PROXY（プロキシ）経由でのDNSリバインディングと対策

補足 この記事は旧徳丸浩の日記からの転載です。元URL、アーカイブ、はてなブックマーク1、はてなブックマーク2。 備忘のため転載いたしますが、この記事は2010年4月6日に公開されたもので、当時の徳丸の考えを示すものを、基本的に内容を変更せずにそのまま転載するものです。 補足終わり このエントリでは、PROXY経由でWebアクセスしている場合のDNSリバインディング対策について考察する。 PROXY（プロキシ）経由でWebアクセスしている場合、DNSによる名前解決はブラウザではなくPROXYにより行われる。したがって、 ブラウザ側ではDNS Pinningできないので、PROXY側での対策が重要になる。 広く使われているPROXYサーバーであるsquidの場合、DNS Pinningに相当するパラメータは、negative_dns_ttlであり、デフォルト値は1分間である。したがって、最初

[setamise]

『PROXY経由の場合、DNSによる名前解決はブラウザでなくPROXYが行う。この時、比較的簡単にDNSリバインディングが成立』『対策としてproxyにPVアドレスを中継させない』『ブラウザのPROXY例外設定をお忘れなく』

[tsupo]

PROXYのACLによりプライベートアドレスを中継禁止することで対策可能