強烈なDNSキャッシュポイズニング手法が公開される:Geekなぺーじ

本日、JPRSが緊急の注意喚起を公表しました。 緊急）キャッシュポイズニング攻撃の危険性増加に伴うDNSサーバーの設定再確認について（2014年4月15日公開）- 問い合わせUDPポートのランダム化の速やかな確認・対応を強く推奨 それに対して、2月中旬に脆弱性を発見してJPRSへと報告していた鈴木氏(脆弱性は前野氏との共同発見)が、JPRSの注意喚起では「危険性をよく理解して対策をとるにあたって十分な情報が含まれているとはいえません」として、以下の情報を公開しています。 開いたパンドラの箱 - 長年放置されてきたDNSの恐るべき欠陥が明らかに キャッシュポイズニングの開いたパンドラの箱 キャッシュポイズニングの開いたパンドラの箱 - 2 - 本来であれば、より上位からの正規の回答が優先されなければならないはずなのに、下位側が優先される仕様になっているので、偽装されたデータが優先されてしまう

[sho]

これで(Heartbleedで盗んだ)秘密鍵を使って「正しい」httpsなフィッシングサイトを作れるようになってしまった、のかな。

[shinagaki]

これはやばいので、今 主要サイトのIPアドレスを必死に暗記してます！！！

[t-tanaka]

そもそもUDP上で信頼の置ける分散データベースを構築する困難さが根本にあるような気がする。

[yunoka0314]

今年は当たり年だなー。露見してるだけなんだけど。

[onionskin]

DNSに関しては、あの仕組みがここまで保ってたのはむしろ奇跡というしかないレベル。関係者の不断の努力のお蔭でもあろうが。

[exadit]

やっと理解できた。名前解決そのものが全てダメな状態になりますね。リンク先の「インターネットはインフラにはしてはならない」という言葉に背筋が凍る思いですが、しかし社会はそうじゃないと言えるのだろうか。

[ko-ya-ma]

致命的じゃないですか

[BlueSkyDetector]

DNSとか、またやばそうなとこだ。URLが正しくても違うところに繋がり得るわけだし、しかもSSLの件でプライベートキーが漏洩してたりすると、より簡単にまずい情報が盗聴されるし、ユーザー側では回避できなそうな気が。

[ghostbass]

TTLを長くするしかない？

[midnightseminar]

素人的には、どういう攻撃のケースがあるのかが、分かりそうでわからない。問題の仕組みは自体は、Heartbleedより直観的に分かりやすいのだが（細かいことは分からん）

[adsty]

公表されたDNSの脆弱性はかなり深刻な問題。

[ysync]

現時点でのIPをローカルに保存して、IPが変更された時にはブラウザ上に通知し確認を促すくらいは必要かも。ブラウザ拡張あたりで書けばいいのかな？

[bleu-bleut]

キャッシュポイズニング

[shoksn]

巨大なhostsファイルが入ったDVDをテレホンショッピングで買う未来が来るのか？

[tamtam3]

大金が絡んでくるから、ターゲットになりそうな銀行サイトとかヤバそうね

[AKANE_Daigo]

DNSの仕様バグなのか

[skam666]

“カミンスキー型攻撃手法を応用して、JPの権威DNSサーバからの応答を偽装してAuthority SectionにNSレコードを含む事で、Rootから委任された正規のJPのNSレコードに関するキャッシュを上書きできてしまう”

[yrkhnshk]

本来インターネットは性善説にもとづいて運営されてきたようなところがあるから危ういんだよな。お偉いさんがいまだに信用しないのもうなづける

[Rinta]

深刻な問題だ。せめてポイズニングされたかどうかを調べる方法があればいいんだが。

[minoton]

security

[sassy_watson]

うわぁ。

[sasashin]

“カミンスキー型攻撃”

[kat21]

これはヤバい。

[rryu]

応答に含まれるNSの正しさってどう検証しているのだろうかと思っていたが結構ダメだったということなのか。

[mather314]

Σ（ﾟдﾟlll）

[b4takashi]

仕様上の危険性なのか

[tnk962]

セキュリティ関係、急に色々あるな…。

[John_Kawanishi]

｢現時点においてDNSSECによるValidationを行わずにこの攻撃を防ぐ方法はありません。 但しDNSSECに対応したとしても毒入れが検知できるだけであり今回の手法によって毒が入ると名前解決ができなくなるというDoSとしては成立

[yamadar]

DNSの仕組みは美しいと思うけど、これは凄い脆弱性だなー。。。

[hyuki]

うーん。

[moomindani]

これはやばい。

[leosatoo]

みなさまご注意を＞強烈なDNSキャッシュポイズニング手法が公開される　From geekpage.jp:

[munegon]

これから全世界でやばいレベルの脆弱性探し大会が始まりそうな予感

[underd]

なるほど