp 600 NS ns-rs2.■■■■■■■■■.jp

共用レンタルサーバでのメール窃盗/盗聴の要点

• とても簡単
• ドメイン名の権利確認しないサービスはたくさん存在する
• ターゲットのメールアドレスのドメイン名を設定される
• 上位ゾーン(JPなど)からの委任はいらない
• 同じサーバから送信されたメールが内部(Virtual)配送される*
• 中継されたらまずわからない (盗聴)
• 一般的なメールサーバの仕組みとしてあたりまえ 　
• 問題は権利確認していないこと / 対策は権利確認してもらうこと
  (権利は移動するので常に確認が必要) 　
• 対策されていないサービスからは逃げるしかない (どこへ?)

*なぜ問題になっていない?
　そもそもドメイン設定した時点で勝手に内部配送始められては困るでしょ / 転出時にいつまでもローカル配送続いたら困るでしょ / ひょっとして「浸透しない」の一因だったりする? / うまくいかないのが当たり前になっている? / 内外配送先切替スイッチ要るのでは?)

みんな大好き Route53

• 親子同居による乗っ取りはできない (参考資料 by @otsuka0752 / DNS温泉番外編)
• lame delegation の乗っ取りは可能 (公開情報なので黒塗りなしで)
• 苦肉の対策 (2016～)
  
  これ意味分かりますか? 「乗っ取られますよ」と書いてほしい。

CNAME が怖くなってつらい

「お客様のアドビアカウントが間もなく閉鎖されます。今すぐAdobe IDにログインしてください。」なんていうメールが来たけれど、https://adobeid-na1.services.adobe.com/ を信用できない。

adobeid-na1.services.adobe.com. 60 IN CNAME services.prod.ims.adobejanus.com
prod.ims.adobejanus.com 172800 NS ns-1004.awsdns-61.net ...(snip)

追記 1

関連リンク

• DNS 毒入れ疑似体験 (なぜサブドメイン名を乗っ取られると怖いのかの一例)
• 2013-10-15 インターノットは自己責任の世界 - 共用 DNS サービスの脆弱性は IPA の取扱い範囲外
• 2013-08-31 みんなわかってたんでしょ? - とある共用レンタルサーバの改竄が話題になっていますが、、、
• 2013-04-30 共用DNSサービスもぐら叩き - ドメイン@nifty他社ドメイン登録に関する重要なお知らせ
• 2012-10-02 訊いてみるもんだ - ハイジャックの危険性のあるドメイン名へのJPRSの対処
• 2012-07-04 「まさか」なサービス事業者(と利用者)への警告 - 権威／キャッシュDNSサーバーの兼用によるDNSポイズニングの危険性について
  • 「ドメイン名ハイジャック」及び「DNSポイズニング」の危険性に関する一連の注意喚起について ＋緊急対策のお願い (2012年7月4日 JPRS）
  • 権威／キャッシュDNSサーバーの兼用によるDNSポイズニングの危険性について
• サービス運用上の問題に起因するドメイン名ハイジャックの危険性について (JPRS 2012/06/22）
• 2012-06-14 他人と共用のDNS権威サーバは危険 - 「さくらDNSにサブドメインハイジャックを許す脆弱性」ってのは過小評価
• さくらDNSにサブドメインハイジャックを許す脆弱性 (2012年6月14日木曜日 徳丸浩の日記)
• DNSサービスへのドメイン登録時における不具合について (2012年06月13日 さくらインターネット株式会社

追記 2

これを機に DNS について学びたい人は以下をどうぞ

• DNS を学びましょう
• 浸透いうな!
• インターネット崩壊論
• インターネット崩壊について考えるためのページ
• インターネットとは何か？ ～インターネットの哲学～