「DNSに対する最悪の攻撃」 迅速なパッチ適用を推奨 ATHENEによると、KeyTrapを悪用した場合、単一のDNSパケットが結果的にCPUの使い果たしを誘導し、「Google Public DNS」やCloudflareのDNSなど広く使われているDNS実装やパブリックDNSプロバイダーを全て停止させることが可能だ。発表によると「BIND 9」を16時間ダウンさせたとされている。なお、この欠陥は「CVE-2023-50387」として特定されている。 この攻撃はインターネットの基本的な機能に深刻な影響を与え、世界中のWebクライアントの大部分が利用不能になる可能性がある。主要なDNSベンダーはこの攻撃を「これまでに発見されたDNSに対する最悪の攻撃」と呼んでおり、状況の重大さが指摘されている。 KeyTrapを悪用するサイバー攻撃者は、DNSSECを検証するDNSリゾルバを利用する全ての
[速報] Amazon Route 53 が DNSSEC に対応しました！ #reinvent | DevelopersIO
AWS re:Invent 2020 年内期間最終日の今日、すばらしいニュースが飛び込んできました。 ついに、Amazon Route 53がDNSSECに対応しました！ You can now enable DNSSEC signing for all existing and new public hosted zones, and enable DNSSEC validation for Amazon Route 53 Resolver. ということで、Route 53にホストしているゾーンに対してDNSSEC署名することも、Route 53リゾルバでDNSSEC署名を検証することも、両方向で対応したとのこと！ ドメイン情報を払い出す Route 53 レジストラは既にDNSSEC対応していましたから、これで実質死角ナシになりましたね！ DNSSECとは すごくざっくりいうと、DNS
![[速報] Amazon Route 53 が DNSSEC に対応しました！ #reinvent | DevelopersIO](https://cdn-ak-scissors.b.st-hatena.com/image/square/1691f45c9a149fa23ecf71949f6c6eff39c1915c/height=288;version=1;width=512/https%3A%2F%2Fdevio2023-media.developers.io%2Fwp-content%2Fuploads%2F2020%2F11%2Feyecatch_reinvent-2020-breakingnews-sokuho.jpg)
やってみようDNSSEC (自分で頑張りたい方へ)：IIJ DNSプラットフォームサービスのスゴいところ(第5回) | IIJ Engineers Blog
やってみようDNSSEC (自分で頑張りたい方へ)：IIJ DNSプラットフォームサービスのスゴいところ(第5回) 2020年04月23日 木曜日 はじめに IIJ DNSプラットフォームサービスのスゴいところを紹介する最終回です。そのはずです。でも、サービスの話はまったくしません。サービスを使ってくれなくてもいいから真似できるところがあれば真似してね、という趣旨にのっとり、最後は自前で楽ちんにDNSSECを運用するためのHowtoです。 バックナンバーはいちおうこちらにありますけど、そういうわけでほとんど関連しないので読まなくてもいいです。 自前でDNSSEC DNSSECなんてやりたくないと思う人が多いかもしれません。作業手順が煩雑で、作業に使うコマンドに引数をたくさん付与する必要があり、しかもその引数はしょっちゅう変わります。非常に難易度の高い運用であり、しかもミスするとそのドメイン
Today, Amazon Web Services announced the launch of Domain Name System Security Extensions (DNSSEC) for Amazon Route 53. You can now enable DNSSEC signing for all existing and new public hosted zones, and enable DNSSEC validation for Amazon Route 53 Resolver. Amazon Route 53 DNSSEC provides data origin authentication and data integrity verification for DNS and can help customers meet compliance man
署名の検証に使う鍵を見てみよう では、この署名の検証に使うための公開鍵を探しましょう。署名者名は iij.ad.jp なので、iij.ad.jpのDNSKEYレコードを引いてみます。 $ dig iij.ad.jp dnskey ... ;; ANSWER SECTION: iij.ad.jp. 1488 IN DNSKEY 256 3 8 AwEAAbdSiZ0RxmtsZUbE1v5kJWi3tXYBQYmZZmYVyw5QgSI7zSoOIcdW 2NoSX+rarklHdnBZKHgBE/lylRxxEi5pGQaJFLVEMBbUo5leb9nmikWG +GxWJL6dZic5LIt3hyAZ0r9jNJN/apzbQh16X41X8gE4lMymlMDXRf6W SbfKReW9 iij.ad.jp. 1488 IN DNSKEY 257 3 8 AwEAAfByl5y3fB
Test for modern Internet Standards like IPv6, DNSSEC, HTTPS, DMARC, STARTTLS and DANE.
