ユーザの近くにある偽DNSサーバの話:Geekなぺーじ

RIPE 75で、DNSへの問い合わせ内容によって、DNSパケットが通過するネットワークが変わってしまうという怪しい挙動の報告がありました。 Babak Farrokhi - A Curious Case of Broken DNS Responses 発表資料(PDF) この発表では、DNSのパケットが途中ネットワークで解析され、そのDNSパケットに含まれる内容に応じて、すぐ近くにある偽のDNS応答が返ってくることがあるというものでした。 DNSパケットを解析するDPI(Deep Packet Inspection)装置＋偽DNS応答機能といった感じでしょうか。 発表者は、偽DNS応答がどこにあるのかを調べるために、DNSの問い合わせを用いたUDPによるtracerouteを実装しています。 偽DNS応答は、特定の名前に対するDNS queryに対してのみ発動するようなので、通常のtra

[uunfo]

で、どういうことなの？

[tsekine]

ホップ数から考えて、ISP内のプライベートDNSがIP偽装して返答してる可能性が高そう。リンク先は読んでない

[prozorec]

「de-cix.fra.google.comは、DE-CIXのフランクフルト拠点でGoogleが運用しているルータであると思われる」ならgoogleがtwitterに対してのDNSの問い合わせをショートカットしているのじゃないのか?

[moccos_info]

8.8.8.8等への問い合わせが勝手にISP内で「最適化」されている可能性かな。怪しい高速化記事に従って8.8.8.8に設定した人も、実は普通にISPの鯖に応答されてることがあるかもね

[tmatsuu]

カウントフリーを謳う日本のMVNO事業者でも同様の結果が得られる可能性あるね。他人事じゃない。

[komz]

ユーザの近くにある偽DNSサーバの話

[itochan]

185.100.209.117 は、 United Arab Emirates (AE) とのこと。国の監視？（これは同じ？ http://www.geekpage.jp/blog/?id=2014/3/31/1 ）

[mas-higa]

なるほど、わからん。

[naga_sawa]

同じ8.8.8.8 使っているのに twitter.com が対象の場合に妙に応答が早い→おかしいんじゃね？/と調べたらどうも特定のDNS問い合わせだけが途中でhookされて別の8.8.8.8に転送されてる臭い/という理解でよろしい？

[Cujo]

botネットワークに組み込まれてたような脆弱性保有マシンに仕込まれると厄介そうですね。。。。。。。。

[fan-tail]

ソースアドレス偽装して返してる？ISP内のフルリゾルバのキャッシュ次第で、とか…？/ネットワークむずかしいorz

[rgfx]

「偽DNS応答がどこにあるのかを調べるために、DNSの問い合わせを用いたUDPによるtracerouteを実装」

[slash_01]

怖い

[IGA-OS]

代理応答してる？

[beerbeerkun]

これだけだと途中経路が変わるだけでクエリ応答返してるのは結局8.8.8.8じゃないの？「偽の応答」と言ってるのがよく分からんな。/8.8.8.8を偽装してる何者かがAS内にいるってことかな

[todesking]

こわい話

[himakao]

多分Googleが何か悪い事してるんだと思うよ

[karkwind]

こわ

[iwanofsky]

うーむ

[honeybe]

(ネットワーク弱すぎてよくわからなかったので後で考える)

[junjun777]

これすごいよ！悪用し放題な話だよ。全ての通信はover sslにして、ssl証明書の検証は確実に行いましょう、とうい話。当然変なルート証明書は入れてはダメ。

[quabbin]

AS外に抜けてない。とな。大分怖い話…。

[halfrack]

“最後の質疑応答では、Google Public DNSではないDNSサーバに対する問い合わせに関しても、同様の挙動を示したとあります。 ”