## page was renamed from DNS/毒盛/Mueller == DNS/毒盛/Mueller == <> ---- <> co.jpなどがMueller手法によるNS毒盛に弱いという話についての「JPRSの対応」を整理しています。 [[/対策]]はある。(前野が見つけた。-- ToshinoriMaeno <>) == テーマ == NSがキャッシュに存在しないケースだけとします。 　キャッシュにあるときに上書きするケースは別途議論します。[[DNS/毒盛/上書き]] だが、JPRSが説明をしぶり始めた理由が「移転インジェクション」にあるのなら、この限りではない。ｗ [[DNS/毒盛/2014]] このあたりに関連リンクを集めてあります。http://www.e-ontap.com/internet/ -- [[tss]] <> 助かります。（似たようなリストがあるので、照合する。）-- ToshinoriMaeno <> 学会（研究会）での発表とか、宣伝のための会合での発表は一般向けとは言えませんので、除外します。 JPRSが責任を持って公表するwebページなどにあるものだけを考慮します。 == 始まり == 2014-02 森下氏に連絡。 　当初は理解できない様子だった。 重大だと認識したとの返答。(「委任インジェクション」という名前まで付けたことからも分かる） 　親子同居のケース(a.dns.jp など)もキャッシュにないことはJPRSが指摘したこと。 2014-04-15 までにいろいろの動きがあった。（別途整理） 　JPRSの客とか、お役所相手にはNS毒盛が危険という説明をして回っていた。（資料有り） 2014-04-15　出てきた[[/注意喚起]]（資料として参照可能） 　Kaminsky流攻撃が行われているという警告だけ。（我々には不満だろうという連絡があった。） 　　JPRS上層部からの指示か。 　未完の資料：https://jprs.jp/tech/security/2014-04-15-portrandomization.html -->　このときの立場はKamisky流攻撃対策のないリゾルバーが残っているのを救済するということだったらしい。 これらに対して、NSへの毒（co.jpなど）が入れやすいという話の解説。(tssさん） 　前野はtwitterなどで、これ以前に、解説していたが。 　　co.jp などへのTXTレコードの追加がひっそりと行われていた。(2014-04-xx ?) *.dns.jp ゾーンの分離 (2014-06) ここでも理由の説明なし。(さらなる安定化とは） 　 電子通信学会研究会での解説(中京大 鈴木教授と) 　キャッシュ上書きはよく知られた脆弱性だと言えるのだろうか。(Muellerとは別件） == 課題 == これ以降のJPRS側の対応が一変したようで（Wikipediaを参照したり、Muellerは既知だったとか）、 ころころ変化しているが、まともに対応していないことには変わりなし。 一貫しているのは、自分たちの行動は正当であるという主張だけ。 　脆弱性をさっさと（2か月たっても）公表しなかったことには理由があると。 {{{ 一般向けの注意喚起はしていない。 }}} ということで、JPRSの言ったことを整理しておく必要があると考えています。 森下は引っ込められて、藤原でないと、対抗できないと思っているのかもしれない。 こう考えると、その後の対応が理解できそうな気がしてきた。 -- ToshinoriMaeno <> 対策としてDNSSECを持ち出さないのはなぜか。 == JPRS == 結局のところJPRSとIPAは同じ体質で、問題が発生するまでは警告をしたくないのだ。 　発生してからでは遅いのだが、責任はないと考えているのだろう。 一般向けの注意喚起はないと思っているので、学会等で公表されたものをリストにしておく。 　最初に面談したときに見せられた資料もあるが、公表しないと言われているので、ここにも書かない。 電子通信学会 [[/fujiwara]] dnsops Internet week JANOG 攻撃されていることを（監視して）検出するという原始的な手法を持ちだしたところで、 対策を考えるつもりはなさそうだと、判断した。 実際には否定返答から、NSが存在しないノードが判断できることも多い。 もしフラグメント化攻撃と組み合わせることができれば、毒盛の可能性が上がる。 IPフラグメントがやってくる！準備できていますか？ == 雑談 == 「DNS Security Challenge」過去問：　いくつ間違い設問を見つけられるか。 http://2016.seccon.jp/news/docs/SECCON%E9%95%B7%E9%87%8E%E5%A4%A7%E4%BC%9A%E9%81%8E%E5%8E%BB%E5%95%8F%EF%BC%88JPRS%EF%BC%89.pdf 教科書には載っていないDNS 　副題：キャッシュDNSサーバーの憂鬱　 2013年7月19日 DNS Summer Days 2013 株式会社日本レジストリサービス（JPRS）森下泰宏　@OrangeMorishita http://dnsops.jp/event/20130719/20130719-undocumented-DNS-orange-6.pdf これでも大分修正したはずだが、まだまだ間違っていると思う。 　dnsopsのひとに間違いを広めている。ｗ -- ToshinoriMaeno <>