Home Modern Internet Standards provide for more reliability and further growth of the Internet. Are you using them?
--------------------------------------------------------------------- ■BIND 9.xの脆弱性（mirror zones機能におけるDNSSEC検証のバイパス） について（CVE-2019-6475） - mirror zones機能を設定している場合のみ対象、バージョンアップを推奨 - 株式会社日本レジストリサービス（JPRS） 初版作成 2019/10/17（Thu） --------------------------------------------------------------------- ▼概要 BIND 9.xにおける実装上の不具合により、namedに対する外部からの攻撃が 可能となる脆弱性が、開発元のISCから発表されました。本脆弱性により、 namedにおいてmirror zones機能を設
Signs of Triviality Opinions, mostly my own, on the importance of being and other things. [homepage] [index] [jschauma@netmeister.org] [@jschauma] [RSS] October 10th, 2019 There's been a lot of talk about DNS-over-HTTPS aka DoH lately, primarily due to Mozilla's and Google's respective plans to move forward with enabling it in their browsers. There's also a lot of misunderstanding and conflation o
Configuring DNSSEC signing and validation with Amazon Route 53 | Amazon Web Services
Networking & Content Delivery Configuring DNSSEC signing and validation with Amazon Route 53 AWS now supports DNS Security Extensions (DNSSEC) signing on public zones for Amazon Route 53 and validation for Amazon Route 53 Resolver. DNSSEC is a specification that provides data integrity assurance for DNS and helps customers meet compliance mandates (for example, FedRAMP and security standards such
重要なポイント ○COの役割～平常時のHSM（KSK）の有効化～ HSMを有効化するスマートカードが保管された金庫の鍵を預かる スマートカード自身は預からない 第三者であるCOがHSMに直接触る（近づく）ことを避け、第三者がHSMを物理的に壊すリスクを回避できる ○RKSHの役割～緊急時のHSM（KSK）の復旧～ KSKの暗号化バックアップを作る際にHSM内部で使われた（HSM独自の）鍵の一部を預かる KSKそのものを暗号化したもの（の一部）は預からない もしRKSHだけが全員集合しても、KSKは複製できない ○直接の関係者はCO及びRKSHには就任できない 直接の関係者：ICANN、VeriSign、米国商務省（DoC） 不法な業務命令などによる圧力を回避 ○HSMの稼動を止めないことが重要 HSMはICANNの東西の拠点に2台ずつ、計4台稼動する 拠点内及び拠点間の双方において、それぞ
Google は、Squarespace, Inc. が Google Domains の保有するすべてのドメイン名登録を獲得することに合意し、契約を締結しました。Squarespace がお客様のドメインのレコード登録事業者となり、Squarespace の利用規約が適用されます。なお、移行期間中は Google がお客様のドメインを管理します。お客様のドメインは移行期間後に Squarespace に引き継がれ、移管が完了した時点で、お客様のデータには Squarespace のプライバシー ポリシーが適用されます。契約の詳細 ドメイン ネーム システム（DNS）は、人間が読み取れるドメイン名（google.com など）を、機械で読み取り可能なウェブサイトの IP アドレス（172.217.3.206 など）に変換します。キャッシュ ポイズニング攻撃や DNS スプーフィングなどのド
