「DNSに対する最悪の攻撃」 DNSSEC設計の根幹に関わる脆弱性「KeyTrap」が見つかる
「DNSに対する最悪の攻撃」 迅速なパッチ適用を推奨 ATHENEによると、KeyTrapを悪用した場合、単一のDNSパケットが結果的にCPUの使い果たしを誘導し、「Google Public DNS」やCloudflareのDNSなど広く使われているDNS実装やパブリックDNSプロバイダーを全て停止させることが可能だ。発表によると「BIND 9」を16時間ダウンさせたとされている。なお、この欠陥は「CVE-2023-50387」として特定されている。 この攻撃はインターネットの基本的な機能に深刻な影響を与え、世界中のWebクライアントの大部分が利用不能になる可能性がある。主要なDNSベンダーはこの攻撃を「これまでに発見されたDNSに対する最悪の攻撃」と呼んでおり、状況の重大さが指摘されている。 KeyTrapを悪用するサイバー攻撃者は、DNSSECを検証するDNSリゾルバを利用する全ての
Internet Systems Consortium - Wikipedia
Internet Systems Consortium（インターネットシステムズコンソーシアム）は、2004年1月に成立した、アメリカ内国歳入法第501条c3項に基づくNPOである。その資産と人員はInternet Software Consortiumから引き継がれた。 ISCによって開発・メンテナンスされているソフトウェアとしては、BIND、INN、ISC DHCP、Kea、OpenRegなどがある。 ISCは13あるルートサーバのうちFサーバを管理し、いち早くエニーキャストによる分散化を行った。さらに多くのフリーソフトウェアとともにUsenetのnewgroupおよびrmgroupのコントロールメッセージのアーカイブも管理している。 関連項目[編集] ISCライセンス - ISCの作成したフリーソフトウェアライセンス。 外部リンク[編集] Internet Systems Conso
BIND のバージョンを隠す設定 - maruko2 Note.
BIND のバージョンを隠す設定 提供：maruko2 Note. 移動： 案内, 検索 BIND のバージョンを調べる方法 BIND のバージョンを調べるには、バージョンを調べたい BIND (named) が稼働しているサーバにログインし named コマンドを実行するか、BIND が稼働しているサーバにログインできない場合は dig コマンドを使うことで、BIND のバージョンを調べることができる。 BIND (named) が稼働しているサーバにログインできるのであれば、named コマンドを -v オプションを付けて実行するとバージョンが表示される。 $ named -v BIND 9.3.4-P1 BIND (named) が稼働しているサーバにログインできなくても、dig コマンドに次のようなオプションを付けて実行すると BIND のバージョンが表示できる。 $ dig @ネ
RFC 8749 - Moving DNSSEC Lookaside Validation (DLV) to Historic Status 日本語訳
RFC 8749 - Moving DNSSEC Lookaside Validation (DLV) to Historic Status 日本語訳 原文URL : https://www.rfc-editor.org/rfc/rfc8749.html タイトル : RFC 8749 - DNSSEC Lookaside Validation（DLV）を歴史的ステータスに移行する 翻訳編集 : 自動生成 [要約] 要約：RFC 8749は、DNSSEC Lookaside Validation（DLV）を歴史的なステータスに移行するためのものであり、DLVの使用を推奨しないことを示しています。目的：このRFCの目的は、DLVの使用を非推奨とし、代わりにDNSSECの他のメカニズムを使用することを促進することです。 Internet Engineering Task Force (IETF
DNSSEC Lookaside Validation (DLV)
DNSSEC では、各ゾーンの権威 (authoritative) サーバが使う鍵は上位ゾーンの権威サーバによって署名され保証されます。 DNS ツリーのルート以下全てのゾーンが DNSSEC に対応していれば、リゾルバが持つべき鍵はルートゾーンの署名に使われる鍵ひとつとなります。しかし DNSSEC が普及していない現状では、DNSSEC に対応している個々のゾーンの鍵を各リゾルバが持っておく必要があり、DNSSEC に対応したゾーンが増えればそれだけ鍵の管理の手間も大きくなります。 このような状況に対応するための暫定的な仕組みとして、ISC(Internet Systems Consortium) では DNSSEC Lookaside Validation(DLV) という技術を提唱しています。 DLV に対応したリゾルバは、上位のゾーンで提供されるべき DS(Delegation
