DNSにまつわるセキュリティのあれこれ - IIJ Technical WEEK 2016
© 2016 Internet Initiative Japan Inc. 1 株式会社 インターネットイニシアティブ 島村 充 <simamura@iij.ad.jp> DNSにまつわるセキュリティのあれこれ © 2016 Internet Initiative Japan Inc. 2 自己紹介 •島村 充 (しまむら みつる) •2006年IIJ入社 •入社以来、普段はメールサービスの設計・ 開発・構築・運用業務に従事 •2010年頃から回線サービス向け参照用 DNSサーバの設計・開発・構築・運用業務 •2015年からDNSアウトソースサービス(権 威DNSサービス)の運用業務 © 2016 Internet Initiative Japan Inc. 3 過去の発表 • キャッシュDNSサーバとフィルタリングの実例 (Internet Week 2011) • 法人向けメールサービ
どうして俺の回線が何百ギガもアップロードしてるの？と思った時に読む話 - 朝日ネット 技術者ブログ
はじめまして、朝日ネットでISPのインフラ保守を行っているa-fujisakiと申します。セキュリティ担当の一人としてお客様の所有されている機器がインターネット越しに悪用される事を防ぐ仕事をしています。 本記事では、インターネットが遅い、調べてみるとネットに接続した機器がアップロードを何百ギガと繰り返している、一旦電源を落として再接続すると復旧するがすぐ元に戻る、といった症状が発生している場合の理由と対策について解説します。 各種の症状について頻度を★マークで示しております。 時刻同期（NTP）サービスの公開による踏み台被害 DNSサービスの外部公開による踏み台被害 LDAPサービスの外部公開による踏み台被害 UPnPサービスの外部公開による踏み台被害 このような被害にあわないために 採用情報 時刻同期（NTP）サービスの公開による踏み台被害 NTP monlistの脆弱性を悪用したリフレ
インターノット崩壊論者の独り言 - 木で鼻をくくっていない藤原さん - Measures against cache poisoning attacks using IP fragmentation in DNS
最近の日記 2019-02-18 1. Measures against cache poisoning attacks using IP fragmentation in DNS 2019-02-07 1. 第一フラグメント便乗攻撃についてJPRSに質問してみた 2019-01-17 1. DNS 温泉 番外編 (第一フラグメント便乗攻撃の理解のために) 2019-01-16 1. 浸透とやらを待っている人は何を待っているのか? 2018-11-04 1. Unbound を安全にしよう 2018-10-31 1. これを NSEC/NSEC3 Replacement Attack と呼ぶのはどうだろう? 2018-08-27 1. DNS 温泉 5 無事終了 2018-04-08 1. 8.8.8.8 に加え 1.1.1.1 を用いたアクセスも拒否させて頂きます。 2017-12-13
脱bind〜改めて考えるDNSセキュリティ2018 - Qiita
はじめに 脆弱性が後を絶たないBINDを踏まえて、DNSセキュリティについて学習するにあたり、NSDとUnboundに興味を持ったのでまとめました。NSDやUnboundは両方とも最新の技術という訳ではないですが、BINDから他のDNSソフトウェアに変更する場合は最適なDNSソフトウェアだと思います。 BIND9の脆弱性について 今年も既に1件の脆弱性が見つかりましたが、BINDの脆弱性は本記事執筆時点で、1999年～2017年で96件、その内DOS攻撃に係るのは66件になり全体の約70%近くになります。 参考 2017年に発見された脆弱性（合計：3件） CVE ID CVSS 基本値 概要 影響
DNSインフラの改ざん多発 米国土安全保障省、全省庁に緊急対策命令
米連邦機関の複数の省庁でDNSインフラ改ざんの被害が確認され、CISAが全省庁に対して緊急対策を指示した。 米連邦政府機関でWebサイトのドメインのDNSインフラが改ざんされる被害が多発しているとして、米国土安全保障省のサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は1月22日、全省庁に緊急対策を指示した。 緊急指示書によると、DNSインフラ改ざんの被害は米連邦機関の複数の省庁で確認された。DNSインフラが改ざんされれば、Webやメールなどのトラフィックをリダイレクトされたり、傍受されたりする恐れがあり、そうした被害に気付かない可能性もある。 攻撃者はまずDNSレコードを変更できるアカウントのユーザー認証情報を不正に入手し、アドレスやメールサーバー名、ネームサーバ名といったDNS情報を改ざん。正規のアドレスやサービスを、攻撃者がコントロールするアドレスに書き換えていた
DNSSEC はなぜダメなのか