自宅のWireGuard VPNエンドポイントとしてよく使ってるDD-WRTルータですが、前から気になっていたUnbound（フルリゾルバ）の有効化にチャレンジしたところハマったので、次にセットアップするときの備忘録的に記録しておきます。 設定項目設定項目はとてもシンプルで、以下の「Setup＞Recursive DNS Resolving (Unbound)」にチェックを入れて「Apply Setting」するだけなのですが… 実はこれは、「Unboundをポート7053で起動し、DNSMasqがDNSクエリを投げる先をlocalhost（127.0.0.1）の7053番ポートに変更する」という設定をすることになるのです。つまり、PCやDD-WRTルータ自身は相変わらず「DD-WRTルータのUDPポート53番」にDNSクエリを送信し、それに対する直接の応答もDNSMasqが行っているので
DNSSECの複雑さと考慮点
DNSSECは、DNSレコードに信頼の仕組みを提供するDNSの拡張機能です。これは、インターネットの核となる要素の1つを大きく変えるものです。この記事では、DNSSECの複雑な仕組みと、それらがもたらすネガティブな作用を軽減するためにCloudflareが行ったことについて紹介します。主な課題は、ゾーンコンテンツの露出、鍵の管理、DNSリフレクション／増幅攻撃に対する影響です。 DNSはゾーンと呼ばれる単位に分割されます。ゾーンは通常、ドメイン名で始まり、サブドメインに関連するすべてのレコードを含んでいます。各ゾーンは1人の管理者によって管理されます。例えば、cloudflare.comは、cloudflare.comとそのサブドメイン（例：www.cloudflare.com, api.cloudflare.com）のすべてのDNSレコードを含むゾーンです。 DNSにはサブドメイン用のデ
Clever Phishing scam targets websites with free DNSSEC offer
A very clever phishing campaign targets bloggers and website owners with emails pretending to be from their hosting provider who wants to upgrade their domain to use secure DNS (DNSSEC). As it's possible to determine who is hosting a domain for a website via the WHOIS records, IP addresses, and HTTP headers, the email scam is highly targeted and impersonates the specific hosting company used by a
DNSSECルート署名セレモニー
ルートDNSゾーンには、トップレベルドメイン（TLD）のネームサーバー（.com、.edu、.org、など）に問い合わせる方法に関する情報が含まれています。これにより、インターネットユーザーが.softwareや.bankのような真新しいものも含め、すべてのTLDのドメイン名にアクセスすることができ、グローバル・インターネットに不可欠な存在となっています。 DNSSECの仕組みで、DNSSECにおける信頼が親ゾーンのDSリソースレコードに由来することを説明しました。しかし、ルートDNSゾーンには親がいないため、その情報の完全性と信頼性をどのように信頼すればよいのでしょうか？ 写真提供：IANA ルート署名セレモニーは、ルートDNSゾーンの公開鍵情報に今後数か月間有効な署名を行うという厳格な手続きであり、その目的はここにあります。このプロセスで使用される秘密署名鍵は、文字通りDNSSECで保
Open the terminal application on your Linux/Unix/macOS desktop Instead of dig, use the delv command. For example, see cyberciti.biz dnssec validation. Run: delv cyberciti.biz and make sure you see the RRSIG and ; fully validated outputs. Use dig to verify DNSSEC record, run: dig YOUR-DOMAIN-NAME +dnssec +short Grab the public key used to verify the DNS record, execute: dig DNSKEY YOUR-DOMAIN-NAME
わが家のネットワークには、スマートフォン、タブレット、クライアントPC、およびサーバマシンを含めて10台を超える端末が接続されています。 数が多いので、端末へのアクセスにIPアドレスを用いるのはめんどうです。覚えきれません。そこで、マシン名(ホスト名)とIPアドレスの対応づけを管理するために、家庭内ネットワーク専用のDNS (Domain Name System)サーバを、オープンソース・ソフトウェアであるBINDを用いて構築、運用しています。 これまでずっと、おもにホスト名とIPアドレスとの対応づけを管理する「権威DNSサーバ機能」と、主としてインターネット上のサービスにアクセスする際に、ホスト名からIPアドレスを解決するための「キャッシュDNSサーバ機能」を、単一のBINDサーバに同居させてきました。 しかしながら、権威DNSサーバとキャッシュDNSサーバの機能をひとつのサーバで兼ねる
