1. DNS/毒盛再考/偽案内攻撃/対策イメージ

www.qmail.jp のAレコードを得たいとする。

• 前提： jp NS はキャッシュにあるが、 qmail.jp NSはキャッシュされていない。

1.1. 通常のリゾルバーの動作

jp NS （キャッシュにある）に問い合わせる。

• 返答は以下のような参照返答になる。（毒入りの可能性もある）

%dnsq a www.qmail.jp a.dns.jp

1 www.qmail.jp:
65 bytes, 1+0+1+1 records, response, noerror
query: 1 www.qmail.jp
authority: qmail.jp 86400 NS a.ns.qmail.jp
additional: a.ns.qmail.jp 86400 A 14.192.44.5

1.2. 毒盛防衛

委譲返答を得たときはそのまま受け入れると危ないので、 以下のように問合せしてみる。

%dnsq a xxxxyyyyzzz.qmail.jp a.dns.jp

1 xxxxyyyyzzz.qmail.jp:
73 bytes, 1+0+1+1 records, response, noerror
query: 1 xxxxyyyyzzz.qmail.jp
authority: qmail.jp 86400 NS a.ns.qmail.jp
additional: a.ns.qmail.jp 86400 A 14.192.44.5

最初の問合せへの返答と同じ委譲が返ってくるので、毒ではなさそうだと判断する。

-- ToshinoriMaeno 2015-04-08 02:40:24