（緊急）BIND 9.xの脆弱性（DNSサービスの停止）について【バージョン確認コマンド】
サーバやネットワークと日々戯れるインフラ系SEおすぎやんの備忘録ブログ。 いろいろな手順を画面付で掲載しています。 同業者（特にSEなりたての人）の助けになればこれ幸い。 日本一わかりやすい技術系ブログを目指します。 おすぎやんです。 BIND 9.xの脆弱性について、警告があがっています。 https://jprs.jp/tech/security/2016-09-28-bind9-vuln-rendering.html 外部からnamedを落とすことができるらしい。 回避策はなし、バージョンアップしろとのこと。 下記抜粋です。 ▽影響範囲 ISCは、本脆弱性の深刻度（Severity）を「高（High）」と評価しています。 本脆弱性は、 ・外部から該当する問い合わせパケットを一つ送りつけるだけで、namedを 異常終了させられること ・フルリゾルバー及び権威DNSサーバーの双方が対象と
設定ガイド：ゾーン転送要求への応答を制限するには【BIND編】
--------------------------------------------------------------------- ■設定ガイド：ゾーン転送要求への応答を制限するには【BIND編】 株式会社日本レジストリサービス（JPRS） 初版作成 2016/01/12（Tue） --------------------------------------------------------------------- ▼はじめに 本資料は、意図しないゾーン転送を許可する状態になっているBINDの設定を、 簡単なステップで修正する事を目的としています。 ゾーン転送についての技術的な解説は本資料では行いません。手順に沿った 操作で設定を変更し、読者が運用するDNSサーバーが意図しないゾーン転送 を許可する状態ではなくなることを目指しています。 ゾーン転送の設定不備及びそれを利用した情
BINDによるDNSサーバ構築 - スレーブサーバ編 - Qiita
外部向けDNSスレーブーサーバの構築手順 DNSのマスターサーバ構築についてはこちらの記事に書いています。 http://qiita.com/kkojima0127/items/017918793d20490c6c2c 今回はDNSのスレーブサーバ構築について記載します。 BINDパッケージのインストール、サービスの起動、停止などはマスターサーバの構築手順に記載しているので割愛します。 スレーブサーバの動作 スレーブサーバは設定に応じて、定期的にマスターサーバのゾーン情報のコピーを取得し、バックアップファイルを作成する。 スレーブサーバはこのバックアップファイルを使用してマスターサーバと同様に問い合わせに答えることができる。 あくまでゾーン情報はマスターから取得するので、スレーブサーバ側でレコードを記載することはなく、設定は初期設定ファイルのみ行えばスレーブサーバとして動作する。 初期設定
『【Linnux】[named]rndc: connect failed』
■事象 # rndc status rndc: connect failed: 127.0.0.1#953: connection refused ※ named(ネームディー）は起動している ■原因 かなりの確率で、/etc/rndc.keyのパーミッションや所有者 今回は下記でした。 # ls -l /etc/rndc.key -rw-------. 1 root root 77 11月 1 04:31 2019 /etc/rndc.key 上記のように、「named」ユーザが参照出来ない状態 ■解決方法 # chgrp named /etc/rndc.key でグループをnamedにして、 # chmod 640 /etc/rndc.key で、namedが参照出来るようにする。つまり、 -rw-r-----. 1 root named 77 11月 1 04:31 2019
![『【Linnux】[named]rndc: connect failed』](https://cdn-ak-scissors.b.st-hatena.com/image/square/e6b61df18758a22db9dc6bc3a0424a8a796e37b6/height=288;version=1;width=512/https%3A%2F%2Fstat.profile.ameba.jp%2Fprofile_images%2F20100723%2F08%2F1e%2F40%2Fj%2Fo030604101279842254311.jpg)