本日、アマゾン ウェブ サービスは、Amazon Route 53 向けドメインネームシステムセキュリティ拡張機能 (DNSSEC) の開始を発表しました。これで、既存および新規のすべてのパブリックホストゾーンで DNSSEC 署名を、さらに Amazon Route 53 Resolver で DNSSEC 検証を有効にできるようになります。Amazon Route 53 DNSSEC は DNS のデータ発信元認証とデータ整合性検証を行うもので、FedRAMP などのコンプライアンス要件を満たすのに役立ちます。 ホストゾーンで DNSSEC 署名を有効にすると、Route 53 はそのホストゾーンの各レコードに暗号で署名します。Route 53 はゾーン署名キーを管理します。また、AWS Key Management Service (AWS KMS) でキー署名キーを管理できます。A
DNSSECの仕組み
A Gentle Introduction to DNSSEC DNSSEC creates a secure domain name system by adding cryptographic signatures to existing DNS records. These digital signatures are stored in DNS name servers alongside common record types like A, AAAA, MX, CNAME, etc. By checking its associated signature, you can verify that a requested DNS record comes from its authoritative name server and wasn’t altered en-route
こんにちは、なおにしです。 Route 53はDNSSEC(Domain Name System Security Extensions)に対応しています。 DNSSECを使用することで、フルリゾルバ(DNSキャッシュサーバ)と各ゾーンの権威サーバ間における名前解決のデータのやり取りでデータの偽装を検知することができるようになるため、DNSキャッシュポイズニングなどの攻撃に対して備えることができます。 つまりRoute 53でDNSSECに対応するということは、以下の図の④の通信においてDNSSECが有効な名前解決が可能ということです。 今回はDNSSECが無効状態だった既存ドメイン(Route 53でドメインを取得・管理)に対して、DNSSECを有効化してみました。 DNSSEC有効化前 DNSゾーンの状態を可視化するオンラインツール「DNSViz」を使って可視化してみます。今回は対象ド
Yasuhiro Morishita on Twitter: "・slack\.comの中の人が自ゾーンのDNSSECを有効にした（ゾーン署名、親にDS登録）、 ・しかし、slack\.comの中の人は、なぜかすぐにDNSSECを無効にした ・無効にする際、親（com）に登録したDSのキャッシ… https://t.co/HUhmIi9zvs"
・slack\.comの中の人が自ゾーンのDNSSECを有効にした（ゾーン署名、親にDS登録）、 ・しかし、slack\.comの中の人は、なぜかすぐにDNSSECを無効にした ・無効にする際、親（com）に登録したDSのキャッシ… https://t.co/HUhmIi9zvs
DNSSECスタートアップガイド - JPNIC
逆引きDNSSECのスタートアップガイド BIND9を用いて逆引きDNSSECを始める方法をご紹介します。 設定ファイルおよびゾーンファイル Linuxのnamed.confのデフォルトの設置場所は以下の通りです。 なおディストリビューションのバージョンによって場所が異なる可能性があります。 Debian/Ubuntu /etc/bind/named.conf Fedora/CentOS /etc/named.conf ゾーンファイルのデフォルトの設置場所は以下の通りです。 Debian/Ubuntu /var/cache/bind/ Fedora/CentOS /var/named/ このガイドではUbuntu16.04を例に説明します。 なお、以下のコマンドや設定は一例であり、 実環境にはそぐわない場合があります。 設定の変更 named.conf の "options" ディレクティ
DNSSEC 構成の管理 | Google Cloud
デジタル トランスフォーメーションを加速 お客様がデジタル トランスフォーメーションに乗り出したばかりでも、あるいはすでに進めている場合でも、Google Cloud は困難な課題の解決を支援します。
