Deployment Considerations for Windows ZTDNS Client
This document goes over what considerations administrators should keep in mind when evaluating how ZTDNS fits into their Zero Trust deployment model. For more information about what ZTDNS is, see this feature announcement. Zero Trust DNS (ZTDNS) is a powerful Windows feature that enables an administrator to lock down Windows outbound IP-based traffic to endpoints approved by a Protective DNS servi
HTTPSレコードがRFCになりました | IIJ Engineers Blog
RFC9460が出ました 昨年、このエンジニアブログでHTTPSレコードについてとりあげました。これを書いたときはHTTPSレコードはまだインターネットドラフトだったのですが、2023年11月、ついにRFC9460として標準化されました。 RFCにはなったけど日本語の詳しい記事はまだ少ないし需要あるかなーと思って改めて解説を書きはじめたんですが、だらだらとクソ長くなって書いた本人が読んでも眠くて退屈な内容になってしまいました。ので、書いたものはばっさり捨てました。 そういえばいまから3年前、DNS Summer Day 2021で発表したプレゼン資料がありました。これをRFCになった現在の内容にあわせてアップデートしたほうがてっとりばやいしわかりやすそうです。 ということで、加筆修正した資料を置いておきます。DNS屋さんはとりあえず全部読んでおいてください。Web屋さんは前半だけ理解してお
バイナリを読み解いて学ぶDNSパケットの構造
最近RustでDNSリゾルバを自作する記事を読んだので、勉強がてらGo言語で書き換えることにしました。 本記事ではまずDNSのプロトコルについてバイナリレベルで解説します。次回の記事でGo言語を使用して実際にDNSパケットのパーサーを作成します。 DNSとは DNSはドメイン名をIPアドレスに名前解決するために使用される通信プロトコルです。 通常、DNSパケットはUDPトランスポートを使用して送信され、512バイトに制限されています。 ただし、TCPで送信することも可能で、eDNSを仕様することでパケットサイズを拡張することもできます。 本記事では従来のUDPによるDNSパケットの送信について解説します。 UDPにおけるDNSパケットの最大長が512バイトである理由 IPv4の仕様では最小パケットサイズとして576バイトと定義されています。 この値は、64バイトのヘッダーと512バイトのデ
ネット上のプライバシーを強化する Oblivious HTTP
インターネットユーザーの間では、自分たちの個人情報は誰に収集されているのか、そしてそのような情報を利用して、自分のオンライン (もしくは現実の世界) での活動の様子が他者に見えてしまうのではないかという懸念が高まっています。同時に、ほとんどの人が便利で実用的なWebサイトやモバイルアプリがもたらす恩恵を受けており、プライバシーの保護を理由にそれらすべてを諦め、インターネットとのつながりを断って今の社会で暮らすことは簡単ではありません。 インターネットサービスを提供する企業は、サービスの有用性とプライバシーの確保という競合する優先事項の間で、どのようにバランスを取るべきかという点において厳しい選択を迫られています。企業は、通常のサービスの運用を通じてエンドユーザーに関するデータを受信するだけでも、厳しいコンプライアンス要件と規制当局からの圧力に晒されます。サービスが成功を収めるほどに、これら
PyCon APAC 2023におけるNOCコンテンツに関するご指摘について
一般社団法人PyCon JP Association（以下「当法人」といいます。）が主催するPyCon APAC 2023（以下「本イベント」といいます。）においてネットワークオペレーションセンター（以下「NOC」といいます。）が提供するコンテンツの一部につきまして、DNSクエリ情報を収集し、その一部の情報をインターネット上に公開したコンテンツがありました。このようなコンテンツを公開したことについて、下記に詳述する通り、本イベントの主催者として不適切な行為であったと考えます。 本イベント参加者、企業スポンサー、Pythonコミュニティおよび運営ボランティアスタッフをはじめとする関係者の皆様にご迷惑とご心配をおかけしたことを心よりお詫び申し上げます。合わせて、本件に関してご指摘をいただいたコミュニティの皆様には御礼申し上げます。 当法人は本件を厳粛かつ真摯に受け止めるとともに、本件の発生事実
Prepare Your Network or Web Server for iCloud Private Relay - Support - Apple Developer
Prepare your network or web server for iCloud Private Relay iCloud Private Relay is an internet privacy service offered as a part of an iCloud+ subscription that allows users on iOS 15, iPadOS 15, and macOS Monterey and later to connect to and browse the web more privately and securely. Private Relay protects users’ web browsing in Safari, DNS resolution queries, and insecure http app traffic. Int
Improving DNS Privacy with Oblivious DoH in 1.1.1.1
Improving DNS Privacy with Oblivious DoH in 1.1.1.112/08/2020 Today we are announcing support for a new proposed DNS standard — co-authored by engineers from Cloudflare, Apple, and Fastly — that separates IP addresses from queries, so that no single entity can see both at the same time. Even better, we’ve made source code available, so anyone can try out ODoH, or run their own ODoH service! But fi
RFC 9230: Oblivious DNS over HTTPS
Independent Submission E. Kinnear Request for Comments: 9230 Apple Inc. Category: Experimental P. McManus ISSN: 2070-1721 Fastly T. Pauly Apple Inc. T. Verma C.A. Wood Cloudflare June 2022 Oblivious DNS over HTTPS Abstract This document describes a protocol that allows clients to hide their IP addresses from DNS resolvers via proxying encrypted DNS over HTTPS (DoH) messages. This improves privac
