MoinQ:

まとめ印刷

(!) 印刷は PRINT モード(action=print) を使ってください。

Edit   Wiki ^ |< << Slide 1 of 11 >> >|

危険な例

  • rlogin では .rhosts を使うな
  • paranoid 検査は役たたず

  • DNS/visa.co.jp事件 『サーバドメイン』の管理不良

  • 設定ミス、入力ミス狙い(typosquatting)
  • ドメインやサーバドメインの期限ぎれ狙い
  • キャッシュ汚染(毒入れ)

...

[http://sa.notwork.jp/2005/NOTWORK.JP-SA:050401-00.html 類似字形の問題] : 発行日付に注意とあるが 

正) http://日本語.jp/
誤) http://曰本語.jp/

正) http://日本レジストリサービス.jp/
誤) http://曰本レジストリサービス.jp/
誤) http://日本レジストリサ一ビス.jp/

管理不良の例

  • myblog.jp, pukiwiki.org のドメイン失効など

ドメイン業者に騙されるな

...

Edit   Wiki ^ |< << Slide 1 of 11 >> >|

Edit   Wiki ^ |< << Slide 2 of 11 >> >|

e-ontap.com の場合

問題

  • visa.co.jp ドメインに関して起きたこと
  • myblog.jp, pukiwiki.org, gate01.com で起きたこと

どういう危険があるか

  • 「サーバ乗っ取り」は正しくない
  • web より mail が心配

類似の危険

  • ...

回避するには

  • JPRS のアクションでカバーされる範囲
  • 『DNS を信頼してはいけない』
  • インターネットは無法の地

...

Edit   Wiki ^ |< << Slide 3 of 11 >> >|

DNS 仕様の問題

  • RFC 1033, 1034, 1035 (現状)
    • なんとか動いているように見える程度
    • delegation (委譲) : 設定困難
    • なくてもいい RR : CNAME
    • 利己的な設定 : TTL

  • UDP の信頼性、安全性

    • 送信元不明 -> spoofing 簡単

  • DNS/UDP 512 バイトの壁
    • TCP port 53 を動かす必要

セキュリティ拡張

  • RFC 4033, 4034, 4035
    • protocol : 非互換
    • 一斉に移ることは困難
    • 複雑化、今より間違い易い
    • 必要性 : 認識されていない
  • DNS/UDP 512 バイトの壁
    • EDNS0 が普及するには障害が多い

...

Edit   Wiki ^ |< << Slide 4 of 11 >> >|

実装の問題

BIND 8 以前

  • 実験的に作られた
  • セキュリティホール
  • 設定の困難さ (不適切なデフォルト)
    • fetch-glue:
      • If yes (the default), the server will fetch "glue" resource records
    • recursion:
      • The default is yes.
    • allow-query:
      • If not specified, the default is to allow queries from all hosts.
  • 不適切な例 (マニュアル)
  • キャッシュサーバへの毒入れ

sendmail と同様の歴史

ISC は BIND 9 を推奨

キャッシュサーバの振舞い

  • キャッシュ汚染：
    • ゾーン外の additional A レコード (厳密には glue ではない)の扱い
  • 上位への無用な問合せ
    • Negative cache の実装など
  • glue なしに遭遇したときの振舞い
    • 仕様にも問題
  • さまざまな問題

実装を作っている組織

  • ギルド？

...

Edit   Wiki ^ |< << Slide 5 of 11 >> >|

データ(レコード)

ドメイン喪失問題

pukiwiki, gate01.com (usen)

panix.com (乗っ取り)

データ (DNS 資源レコード)

DNS/ドメイン委譲の不良

検査してくれるサイト

  • 検査そのものが正しいか、確認できるだけの力はあるか
    • 間違い知識を広めている心配も

余計なレコード

親切のつもりかもしれないが、余計なお世話、バンド幅の無駄

cache poisoning に結びつく危険性

  1. 管理外の名前に対する additional A
  2. 管理外の referral (root server の NS レコードとか)

Edit   Wiki ^ |< << Slide 6 of 11 >> >|

委譲の不良

ドメインの委譲の仕組の問題

glue なし問題

CNAME の濫用

Edit   Wiki ^ |< << Slide 7 of 11 >> >|

運用と人の問題

  • コンテンツサーバとキャッシュサーバの分離
    • つまり recursive query 問題、キャッシュへの毒入れ問題
  • 短 TTL 問題
  • ローカル IP アドレスの逆引き問題
  • Negative Cache 設定
  • TCP サービス問題 (+ tc bit つき返答)

DNS 管理者がいない

  • 理解ぬきの『真似設定』の氾濫
  • 育てる人も育てられる環境もない。(檻の中)
  • このままでは絶滅の危機

DNS の問題を理解している人が少い

  • 昔から危険だと言われていた
  • 安かろう、悪かろうの DNS service provider も
  • DNS のことを知らない「お客さん」

なぜ

  • BIND guild ?
  • 動けばいいという態度の蔓延
  • 結果だけ求める「ショートカット」症候群

BCP

...

Edit   Wiki ^ |< << Slide 8 of 11 >> >|

組織の問題

JPNIC/JPRS

visa.co.jp 問題が表面下するまでは、

  • 年に一度の DNS Day での啓蒙活動だけ ccTLD サーバの負荷問題からの視点 DNS 仕様の欠陥、危険性にはあまり触れず

DNS 健全化タスクフォースも実質的な改善には結びついていない。

[http://sa.notwork.jp/2005/NOTWORK.JP-SA:050401-00.html 類似文字問題]

逆引きサーバの大規模不良 10/23

10 月 23 日、ほぼ一日続きました。 http://www.nic.ad.jp/ja/topics/2005/20051024-01.html

ルートサーバへの攻撃は大問題か

  • ルートサーバの持つデータはほとんど変化しない(ミラーは簡単)
  • 問合せはほとんどがゴミ

根拠のない設定を要求するレジストラ

  • DNS サーバは少くとも二つ必要だ
  • すでに使われている IP アドレスとは異っていなければならない
  • ...
  • DNS サーバ互助会を存続させている理由
    • メイル配送に関する DNS 神話

安かろう、悪かろうの DNS サービス

  • 安すぎては DNS 管理が軽くみられるだろうに

その他

  • ネット上の不適切な設定例

...

Edit   Wiki ^ |< << Slide 9 of 11 >> >|

討論

最近は DNS のことを知らない利用者(お客さん)も増えているらしい。

  • 動いているように見えればそれ以上は考えないのか いったんトラブルが発症してしまっては、簡単には直らない 直るかどうかすら怪しい

...

DNS/知識の自己評価 ...

Edit   Wiki ^ |< << Slide 10 of 11 >> >|

さあどうしますか

現実を直視して、じっくり考え直してほしい

「おかしな仕様」について「議論できる人」が必要です

TIC では『一歩』足を踏み出してみたところ

  • 勉強するための場
  • 実際に動かしてみる場
  • ソフトウェアを作って試せる場
  • 自由に議論できる場

DNS は本当に必要なのか

DNS を必要だと思っているのは誰

  • ICANN, Verisign, JPRS だけかも?

ドメインは国別にばらばらの運用になる可能性も

  • 日本語ドメイン名なのになんで jp をつけなくてはいけないのか。

...