簡単な説明 ドメインの DNSSEC 署名を有効にするには、まず DNSSEC 署名を行い、キー署名キー (KSK) を作成する必要があります。次に、委任署名者 (DS) レコードを Route 53 の親ホストゾーンに登録して、信頼チェーンを確立します。 **重要:**トップレベルドメイン (TLD) については、「Amazon Route 53 でドメインの DNSSEC を有効にして DS レコードを登録する方法を教えてください」を参照してください。 解決策 **注:**AWS コマンドラインインターフェイス (AWS CLI) コマンドの実行中にエラーが発生した場合は、最新の AWS CLI バージョンを使用しているかどうかを確認してください。 1. 手順に従って DNSSEC 署名を有効にし、KSK を作成します。 2. 親ホストゾーンが [SIGNING] ステータ
$ dig a www.ttanimichi.com @8.8.8.8 ; <<>> DiG 9.18.18-0ubuntu0.23.04.1-Ubuntu <<>> a www.ttanimichi.com @8.8.8.8 ;; global options: +cmd ;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: SERVFAIL, id: 64621 ;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 1 ;; OPT PSEUDOSECTION: ; EDNS: version: 0, flags:; udp: 512 ; EDE: 10 (RRSIGs Missing): (For www.ttanimichi.com/cname) ;
DNSCheck[.SE] Test your DNS-server and find errors DNSSEC Debugger[VeriSign Labs] DNSSEC Validator[nic.cz] FireFox add-on DNSViz[Sandia National Laboratories] A DNS visualization tool OpenDNSSEC DNSSEC ジャパン 運用技術 WG 1. はじめに 1.1. 本文書について DNSSECの運用では、特に権威DNSサーバにおいては通常の運用よりはるかに複雑なシステムや運用手順が必要とされる。鍵の更新ミスやゾーン署名有効期限切れなどで、ゾーンデータの整合性が失われると署名の検証に失敗することになる。ルートやTLDレベルでのDNSSEC運用が始まってから1年以上が経過するが、複数のTLD等で署名検証が失
この文書はRFC8624の日本語訳です。 この文書の翻訳内容の正確さは保障できないため、 正確な知識を求める方は原文を参照してください。 翻訳者はこの文書によって読者が被り得る如何なる損害の責任をも負いません。 この翻訳内容に誤りがある場合、訂正版の公開や、 誤りの指摘は適切です。 この文書の配布は元のＲＦＣ同様に無制限です。 Internet Engineering Task Force (IETF) P. Wouters Request for Comments: 8624 Red Hat Obsoletes: 6944 O. Sury Category: Standards Track Internet Systems Consortium ISSN: 2070-1721 June 2019 Algorithm Implementation Requirements and Usag
DNSフルリゾルバの実装への DNSSEC の組み込み – DNSSEC と反復検索 | IIJ Engineers Blog
技術研究所技術開発室で DNS 関連の開発を行なっています。最近、とくに重点的に取り組んでいるのは DNSフルリゾルバおよび DNSSEC の研究開発実装です。 研究開発中のフルリゾルバ実装の実用性を向上する目的で、 DNSSEC検証機能を実装しました。 反復検索と DNSSEC の関係について説明した後に実装について紹介します。 ゾーンの階層とフルリゾルバの反復検索 DNSでは、ドメイン名全体が成す木構造を分散して管理します。 上位から下位へと部分木の管理を委任することで、管理を分割します。 この管理単位をゾーン（zone）と呼びます（図： ゾーンの階層）。 ゾーンは上位から下位へ、委任情報によって紐付けられます。 委任情報は、委任先のゾーンの権威サーバの情報1を提供します。 名前解決を必要とするクライアントアプリケーションの要求を直接処理するのがDNSフルリゾルバの役割です。 フルリゾ
DNSSECってよく聞くのだが、結局じぶんで環境を作ってみないとわかんねぇ。 ということで作ってみました。 DNSSECとは DNSSECはDNSサーバから送られてくる名前解決（IPアドレスやホスト名）の情報の信頼性をセキュアにする拡張機能です。 DNSサーバとクライアント間で証明書を使うことにより、正当な回答をし、DNS応答の偽造、改ざんを防ぐことができます。 権威（root）サーバの設定 まずは、ゾーンの署名に使う鍵を作ります。 鍵は2種類あります。 KSK(Key SigningKey) ゾーン署名鍵ZSKに署名する鍵 ZSK(Zone Signing Key) ゾーンに署名するゾーン署名鍵 署名鍵をつくりには「dnssec-keygen」コマンドを使います。 今回は以下でオプションを使って作成しました。 -f →keyflag KSKを指定 -a →アルゴリズム RSASHA256
