「whndows. com」ドメインを取得して「windows. com」へのトラフィックを盗み見る手法

[nezuku]

打ち間違いでなくメモリのビット化けビット反転を用いて誘導を仕掛けるのか… / 少し前にLinusさんが一般向け製品でのECC対応に消極的なことにIntelへ向かって批判していたのを思い出す

[z67kjh]

打ち間違いor設定間違いでは？って指摘があるけど、NTPサーバーを手動で設定する人はtime.windows.comを設定しないだろうから、これはマジでエラーでビット反転してると思うで

[nanamae]

いくらなんでもそんなに反転するか？/SRAMのエラー率で計算したら14ドメインで待ち構えた場合で1日に3000億回ぐらいアクセスあれば合いそうでした。リアルな数字。

[kenchan3]

コンシュマーPCのメモリにECCが無いのはクソというLinusの発言があったが、この手の実害が公になり始めると、全部ECC対応になるかなというかなって欲しい

[ardarim]

ビット化けを検出するネットワーク版スーパーカミオカンデみたいだ

[kkobayashi]

すご。意外と多いんだな

[sny22015]

京都新聞へのトラフィックを虚構新聞が捕捉してるような感じ？

[Inuneco]

極小の確率事情が当然のように発生する規模感

[monochrome_K2]

メモリー不良の関係でアクセスされているならもっとユニークIPの比率が高くても良さそうなので数字上打ち間違いが大半なのかな。ただどちらにしても非常に興味深い結果だと思う

[louise_kunka]

仮にビット反転が原因だとすると、発生しているのは名前解決の時点でしょ。あるIPがアクセスし続けてるならタイポが濃厚だし、アクセスが端末のDNSキャッシュ時間で途切れているようであればホントにビット反転。

[Krouton]

面白い

[robokichi]

"14日間で626のユニークなIPアドレスから、19万9,180のNTPクライアント接続が確認できたという"　打ち間違い?それともビット反転したデータがメモリ上に保持されてるのか?確定はできんか。

[deep_one]

すげえ…／ビット反転は航空機とかではマジに考慮される奴だよな。（宇宙線の影響が大きい。）

[kibitaki]

メモリのビット化けを今後言い訳に使う現場作業者が続出したりして。

[ahmok]

これはすごい

[adsty]

ビット化けを利用してトラフィックを取得する「bitsquatting」と呼ばれる手法。

[georgew]

「i」(01101001)を1bitずらした「h」(01101000)に変えた「whndows.com」のドメインを取得するといったかたち > あーこれそういう意味だったのか。納得。

[smbd]

だれだよECCメモリなんかいらんいうてる輩は

[akymrk]

“PCなどのメモリでは、構造上の問題や宇宙線、熱、温度の変動などを要因として、まれにビット反転が発生しデータが変化する「bit flipping」という症状が起きることがある”

[fashi]

14ドメイン14日で626てそこまで多くないし時計合わせ機能付きのフリーソフト作者が間違えたとかありそう

[Nyoho]

そんなにエラーが出ているとは

[masutaka26]

ECC メモリはその文脈で必要なのか "PCなどのメモリでは、構造上の問題や宇宙線、熱、温度の変動などを要因として、まれにビット反転が発生しデータが変化する「bit flipping」という症状が起きることがある"

[tya_pon]

へーこんなのあるんだ、知らなかった。面白い。

[vvvf]

アクセスさせられたとしても証明書検証に失敗するのでは？

[uva]

bitsquatting

[funnnon]

皆さんwindows.comって打ってアクセスします？ネットワークも対策する？メモリをECCにするならルーター、スイッチ、経路も対策しましょう

[ab_sn]

目の付け所

[theta]

“14日間で626のユニークなIPアドレスから、19万9,180のNTPクライアント接続が確認できた” bit flippingじゃなくてドメイン名のtypoの方じゃないかなあ

[stp7]

NTPはほぼUDPで実装されてるからなあ。

[yuno001]

名前解決時点でエラーが発生してるんだとすると、PC側の精度の問題か。端末情報盗むスクリプトを仕込ん　むと各メーカーの品質が可視化されるかもね。

[megomego]

登さんがやりそうな実験

[quabbin]

そんなに少ないのか…。

[prna79]

“企業などが持つドメインでは、bitsquattingやtyposquattingに応用しうる類似ドメインもあわせて取得することでフィッシング攻撃を防ぐのだが、「windows.com」の場合は…14は誰でも購入可能な状態だったという。”

[mizdra]

なるほど…

[You-me]

あーそういうことね。これだけ膨大なトラフィックがあればそりゃ当然そういうエラーも混ざるので、ね。

[kaz_the_scum]

興味深い。覚えておこう。

[side_tana]

アクセスログに不思議なUAが残るケースあるし当然DNSでも起こるよな、それはそうか、、、

[yhachisu]

ECCつけるほどエラーって起こるのか？って思ってたけど、結構あるんだな…。エラーの起こる仕組みも勉強になった。

[shoh8]

おーなるほど、typoだけじゃなくbit反転でアクセスあるのか