DNS/毒盛/Kaminsky手法/TTL制約回避について、ここに記述してください。

TTLの制約を受けない問い合わせはいろいろあるとKaminskyも言っていたようだ。

2008年にあった議論(namedroppers）を見ていたら、

• Aレコードだけを答えるロードバランサーという話がでていて、そういうのもあったなと、思った。
  • NS毒盛攻撃が成功しそうなドメイン名だ。

-- ToshinoriMaeno 2016-03-23 14:24:52

どんな返事だろうと、ある程度の時間はキャッシュしないと危ないとVixieも言っている。

• dnscacheのようにSOAはキャッシュしないのも危ないが、「特に」危なくなるわけではなさそう。

ワイルドカード返答をするのもあぶない。

NXDOMAIN返答を活用して毒消しできだけではまだ安心はできない。

• 否定返答ではない返事におまけのNSなどで毒を盛られるかもしれない。

-- ToshinoriMaeno 2016-03-23 14:35:53