Anonymized DNS
[List of public Anonymized DNS relays] DNS encryption was a huge step towards making DNS more secure, preventing intermediaries from recording and tampering with DNS traffic. However, one still has to trust non-logging DNS servers for actually doing what they pretend to do. They obviously see the decrypted traffic, but also client IP addresses. In order to prevent this, using DNS over Tor or over
DNS over HTTPS (DoH) on macOS
Send your DNS requests over HTTPS, improve your privacy and protect yourself from potential dns poisoning. You probably know what is a DNS, but you might not know about DoH (DNS over HTTPS) or DoT (DNS over TLS) yet. In this article, we will be focusing on DoH, what are the pros and cons, and how to set it up on macOS. What's so great about DoH?First, a quick recap: DNS runs on the port 53 in clea
大規模サービスのデータベースエンジンを MySQLからAurora MySQLへの移行 〜リードレプリカ, DNSを利用した最小ダウンタイム移行方法〜 - メドピア開発者ブログ
バックエンドエンジニアの徳富(@yannKazu1)です。先日、メドピアのメインサービスであるmedpeer.jpで使われているデータベースエンジンを、MySQLからAurora MySQLへと移行しました。今回はその移行のプロセスについて詳しくお話しします。 移行したデータベースの簡単なインフラ構成 移行方針 今回移行するデータベースは複数のアプリケーションから参照されており、ダウンタイムによるユーザー影響が大きいため、移行方針の検討の段階で重視したのは、ダウンタイムの最小化でした。これを達成するために、DNSのCNAMEレコードと、Auroraのリードレプリカを活用し、移行させることにしました。 DNSのCNAMEレコードの使用 データベースエンドポイントをアプリケーションに直接記述する代わりに、DNSのCNAMEレコードを利用して間接的に参照するようにしました。これにより、データベー
Cloudflare DNS Proxy モード と CNAME Flattening (ALIASレコード）について
先日こちらの福岡ミートアップでCloudflareのDNS Proxyという設定が話題となりましたので、その機能や混同されがちなCNAME Flattening (ALIASレコード）についてまとめます。 クラスメソッドの大栗さんも記事をまとめてくれていますので併せて参考にしてください。 DNS Proxyモードとは CloudflareのDNS設定はではProxy モードとDNS Onlyモードの２種類があります。 Proxyモード DNS Onlyモード これはいわゆる一般的なDNSプロキシとことなり、DNSリゾルバに対する問い合わせをCloudflareが代理で行う機能ではありません。（勿論Cloudflareが外部のDNS権威サーバと連携してユーザーのDNSを管理する機能は別途提供しています） DNSステータスが"Proxied"となることで、DNSリゾルバに対する名前解決の結果C
一般ユーザに払い出すと危険なサブドメインやメールアドレス - ASnoKaze blog
ユーザに対して、そのユーザ名のサブドメインやメールアドレスを払い出すWebサービスがあります。 しかし、特定のサブドメインやメールアドレスは特別な用途で使われているものもあります。そのようなサブドメインやメールアドレスを一般ユーザに払い出してしまうと危険です。 現在、IETFでは仕様上利用用途が決められている、それらのラベルをとりまとめる「Dangerous Labels in DNS and E-mail」というdraftが提出されています。 今回はそれを眺めていきます。 （あくまでIETFの取り組みであり、仕様上定義されているものをとりまとめています。クラウドサービスや特定ベンダーで特別利用しているものは現在含まれていません。） サブドメイン ここでとりあげるサブドメインは、利用用途が決まってるため一般ユーザに払い出すべきではありません。(例: mta-sts.example.com)
DNSリバインディング(DNS Rebinding)対策総まとめ
サマリ DNSリバインディングが最近注目されている。Google Chromeは最近になってローカルネットワークへのアクセス制限機能を追加しており、その目的の一つがDNSリバインディング対策になっている。Googleが提供するWiFiルータGoogle Nest WiFiはデフォルトでDNSリバインディング対策機能が有効になっている。 DNSリバインディング対策は、攻撃対象アプリケーションで行うべきものであるが、ブラウザ、PROXYサーバー、リゾルバ等でも保護機能が組み込まれている。本稿ではそれら対策機能の状況と対策の考え方について説明する。 DNSリバインディング（DNS Rebinding）とは DNSリバインディングはDNS問い合わせの時間差を利用した攻撃です。DNSのTTL（キャッシュ有効期間）を極めて短くした上で、1回目と2回目の問い合わせ結果を変えることにより、IPアドレスのチ
It's always DNS . . . except when it's not: A deep dive through gRPC, Kubernetes, and AWS networking
Chromium’s DNS Cache
text/plain ericlaw talks about security, the web, and software in general From the mailbag: Q: How long does Chromium cache hostnames? I know a user can clear the hostname cache using the Clear host cache button on about://net-internals/#dns, but how long it will take for the cache to be removed if no manual action is taken? After changing DNS records on my server, nslookup from a client reflects
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Oblivious DNS over HTTPS (ODoH): A Practical Privacy Enhancement to DNS
Singularity of Origin
Google Public DNS
DNS Security, Part I: Basic DNS