DNSポイズニングがなかなか対応されない理由。FreeBSDいちゃらぶ日記スマートフォン用の表示で見るFreeBSDいちゃらぶ日記この広告は、90日以上更新していないブログに表示しています。DNSポイズニングがなかなか対応されない理由。ネット先日IIJの一日インターンに行ってきました。NDAがあるので、事細かに書くことは出来ないのですが、教育的なプログラムが組まれていて非常に面白かったです。そこで、色々お話しして、その中でDNSポイズニングがなかなか対応されない理由、当たり前の理由が聞けたので、「DNSポイズニングって何がヤヴァイのか良くわかんね」って人に向けた簡単な解説とあわせて書きたいと思います。「googleに繋いだはずが全く別サイトに繋がっちゃう!」って話です。本当に繋ぎたいサイトと違うサイトに繋いじゃう事が出来るので、例えば実在するショッピングサイトそっくりの偽サイト作って、ショッピングさせて。クレジットカードの番号ゲットしちゃったり、住所ゲットしちゃったり。夢が広がる怖い事が出来ちゃいます。したセキュリティ対策していれば大丈夫なのですが......結構な数のサイトさんが、酷いセキュリティのまま運用されてたりしますので、不可能じゃないのです!詳しく知りたい人は「オレオレ証明書」とかで検索してみよう!DNSの簡単な説明。ドメイン名(たとえば2ch.netとかgoogle.comとか)をip(コンピュータの住所みたいなもん)に変換してくれるDNSさんがおいでやす。このDNSさん、自分が「直接」知らないドメイン名だったら、他のDNSさんに聞きに行く。ほかのDNSさんも、知らなかったら聞きに行く。最初に一番お偉いさんに聞いて、そして階層的に一つ下のレベルの人に聞きに行く。それでも分からなかったら、その一つ下のレベルの人に......それの繰り返し。一度聞いた分については覚えて(キャッシュして)おく。こんな感じかな!そして、DNSは殆どの場合、各プロバイダが提供しています。ルータの設定に「DNSのアドレス」とかいう欄があると思うよ!んで、どうやって汚染するの?他のサーバに聞きに行くときに、ポートと呼ばれる窓口を通して聞きに行きます。このポートってのは65535個あるんだけど、ランダムに聞きに行くのが理想。それと、一回聞きに行くごとに違うID(0-65535)を付けて送っています。これらの番号がもし予想しやすかったら?固定されていたら?そこに目がけて嘘のデータを投げ込んでしまえば、嘘の住所をDNSが覚えちゃう。googleに繋ぎたい人を全く別のサイトに接続させたりすることが出来ちゃう!ポート番号とクエリidがそれぞれ一致しないと、この汚染攻撃は成功しないんだけど、どっちかが予測可能であったら65535通り試す程度で済んじゃうよね。今回の問題としては、そのポート番号のランダム性が足りなかったり、決め打ち(53番)だったりする事です。ヤバイ、ヤバイね!そして、問題点は?DNSってのは、「2ch.netは。206.223.154.230か。DNSさんが言っているんだから間違っていないはず!」って信用されていています。暗号化通信のSSLも、このDNSを基本にして動いています全ての基本になっているのです。接続先のサイトが信用出来なくなってしまうのです。自分が繋いでいるサイトは本当にgoogleなの?いつものショッピングサイトなの?クレジットカードの番号入れてもいいの?そして、それを確実に確認する方法は、ありません。信用出来るDNSでなければ、です。SSLによって暗号化されており(アドレスがhttp://〜でなく、https://で始まっているページ)、尚且つエラーが出なかった場合は大丈夫です。BBは対応されているそうです。確認したい人は、こちらで確認できます。POORって出たら、残念なDNSを使っているプロバイダって事です。そんで、何で対応しないプロバイダがあんのさ。「そんなヤバイのに、何でなかなか対応しない所があるのさ。」って思う人が殆どだと思います。今回それを尋ねてみました。何で対応しないプロバイダが多いのか、と。頂いた返答としては面倒。パフォーマンス(性能)が落ちる。DNSのプログラムを新しいのに入れ替えるのもプロバイダとかのレベルになると大掛かり。53番とか決め打ちしちゃってる方が勿論簡単で、機器の負荷が少ない。後は、地方プロバイダとかの小さい所になると、技術者一人が担当する範囲が広くて、それぞれの部分について知識がそんなに無い=よく分からないから、デフォルトの設定(53番決め打ち)で使っている、とかいう理由もあったりするみたいで。「良くわかんないけど、ウィルス対策ソフトってパソコンが重たくなるから切っちゃった。ウィルス感染なんて、滅多にしないよね!」的な事ですかね。あとがきって、これ書いている実家のプロバイダ「おりべネットワーク」のケーブルテレビインターネットのDNSはワロス状態。ポート番号が連続していて一直線。後で問い合わせてみようかなぁ。0:30"SSL証明書がオレオレでなく、警告が出ていないのならば本物のサーバ(アドレスバーに表示されたURLのドメインの本物サーバ)である。