1. DNS/毒盛/Mueller
co.jpなどがMueller手法によるNS毒盛に弱いという話についての「JPRSの対応」を整理しています。
/対策はある。(前野が見つけた。-- ToshinoriMaeno 2019-08-25 00:28:38)
2. テーマ
NSがキャッシュに存在しないケースだけとします。
キャッシュにあるときに上書きするケースは別途議論します。DNS/毒盛/上書き
だが、JPRSが説明をしぶり始めた理由が「移転インジェクション」にあるのなら、この限りではない。ｗ
このあたりに関連リンクを集めてあります。http://www.e-ontap.com/internet/ -- tss 2017-01-29 11:49:14
助かります。（似たようなリストがあるので、照合する。）-- ToshinoriMaeno 2017-01-29 12:05:18
学会（研究会）での発表とか、宣伝のための会合での発表は一般向けとは言えませんので、除外します。
- JPRSが責任を持って公表するwebページなどにあるものだけを考慮します。
3. 始まり
2014-02 森下氏に連絡。
- 当初は理解できない様子だった。
重大だと認識したとの返答。(「委任インジェクション」という名前まで付けたことからも分かる）
- 親子同居のケース(a.dns.jp など)もキャッシュにないことはJPRSが指摘したこと。
2014-04-15 までにいろいろの動きがあった。（別途整理）
- JPRSの客とか、お役所相手にはNS毒盛が危険という説明をして回っていた。（資料有り）
2014-04-15 出てきた/注意喚起（資料として参照可能）
- Kaminsky流攻撃が行われているという警告だけ。（我々には不満だろうという連絡があった。）
- JPRS上層部からの指示か。
未完の資料：https://jprs.jp/tech/security/2014-04-15-portrandomization.html
--> このときの立場はKamisky流攻撃対策のないリゾルバーが残っているのを救済するということだったらしい。
これらに対して、NSへの毒（co.jpなど）が入れやすいという話の解説。(tssさん）
- 前野はtwitterなどで、これ以前に、解説していたが。
- co.jp などへのTXTレコードの追加がひっそりと行われていた。(2014-04-xx ?)
*.dns.jp ゾーンの分離 (2014-06) ここでも理由の説明なし。(さらなる安定化とは）
電子通信学会研究会での解説(中京大 鈴木教授と)
- キャッシュ上書きはよく知られた脆弱性だと言えるのだろうか。(Muellerとは別件）
4. 課題
これ以降のJPRS側の対応が一変したようで（Wikipediaを参照したり、Muellerは既知だったとか）、 ころころ変化しているが、まともに対応していないことには変わりなし。
一貫しているのは、自分たちの行動は正当であるという主張だけ。
- 脆弱性をさっさと（2か月たっても）公表しなかったことには理由があると。
一般向けの注意喚起はしていない。
ということで、JPRSの言ったことを整理しておく必要があると考えています。
森下は引っ込められて、藤原でないと、対抗できないと思っているのかもしれない。
- こう考えると、その後の対応が理解できそうな気がしてきた。
-- ToshinoriMaeno 2017-01-28 00:25:25
対策としてDNSSECを持ち出さないのはなぜか。
5. JPRS
結局のところJPRSとIPAは同じ体質で、問題が発生するまでは警告をしたくないのだ。
- 発生してからでは遅いのだが、責任はないと考えているのだろう。
一般向けの注意喚起はないと思っているので、学会等で公表されたものをリストにしておく。
- 最初に面談したときに見せられた資料もあるが、公表しないと言われているので、ここにも書かない。
電子通信学会 /fujiwara
dnsops
Internet week
JANOG
攻撃されていることを（監視して）検出するという原始的な手法を持ちだしたところで、 対策を考えるつもりはなさそうだと、判断した。
実際には否定返答から、NSが存在しないノードが判断できることも多い。
もしフラグメント化攻撃と組み合わせることができれば、毒盛の可能性が上がる。
- IPフラグメントがやってくる！準備できていますか？
6. 雑談
「DNS Security Challenge」過去問： いくつ間違い設問を見つけられるか。
教科書には載っていないDNS
- 副題：キャッシュDNSサーバーの憂鬱
2013年7月19日
DNS Summer Days 2013 株式会社日本レジストリサービス（JPRS）森下泰宏 @OrangeMorishita
http://dnsops.jp/event/20130719/20130719-undocumented-DNS-orange-6.pdf
これでも大分修正したはずだが、まだまだ間違っていると思う。
- dnsopsのひとに間違いを広めている。ｗ
-- ToshinoriMaeno 2017-01-29 10:27:52