ハンズオン DNSSEC基礎 - JPNIC
講師 JPNIC 技術部 小山 祐司 概要 DNSはインターネットにおいて重要なシステムの一つであるため、 その信頼性を確保することは重要です。 近年になりセキュリティの向上をめざし、 DNSSECによるルートゾーンや TLDでの鍵署名、 サーバの実装も進んできておりエンドユーザーが鍵署名を行うことも可能になってきました。 本講座では、DNSSECについてその概念や設定方法などについて解説するとともに、 実際にネームサーバの構築を行いながら、DNSSEC署名や検証方法など、 DNSSECを利用するにあたって必要な事項について紹介します。 対象 DNSサーバの運用経験がある方 DNSSECに興味のある方 前提 DNSに関する基礎的な事項やBIND9の設定に関する基礎知識 digやviなどといったコマンドラインツールの業務における利用経験 ※なお、DNSSECに関する基礎知識について不安のある
内容 DNSSECのレコード検証、公開鍵検証の仕組みとRoute53での運用方法について記載します。手順通りにやれば導入は簡単に出来るものの、導入時のDSレコードの登録、運用時のキーローテションなど仕組みを理解しないと何をやっているか分からない箇所もあると思うので図解化しました。 DNSSECの仕組み（レコード検証の仕組み） 上記図はPC（クライアント）からwww.example.comというレコードをキャッシュDNSサーバに問い合わせ。キャッシュDNSサーバから権威DNSサーバにレコードを問い合わせて得られたレコードをPC（クライアント）に返す流れの図です。 ①レコードに電子署名 AレコードA=1.1.1.1に電子署名を追加して返すのがDNSSECです。下記を権威DNSサーバ側で実施します。まず、公開鍵DNSSECKEY、秘密鍵ZSKのキーペアを作成します。次にハッシュ関数を使用してAレ
DNSSECとは? | SpeedData
インターネットの安全性を次のレベルへ 2023年10月23日 翻訳: 竹洞 陽一郎 この記事は米Catchpoint Systems社のブログ記事「What is DNSSEC? 」の翻訳です。 Spelldataは、Catchpointの日本代理店です。 この記事は、Catchpoint Systemsの許可を得て、翻訳しています。 DNS（ドメインネームシステム）はインターネットの基本的な構成要素であり、その役割はドメイン名を対応するインターネットプロトコルアドレス（IPv4およびIPv6）に位置づけて変換することです。 業界では時間とともに変化と適応が行われ、より多くのトップレベルドメイン、レジストリ、およびレジストラーが存在するようになりました。 人類は「ドットコムバブル」を経験し、インターネットはますます多くの人々によって採用されました。 これらすべての出来事にもかかわらず、ドメ
DNSSEC関連RFC DNSSECに関わるRFCの一覧です。 原文[テキスト]へのリンク、こちらで見つけた和訳[テキスト]へのリンク、プロトコル理解SWGでのRFC読み合わせに使用した解説[PDF]へのリンクとページ数を載せています。 解説につきましては免責事項ページをご参照の上、ご利用ください。 番号 タイトル 原文 和訳 解説
デジタル トランスフォーメーションを加速 お客様がデジタル トランスフォーメーションに乗り出したばかりでも、あるいはすでに進めている場合でも、Google Cloud は困難な課題の解決を支援します。
DNSSEC を実装する - Training
8 分 組織の DNS クエリの応答をインターセプトして改ざんすることは、一般的な攻撃方法です。 悪意のあるハッカーが Contoso の DNS サーバーからの応答を変更したり、偽装された応答を送信してクライアント コンピューターに自分のサーバーを参照させたりできると、Contoso の機密情報にアクセスできるようになります。 最初の接続を DNS に依存するサービス (eコマース Web サーバーやメール サーバーなど) は、すべて脆弱です。 DNSSEC とは DNSSEC により、DNS クエリを行うクライアントは、偽の DNS 応答を受け入れないように保護されます。 デジタル署名されたゾーンをホストしている DNS サーバーは、クエリを受け取ると、要求されたレコードと共にデジタル署名を返します。 リゾルバーまたは別のサーバーは、トラスト アンカーから公開キーと秘密キーのペアの公開
DNSSEC が有効にされている Windows Server 2012 R2 ベースの DNS サーバーからの SERVFAIL のエラー - Microsoft サポート
