DNSリバインディング(DNS Rebinding)対策総まとめ

サマリ DNSリバインディングが最近注目されている。Google Chromeは最近になってローカルネットワークへのアクセス制限機能を追加しており、その目的の一つがDNSリバインディング対策になっている。Googleが提供するWiFiルータGoogle Nest WiFiはデフォルトでDNSリバインディング対策機能が有効になっている。 DNSリバインディング対策は、攻撃対象アプリケーションで行うべきものであるが、ブラウザ、PROXYサーバー、リゾルバ等でも保護機能が組み込まれている。本稿ではそれら対策機能の状況と対策の考え方について説明する。 DNSリバインディング（DNS Rebinding）とは DNSリバインディングはDNS問い合わせの時間差を利用した攻撃です。DNSのTTL（キャッシュ有効期間）を極めて短くした上で、1回目と2回目の問い合わせ結果を変えることにより、IPアドレスのチ

[ockeghem]

DNSリバインディングについて、ブラウザ、PROXY、リゾルバの対応状況と、対策の考え方についてまとめました

[dollarss]

権威ある人がこうして対策記事を書いてくれる事には本当に頭が下がる。

[oldriver]

DNSリバインディングを初めて知ったのは（そして多分世に広く知られるようになったのも）ガラケー時代のこと、徳丸さんによる「かんたんログイン」についての研究でした。 https://www.eg-secure.co.jp/blog//20091124/

[knjname]

社内ネットワークにHTTPSなサイト作りたい場合とか、DDNSでDHCPされたプライベートIPを解決させたい場合は、普通にパブリックな権威にプライベートIP載せるよ

[sasashin]

q「結局のところ、 社内ネットワークといえども認証とアクセス制御をきちんとやる この当たり前のことをちゃんとやっていれば大丈夫です。」

[daishi_n]

公開DNSにプライベートIPを登録するのはAWSのRDSなどの接続エンドポイントがそうだよ。この方法だと公開DNSで名前解決できればオンプレ環境から容易に名前解決できるのと、過去のEC2-Classic時代との互換性の両面だったはず

[azzr]

イントラ内でもhttpsにしてあれば、ついでに防御できてるという認識。ルーターとかが無防備な可能性があるのはまずい気がする。

[mizdra]

なるほどー

[tmatsuu]

おーめっちゃわかりやすい。そしてとても巧妙だ。

[efcl]

DNS裏バインディングの解説と各レイヤーの対策について。 個人端末からのアクセス、SSRF攻撃に利用される。 ブラウザのDNS Pinning、DNSサーバの対応などについて

[nilab]

DNSリバインディング(DNS Rebinding)対策総まとめ | 徳丸浩の日記

[field_combat]

こんな方法があるんか。イントラ内のハードウェアが主な攻撃対象

[haruyato]

これはCisco UmbrellaとかのDNSセキュリティーで防げるものなの？

[mohno]

「DNSリバインディングはDNS問い合わせの時間差を利用した攻撃」/めんどくさそうなので、あとで読み直さないと。

[spark7]

なるほど... よく考えるな。

[asuka0801]

リモートワークが当たり前になってくるとゼロトラストが常識化してくるので、そのうちDNSリバインディング攻撃自体が成立する条件が減ってくるかもしれない。危ないのはやはりまだ業務でIE使ってるような業種ですかね

[kasahannra]

後で読む

[hdkINO33]

“社内ネットワークといえども認証とアクセス制御をきちんとやる”

[takuya_1st]

広告ブロック関連どうするの？

[door-s-dev]

知らないやつだ。後で読もう

[crexist]

ほぇー、こんな手口があるのか。

[rna]

公開DNSにプライベートIPアドレス登録できるんだ… 何か正当な用途ってあるんだろうか？

[fellfield]

ブラウザのDNS Pinning知らなかった。全体的にはちょっと理解が追いつかないので、あとでもう一度読む。

[tkmkg8m]

“まずは攻撃可能性の洗い出しと、ローカルネットワークでも認証をおろそかにしないという基本的な対策を推奨”

[umakoya]

罠サイトを見た瞬間にIPが変えられてイントラ情報を抜き出すってことか……？理解が追いつかない。ピンポイントな標的攻撃なのか？

[tomoyarn]

この方法ならWebサーバー側のログがおかしなことになりそうだけど、そういうのって検知するのは難しいのかな。

[deep_one]

「なんというドメインにアクセスしているつもりなのか」を確認しとけと。それってたしかバーチャルホストのSSLに対応するために追加された通信仕様だったよな…

[Hiro_macchan]

memo

[azumi_s]

手を替え品を替え考えるものだ

[kenzy_n]

ミリ秒の攻防

[Sampo]

ああっなるほどそういうこと！　ほんとに悪いこと考えるやついるのね！（攻撃者が何をしようとしているのか、そのために従来どんな防御がされてきたかの文脈を知らないとそれをどう破るって話なのか理解困難かも）