手を動かしてDNSSECの検証をやってみよう | IIJ Engineers Blog
署名の検証に使う鍵を見てみよう では、この署名の検証に使うための公開鍵を探しましょう。署名者名は iij.ad.jp なので、iij.ad.jpのDNSKEYレコードを引いてみます。 $ dig iij.ad.jp dnskey ... ;; ANSWER SECTION: iij.ad.jp. 1488 IN DNSKEY 256 3 8 AwEAAbdSiZ0RxmtsZUbE1v5kJWi3tXYBQYmZZmYVyw5QgSI7zSoOIcdW 2NoSX+rarklHdnBZKHgBE/lylRxxEi5pGQaJFLVEMBbUo5leb9nmikWG +GxWJL6dZic5LIt3hyAZ0r9jNJN/apzbQh16X41X8gE4lMymlMDXRf6W SbfKReW9 iij.ad.jp. 1488 IN DNSKEY 257 3 8 AwEAAfByl5y3fB
DNSセキュリティ - CMブートキャンプ(社内勉強会)DNS 第3回 /20180214-dns-security-3
What's in a price? How to price your products and services
権威DNSサーバのDNSSEC対応
インターネットの重要な基盤技術の1つであるDNSに対して新たな攻撃手法が公開され、その安全性が脅かされている。DNSにセキュリティ機能を提供するための技術であり、普及が進んでいるDNSSECについて、仕組みと運用方法を紹介する。（編集部） 古くから検討されてきたDNSSEC 近年注目を集めているDNSSECだが、実はその検討は1993年ごろから始まっている。また、最初の標準としてRFC 2065が発行されたのは1997年のことである。 それから継続して検討が進められ、現在のDNSSECの技術仕様は、2005年に発行されたRFC 4033、RFC 4034、RFC 4035（注1）がベースとなっている。これに加え、第3回でも触れたキャッシュDNSサーバにおけるトラストアンカーの自動更新の仕様を定めたRFC 5011が2007年に、またゾーンの列挙を困難にするためのNSEC3拡張を定めたRFC
dnssectutorial.pdf - DNSSECチュートリアル - 株式会社日本レジストリサービス
JAPAN REGISTRY SERVICES JAPAN REGISTRY SERVICES Copyright © 2011 株式会社日本レジストリサービス 1 DNSSECチュートリアル 2011年7月 株式会社日本レジストリサービス JAPAN REGISTRY SERVICES JAPAN REGISTRY SERVICES Copyright © 2011 株式会社日本レジストリサービス 2 目次 • DNSキャッシュへの毒入れ とDNSSEC • DNSSECのしくみ • DNSSEC導入に向けて • DNSSECの鍵と信頼の連 鎖 • DNSSECのリソースレコー ド(RR) • 鍵更新と再署名 • BINDキャッシュサーバーで のDNSSECの設定 • 鍵生成と署名作業 • BIND権威サーバーでの DNSSECの設定 • スマート署名 (Smart signing) •
DNSSECとは | OSSのデージーネット
DNSSEC（DNS Security Extensions）は、DNSの拡張仕様である。DNSの情報に電子署名を付けることで、DNSのデータが正式な発行元のデータであることを検証することができるようにする。 DNSSECの最初の仕様は1999年にRFC2535として公開されたが、長い間、実用とならなかった。それは、インターネットのトップレベルドメインのDNSSEC対応が遅れたためである。しかし、2008年7月に発生したDNSキャッシュポイズニング攻撃を受けて、2010年にトップレベルドメインがDNSSECに対応したことを受け、徐々に利用が広がっている。日本のccTLDである.jpドメインも2011年にDNSSECを導入した。また、すでに.com、.netなどのほとんどのドメインがDNSSECに対応している。 DNSSECの普及状況 APNICは、各TLD毎のDNSSEC対応状況をマップに
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
CMAN インターネットサービス
ISC's DNSSEC Look-Aside Validation Registry
DLV
【図解】DNSゾーン転送の仕組みと設定～フォワーダとの違い,notify,スタブゾーンのメリット/デメリット～ | SEの道標
named-chrootにおける#953の警告文の意味とは
https://www.internic.net/domain/named.root