## page was renamed from DNS/lame_delegation/分類 = 分類 = <> <> [[../解説]] と重複(ほとんどコピー) DNS Lame Delegations Report 2019-11 http://dnsinstitute.com/research/lame-servers-201911/ The following examples were seen in November 2019. Some of the problems have been resolved, but a few still exist. 1.1. サーバーがない NSレコードがない場合もある。(clientHold状態など) No address for delegated NS target NS target recursively points to itself or parent Non-existent server (間違い名など) 1.2. 返事がない Nameserver refuses to answer Nameserver returns a non-authoritative answer Nameserver returns a failure SERVFAIL or FORMERR {{{ NSレコードの指す先が間違っている。 }}} どう間違っているか。 * [[/サーバー不在]] これまでの説明。 サーバー名からサーバーアドレスを得られない場合を含む。 * [[/不整合返答]] これを含めるひとはいた。 * [[/ゾーン不在型]] awsdns, cloudflare, さくらなどの共用サービスに多数ある。 乗取の危険性あり。 == ゾーン不在型の分類 == ゾーンが作られていない委譲は多数ある。 使われていないドメイン名が多いが、使われているものもある。 複数のDNSサービスを登録しているものの、一部のサービスでだけゾーンが作られているものもある。 [[/subdomain型]] subdomain ゾーンのNSを登録しているもの。危ないので実例はまだだせない。 [[/sjdc型]], [[/sharp型]], [[/moppy型]] など、ほかにも具体例はある。 -- ToshinoriMaeno <> lame delegation（レイムデレゲーション） https://jprs.jp/glossary/index.php?ID=0176 役にたちそうもない説明。(｢ドメイン名の管理権限｣を奪われる「ドメイン名ハイジャック」を招く、とある) [[DNS/ドメイン名ハイジャック]]が 拳銃強盗から万引きまで区別しないのでは、役にたたない。[[DNS/なりすまし]] の方がましだ。 ｢管理権限｣を奪われた例はperl.comくらいか。あれも、レジストラを騙したのであって、奪ったと言えるか。 == lame 症状 == 1. ホストが見つからない。(A/AAAAがない。) sjdc.co.jp など glue の間違いもある。 (返事をしない、間違った返事を返すなど。乗取りも考えられる。) 2. NSレコードの先(の一部または全部)が返事を返さない。wunderlist など 　　. REFUSED, SERVFAL, 無返答 (ゾーンがないのだろう。) gmoserver NS にもある。 3. NSレコードの先に｢正常な返事｣を返さないものが含まれている。 . 返答が不一致である。(NS群の不一致など) 乗取りかも。 gmoserver NS にもある。 4. 委譲された親ドメインの返答はしないが、子ドメインの返答をするものがある。moppy.jp など jp.sharp, awsdnsで wwwつきサブドメインのNSを委譲登録しているもの。 例にあげたドメインは現在は修正されているが、記録を調べれば、問題があったことが分かるだろう。 https://www.rfc-editor.org/rfc/rfc8906.html [[../資料/RFC8499]] lame delegation がなにをもたらすのか、 危険性についての言及はない。 (乗取に直結している。) == apnic == https://blog.apnic.net/2021/03/16/the-prevalence-persistence-perils-of-lame-nameservers/ Types of lame delegations Lame delegated nameservers — nameservers unable to provide authoritative answers for a domain — can arise due to multiple reasons: 1. It could be that the nameserver is unreachable or unavailable; the nameserver is not functional or the IP address for the nameserver is not routed 2. The nameserver may be misconfigured or not authoritative for the domain. Consider a domain that lists the Google Public DNS Resolver (GPDNS) 8.8.8.8 as its authoritative nameserver. Given that GPDNS is a recursive resolver it cannot be an authoritative nameserver 3. A nameserver could be lame delegated because it has no valid resolution path. The lack of a valid resolution path may be a result of missing glue or the nameserver domain expiring. While the first two categories of lame delegated nameservers need active querying, this final category can be identified using passive analysis of zone files. Read: Find bugs in your DNS zone files before deployment We presented a paper at IMC 2020 called Unresolved Issues that investigates lame delegations using both passive analysis and active measurement. In this blog, we briefly describe our passive analysis before highlighting key findings and takeaways. == 委譲先のホストが存在しない == 上位登録しているサーバー名が「存在していないドメイン(誰でも取得可能)内」を指していると、 サーバーの属するドメインを登録されて、偽サーバーを作られるかも知れません。 　