Windows Server 2012 R2 Datacenter Windows Server 2012 R2 Essentials Windows Server 2012 R2 Foundation Windows Server 2012 R2 Standard その他...表示数を減らす 現象 次のような状況を考えます。 Windows Server 2012 R2 を実行しているドメイン ネーム システム (DNS) サーバーがあります。 ドメイン名システムのセキュリティ拡張機能 (DNSSEC) 機能は、ルート ゾーンに対して有効になります。 A レコードは、委任されたゾーン内のドメインに存在します。 DNS サーバーは、クエリを処理し、ドメインがセキュリティで保護されているかどうかを確認するには、妥当性検査を必要とする A レコードの応答を受信します。 存在 (NSEC3) の
キャッシュサーバを構成する(DNSSEC非対応)DNSSEC非対応のキャッシュサーバを構成します。 上位DNSに、ルータやFWなどDNSプロキシー機能をもつ機器を指定する場合、こちらの構成が多いでしょう。 これらのNW機器のDNS機能は、DNSSECに対応していない可能性が高いからです。 プロバイダのDNSを指定する場合は、DNSSEC対応とすると良いでしょう。 「キャッシュサーバを構成する（DNSSEC対応）」を参照してください。 １．DNSのインストール #yum install bind-chroot bind bind本体とbind-chroot環境をインストールします。 過去のバージョンではbind-chrootだけでbindが動作したものですが。 ここではbinr-chroot 9.9.4が入りました。 ２．IPv6の問い合わせを無効にする。 環境によりますが、もしネットワーク
自宅ルータがフォワーダとして機能しなかったのはdnssec-validationの罠でした - せでぃのブログ
��2330 最新版のnamedに実装されたDNSSECについて - Web Patio - CentOSで自宅サーバー構築 フォワーダの件、forward only;を維持したままで解決できた。解決すると思ってなかったのでビックリだわ。 結論。フォワーダの向け先は自宅ルータの内部アドレス。で、 #named.conf dnssec-enable yes; dnssec-validation no; //←をautoからnoに変えた dnssec-lookaside auto; そう言われてみると、digする度にこんなメッセージ出てたなーと。 Jul 21 21:07:59 centos named[2975]: validating @0xb57024d8: google.com A: bad cache hit (com/DS) dnssec自体をnoにすべきかどうか、よくわからんなぁ
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
「DNSに対する最悪の攻撃」 DNSSEC設計の根幹に関わる脆弱性「KeyTrap」が見つかる
IIJ、DoT/DoHとDNSSECをDNSキャッシュサーバーに導入、セキュリティを強化
Announcing Amazon Route 53 support for DNSSEC
手を動かしてDNSSECの検証をやってみよう | IIJ Engineers Blog
BIND 9.xの脆弱性（mirror zones機能におけるDNSSEC検証のバイパス）について（CVE-2019-6475）
DNS Security: Threat Modeling DNSSEC, DoT, and DoH
DNSSEC 関連情報 ～ルートゾーンにおけるKSKの管理方法～ / JPRS
DNSSEC と DNS のセキュリティを設定する - Google Domains ヘルプ
Putting DNSSEC signers to the test: Knot vs Bind | APNIC Blog
DD-WRT の Unbound 有効化でハマった話（あるいはDNSSECの罠）
How to test and validate DNSSEC using dig command line
UnboundでDNSSEC & DNS over TLS対応のキャッシュDNSサーバを構築する
DNSSEC で Amazon Route 53 のサポートを開始
Route 53で管理しているドメインでDNSSECを有効化してみた | DevelopersIO
Route 53 または別のレジストラに登録されているサブドメインの DNSSEC を設定します
DNSSEC を有効化したままドメイン移管すると名前解決できなくなって詰む
DNSSEC運用失敗事例の研究 総括 « DNSSECジャパン
RFC 8624 DNSSECのアルゴリズム実装要件と使用ガイダンス
DNSSECを設定しセキュアな環境を構築する | インフラエンジニアの技術LOG
DNSSECの基礎とRoute53での運用 - Qiita
RFC « DNSSECジャパン
高度な DNSSEC を使用する | Google Cloud
水銀室 DNSSEC非対応キャッシュDNSサーバ -CentOS最短構築支援-