DNS に依存している 腐り沈みゆく船 (DNS) の上に継ぎ足しで新しい船を築くのは愚か DNSSEC は難しすぎる 強度の弱い暗号を用いているため、鍵を定期的に更新しなければいけない (そして失敗) 鍵を証明する情報を定期的に上位組織 (委任元) に預けて署名し直してもらわなくてはいけない (そして失敗) ルートの鍵を証明する情報を定期(?)的に世界の検証サーバたちに配布し直さなくてはいけない (歴史上始めての更新が今年行われつつあり障害発生が危惧されている) 運用事業者の移管の際に事業者間で安全に鍵を受け渡すことが困難 運用事業者の移管の際に一旦署名を外すのは安全性と可用性を下げる DNSSEC 署名対応事業者から非対応事業者への移管で事故も起きている (移管元も移管先も委任元に預けた鍵情報を消さなかったのが原因 / 一部の有志たちが作成したガイドラインがあって移管先が消すことになっ
Internet
インターネット崩壊について考えるためのページ インターネットの理想は90年代半ばに崩壊した。現在のインターネットは共同幻想である。 その幻想としてのインターネット（もはやインターノットと呼ぼう）も化けの皮が剥がれて崩壊する日は近い。 心配すべきはインターノットではなく、インターノットに依存した社会である。 T.Suzuki関係 毒入れ関連 DNSSEC はなぜダメなのか Forged Delegation Injection into Empty Non-Terminal with NSEC3 DNS 毒入れの真実(Oct 24, 2015 @DNS温泉補講) Blog: 開いたパンドラの箱: 長年放置されてきた DNS の恐るべき欠陥が明らかに 解説: キャッシュポイズニングの開いたパンドラの箱 -1- 解説: キャッシュポイズニングの開いたパンドラの箱 -2- 頂上は如何に攻略されたか
Google Public DNS over HTTPS を試す | IIJ Engineers Blog
【2018/11/16 追記】 本記事は、2016 年 4 月に Google Public DNS サーバに実装された、実験的な DNS over HTTPS プロトコルについて紹介しています。DNS over HTTPS プロトコルはその後 IETF の doh ワーキンググループにて標準化が進められ、2年半後の 2018 年 10 月に RFC8484 として出版されました。本記事で紹介したプロトコルは RFC8484 に規定されたプロトコルとはいくつもの点で異なっていることにご注意ください。 Google Inc. が公開 DNS サーバを運営していることはご存知でしょうか? Google Public DNS と呼ばれるこの公開 DNS サーバは、”8.8.8.8″ という特徴的な IP アドレスで全世界のインターネットユーザに対して無料の DNS サーバ(フルレゾルバ)を提供し
間違いから学ぶSPFレコードの正しい書き方 : 迷惑メール対策委員会
岡山大学 山井成良 2011年4月 1. はじめに 2. 典型的な誤りと正しい書き方 2.1 SPFレコードが複数行存在する 2.2 機構（メカニズム）の記述に誤りがある 2.3 参照方法に誤りがある 2.4 必要な空白文字がない 2.5 その他の間違い 3. チェック方法 1. はじめに 迷惑メールは、現在のところ、送信元アドレスが詐称された状態で送られるものが大多数を占めます。これにより、迷惑メールの送信源追跡を困難にしたり、フィッシング詐欺に利用されたりします。そこで、送信元アドレスの詐称を防止する送信ドメイン認証技術が開発されました。 現在までに実用化されている送信ドメイン認証技術はいくつか存在しますが、そのうち最も普及しているものがSPF（Sender Policy Framework）です。平成22年6月時点におけるjpドメインでの普及率はドメイン数ベースで約40パーセントであ
「ghost domain names（幽霊ドメイン名）」脆弱性について
--------------------------------------------------------------------- ■「ghost domain names（幽霊ドメイン名）」脆弱性について 株式会社日本レジストリサービス（JPRS） 初版作成 2012/02/17（Fri） 最終更新 2012/04/05（Thu） （BIND 9における対応状況、解決策を追加） --------------------------------------------------------------------- ▼本文書について 2012年2月8日（米国時間）に開催された研究発表会「NDSS Symposium 2012」 において、清華大学のHaixin Duan（段海新）氏らのグループが「Ghost Domain Names: Revoked Yet Still Reso
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
TechCrunch
【Internet Week 2014】“未熟なDNS”をDDoSで拷問、「DNS水責め攻撃」が原因らしき実害が日本でも 