ドメイン全体が乗っ取られる危険性があります。 よく知られているのはvisa.co.jpの話です。失効したドメインを買った。:-) JPレジストリは「存在しないJPドメイン」内のホストを指しているNSレコードをときどき強制削除している。 　（ひとつき程度の遅延はありそう） これは[[DNS/記録/visa.co.jp問題]]が指摘されたあとに実施されるようになったものです。 　ただし、JPではないドメインの名前を指す場合には効果がない。 .com, .net などの存在しないドメインは危ない。(容易に取得可能) 委譲先のホスト名の間違いだけではなく、委譲そのものを消し忘れたという状況も多い。 == サーバーがゾーンを持たない == 共用DNSサービスを指す委譲に対しては、あと一歩踏み込んだ対応が必要になります。 　ゾーンが存在しないことがあるからです。委譲を消し忘れた場合が観測される。(awsdnsなど) ドメイン名の権利確認を怠るサービスが多いので、注意が必要です。 jpサーバーからexample.jp ドメインが委譲されているのに、NSを問い合わせると、 REFUSED (SERVFAIL) 返答を返す場合です。 https://www.rfc-editor.org/rfc/rfc8906.html#name-zone-existence === www ゾーンだけが存在する === example.jp が委譲されたNSにexample.jp を問い合わせたときに返事をしないのに、 www.example.jp queryには返事をする場合があります。(www.example.jp ゾーンだけが存在している。) 多くのリゾルバーはwww.example.jp のA/AAAAを得られればよしとしているので、アクセス可能なのです。 [[../共用サービス/さくら/2020-06-08/artman.jp]] [[watchA/sakura2/www.saginuma-medicalmall.jp]] awsdns でも多数ある。[[DNS/共用ゾーンサービス/awsdns]] == sharp gTLD == かなり異常な設定だ。[[DNS/gTLD/sharp/jp.sharp]] NSには jp.sharp ゾーンが存在しない。 sharp ゾーンなどが存在する。-- ToshinoriMaeno <> = 返答に問題がある = ゾーンが存在しない場合、 1. 多くの権威サーバーは REFUSEDを返すが、そうではないものもある。 1. xserver,star-domain, sixcore 配下のサーバはSERVFAILを返す。 問題のほとんどはxserverに委譲しているケースのようだ。 1. heteml のように返事をしないサーバーもある。 　 xdomain, secure\.net なども。 (tinydnsもこの動作だ。) 1. zoneが存在しないにもかかわらず、NOERROR(noname)返答を返すサーバーもある。 　　　　bluehost, worldnic(+SOA), dreamhost など 1. Aレコードだけを返す。(乗取り) 　　　muumuu-domain (eva.co.jp など) {{{ 　 $dig @ns1.bluehost.com -t ns qmail.com }}} == 不正なゾーンが存在する == [[DNS/gTLD/sharp/jp.sharp]] == 返答しないサーバ == 登録サーバは存在するが、ゾーン設定されていないなどの場合もある。[[/awsdns]] に多数ある。 共用DNSサービスを指す場合で、返事をしない(ゾーン不在)ときにはが別人にドメイン(ゾーン)を作られる (乗取られる)恐れがあります。登録ドメインと権利確認を行っていないからです。(さくら、[[/awsdns]] など) 　　-- ToshinoriMaeno <> 「共用DNSサービスで設定しそこない」などの理由が考えられるが、乗っ取られる危険がある。 [[共用DNSサービスの危険性]] 使っていないドメインだからと言って危険性を無視してはいけない。 フィッシングなどに使われたときに責任がないとは言えない。 -- ToshinoriMaeno <> == 乗取られても害が小さい場合 == まったく使われていないドメインなら、乗取る意味はないかもしれません。 tetote のようにかつて使われていて、今もリンクが多数残っているなら、話は違います。 == 返答の不整合 == 乗取の兆候 ---- lame delegaition は[[DNS/ドメイン名乗取]]に直結しています。 委譲先の名前が存在する場合と存在しない場合に分けます。 1. ｢存在しないドメイン名｣が使われている。 　　　名前の間違い、期限切れなどがある。 　　どちらも、ドメイン(名)を[[/他者が登録できる]]と、乗取れる。 JPドメインに対して、JP直下の存在しないドメイン内の名前が登録されている場合には、 　　　JPRSがレジストラの権限でNSレコードを削除することがある。 2.　ドメイン名は存在するが、真当な返事がない。 　　2.1 サーバーからの返事はあるが、REFUSEDなどである。 　　　　つまり、｢ゾーンが存在していない｣使われていないドメイン名なのだろうか。[[/委譲間違い]] 　　　　　ゾーンを他者に作成されると、乗取れる。　awsdns は危ない。 　　　　サーバーが正しくない返事をする。 　　　　　乗取られた状態かもしれない。 　　2.2 サーバーが返事をしない。 　　　　　　IPアドレスが正しくない。 委譲を変更(削除)したばかりの時点では、キャッシュに残っている可能性がある。 　　この時に権威サーバーでゾーンを削除すると、狙われる可能性がある。(tssさんの指摘) -- ToshinoriMaeno <> [[/他者が登録できる]]と乗取られます。