まとめ印刷

印刷は PRINT モード(action=print) を使ってください。

危険な例

rlogin では .rhosts を使うな
paranoid 検査は役たたず
DNS/visa.co.jp事件『サーバドメイン』の管理不良
- http://www.e-ontap.com/summary/
設定ミス、入力ミス狙い(typosquatting)
ドメインやサーバドメインの期限ぎれ狙い
キャッシュ汚染(毒入れ)

...

[http://sa.notwork.jp/2005/NOTWORK.JP-SA:050401-00.html 類似字形の問題] : 発行日付に注意とあるが

正) http://日本語.jp/
誤) http://曰本語.jp/

正) http://日本レジストリサービス.jp/
誤) http://曰本レジストリサービス.jp/
誤) http://日本レジストリサ一ビス.jp/

管理不良の例

myblog.jp, pukiwiki.org のドメイン失効など

ドメイン業者に騙されるな

...

e-ontap.com の場合

問題

visa.co.jp ドメインに関して起きたこと
myblog.jp, pukiwiki.org, gate01.com で起きたこと

どういう危険があるか

「サーバ乗っ取り」は正しくない
web より mail が心配

類似の危険

回避するには

JPRS のアクションでカバーされる範囲
『DNS を信頼してはいけない』
インターネットは無法の地

...

DNS 仕様の問題

RFC 1033, 1034, 1035 (現状)
- なんとか動いているように見える程度
- delegation (委譲) : 設定困難
- なくてもいい RR : CNAME
- 利己的な設定 : TTL

UDP の信頼性、安全性
- 送信元不明 -> spoofing 簡単
DNS/UDP 512 バイトの壁
- TCP port 53 を動かす必要

セキュリティ拡張

RFC 4033, 4034, 4035
- [http://www.nominet.org.uk/TagHolders/Dnssec/DnssecFaq/ DNSSEC FAQ]
- protocol : 非互換
- 一斉に移ることは困難
- 複雑化、今より間違い易い
- 必要性 : 認識されていない
DNS/UDP 512 バイトの壁
- EDNS0 が普及するには障害が多い

...

実装の問題

BIND 8 以前

実験的に作られた
セキュリティホール
設定の困難さ (不適切なデフォルト)
- fetch-glue:
  - If yes (the default), the server will fetch "glue" resource records
- recursion:
  - The default is yes.
- allow-query:
  - If not specified, the default is to allow queries from all hosts.
不適切な例 (マニュアル)
キャッシュサーバへの毒入れ

sendmail と同様の歴史

ISC は BIND 9 を推奨

キャッシュサーバの振舞い

キャッシュ汚染：
- ゾーン外の additional A レコード (厳密には glue ではない)の扱い
上位への無用な問合せ
- Negative cache の実装など
glue なしに遭遇したときの振舞い
- 仕様にも問題
さまざまな問題

実装を作っている組織

ギルド？

...

データ(レコード)

ドメイン喪失問題

pukiwiki, gate01.com (usen)

panix.com (乗っ取り)

データ (DNS 資源レコード)

DNS/ドメイン委譲の不良

検査してくれるサイト

検査そのものが正しいか、確認できるだけの力はあるか
- 間違い知識を広めている心配も

余計なレコード

親切のつもりかもしれないが、余計なお世話、バンド幅の無駄

cache poisoning に結びつく危険性

管理外の名前に対する additional A
管理外の referral (root server の NS レコードとか)

委譲の不良

ドメインの委譲の仕組の問題

NS レコードの理解不足
glue の必要性
DNS サーバのドメイン不良問題
- http://www.ipa.go.jp/security/vuln/20050627_dns.html e-ontap.com と visa.co.jp
ドメイン名の誤り問題 typosquatting
IP アドレスの誤り問題

glue なし問題

CNAME の濫用

運用と人の問題

コンテンツサーバとキャッシュサーバの分離
- つまり recursive query 問題、キャッシュへの毒入れ問題
短 TTL 問題
ローカル IP アドレスの逆引き問題
Negative Cache 設定
TCP サービス問題 (+ tc bit つき返答)

DNS 管理者がいない

理解ぬきの『真似設定』の氾濫
育てる人も育てられる環境もない。(檻の中)
このままでは絶滅の危機

DNS の問題を理解している人が少い

昔から危険だと言われていた
安かろう、悪かろうの DNS service provider も
DNS のことを知らない「お客さん」

なぜ

BIND guild ?
動けばいいという態度の蔓延
結果だけ求める「ショートカット」症候群

BCP

...

組織の問題

ドメインの階層構造を反映した組織
- 現在のトップは ICANN
ドメインを通じてインターネットを支配しようとする組織
- アメリカ、国連、各国の政府
  http://japan.cnet.com/news/media/story/0,2000047715,20089213,00.htm

JPNIC/JPRS

visa.co.jp 問題が表面下するまでは、

年に一度の DNS Day での啓蒙活動だけ ccTLD サーバの負荷問題からの視点 DNS 仕様の欠陥、危険性にはあまり触れず

DNS 健全化タスクフォースも実質的な改善には結びついていない。

[http://sa.notwork.jp/2005/NOTWORK.JP-SA:050401-00.html 類似文字問題]

逆引きサーバの大規模不良 10/23

10 月 23 日、ほぼ一日続きました。 http://www.nic.ad.jp/ja/topics/2005/20051024-01.html

ルートサーバへの攻撃は大問題か

ルートサーバの持つデータはほとんど変化しない(ミラーは簡単)
問合せはほとんどがゴミ

根拠のない設定を要求するレジストラ

DNS サーバは少くとも二つ必要だ
すでに使われている IP アドレスとは異っていなければならない
...
DNS サーバ互助会を存続させている理由
- メイル配送に関する DNS 神話

安かろう、悪かろうの DNS サービス

安すぎては DNS 管理が軽くみられるだろうに

その他

ネット上の不適切な設定例

...

討論

最近は DNS のことを知らない利用者(お客さん)も増えているらしい。

動いているように見えればそれ以上は考えないのかいったんトラブルが発症してしまっては、簡単には直らない直るかどうかすら怪しい

...

DNS/知識の自己評価 ...

さあどうしますか

現実を直視して、じっくり考え直してほしい

「おかしな仕様」について「議論できる人」が必要です

TIC では『一歩』足を踏み出してみたところ

勉強するための場
実際に動かしてみる場
ソフトウェアを作って試せる場
自由に議論できる場

DNS は本当に必要なのか

DNS を必要だと思っているのは誰

ICANN, Verisign, JPRS だけかも?

ドメインは国別にばらばらの運用になる可能性も

日本語ドメイン名なのになんで jp をつけなくてはいけないのか。

...