中間者攻撃のメモを書いていたら、目的は似たようなものだと思ったのでまとめました。poisoning)・・・おや?追記しているうちに、すごく長い文章に。†ポイズニングというくらいだから、相手を毒のステータス異常にする攻撃。毒というか、本来の正しいデータを不正なデータで上書きする攻撃手法です。不正なデータとは、偽の通信相手情報のこと。ユーザは、毒されていることに気付かずに、本来通信したかった相手と偽物を誤認してしまいます。毒を仕掛けた偽物は、本物を装いつつ、ユーザの情報資源を盗もうとします。イメージはオレオレ詐欺的な雰囲気ですかね。周到に仕掛けられた攻撃に対しては、ユーザ側で対策することは難しいです。よって、Webサイトやサーバ、ネットワークの管理者で対策することが必須になります。ユーザとWebサイト間での相互認証と暗号化があります。Webサーバ側の身元証明は重要です(公開鍵基盤もその一例)。認証方式の甘いサイトは利用しない方が良いのだと思います。以下、攻撃方法の説明です。難しい話かもしれません。†Web検索サイトの順位付けアルゴリズムを悪用して、キーワードで検索した結果の上位に悪意のあるサイトを意図的に表示させる。サイトは勿論、本物のサイトそっくりに偽装しておく。オンラインショッピングを楽しんだりしていたつもりが、クレジットカード情報をごっそり抜き取られたりする。攻撃手法は、良く分かりません検索エンジンのアルゴリズムは一般には公開されないでしょうし。SEO対策(検索エンジンの上位にランクインする)の為の本もたくさんあって、SEO対策を請け負う業者も居るくらいだから、メジャーな単語で検索上位になるのは結構難しいんじゃないかな~。怪しいサイトには近づかないことですね。†DNSはドメイン名(null-i.net)とIPアドレス(219.94.~)を紐づける情報ですが、ここに偽物のIPアドレスを上書きすることで、ユーザは本物のURLをクリックしたのに偽物のサイトに誘導されるという手法です。†DNSの問合せは、プロトコルが通常UDP*2なので、TCPと違ってリクエストとレスポンスの関係は「コネクションレス」です。セッションを接続するという概念が無いのです。電話みたいに「繋がっているの」ではなく、手紙みたいに一通一通(送信と返信)がバラバラに届く。手紙って、相手からの返信が本人のものであるか証明する術がないですよね?そこがポイントになります。知ってそうなDNSサーバにDNS要求を出します。「null-i.netって誰ですか?この人のIPアドレスを教えてください」DNSサーバは、DNS応答としてドメイン名に対応するIPアドレスなどの情報を返す。このとき応答には、DNS要求に含まれた「ID(問合せ番号)」も添えて返す。攻撃を受理する確率を下げます。IDの組み合わせは1~65535番まで。攻撃が成立する確率を約6万分の1から、10億分の1まで下げます。確実なのはDNSSECですが(DNS応答に署名をつける手法)これは問合せ元と問合せ先の両方がDNSSECに対応していなければならず、普及にはもう暫くかかりそうです。†Kaminskyさん考案の攻撃手法。先に言うと対策は、前述の通りポートのランダム化。攻撃者は、攻撃対象のDNSサーバにDNSサーバが知らないドメイン名を問い合わせるDNSサーバは、答えを知ってそうな他の(上位の)DNSサーバへ問い合わせる攻撃者は、問合せがが成立する前にDNSサーバに偽の応答を送りこむという手順を踏むのですが、この方法は単純にやると1回失敗したら、2回目が続きません。上位のサーバへの問合せは発生し無い)そこで、攻撃者は問合せ方を工夫します。aaa.null-i.netとか、bbb.null-i.netとか毎回変えることで、DNSサーバに毎回問合せを発生させることができる、(null-i.net自体ではなく、null-i.net内のaaa、bbbという「架空の」ドメインの場所を聞き続ける)というのがカミンスキー攻撃のやり方です。補足すると、こうです。大元のドメイン(トップレベル・ドメイン:TLD*3)です。別居している子かもしれないし、そもそもそんな子はいないかもしれない。それが分からないので、結局問い合わせるしかない、という理屈です。†フィッシング詐欺(釣り)と違って、こちらは農業*5。フィッシングは、攻撃対象に罠となるURLリンクをクリックさせて釣るのに対して、ファーミングでは、上記のキャッシュポイズニングで本物のURLをクリックさせて、罠のサイトに誘導する。怪しいメールで積極的に釣るのではなく、一度罠を構築したら収穫を待てばいい、という点が農業っぽい?らしいです。前述のようなまどろっこしい(?)やり方よりも手っ取り早い方法です。WindowsでもUnixでも、ドメイン名とIPアドレスを紐づける為の「hosts」ファイルが存在しています。手書きにせよウィルスにせよ、このファイルを直接書き換えてしまえばDNSキャッシュよりも優先して嘘の情報を流しこめます。対策は・・・やっぱり、ウィルスに感染しないことでしょうか。あと、hostsファイルは管理者権限で書き換えることができるので、管理者IDは大切に扱いましょう。前述の観点は主に外部からの攻撃、でもウィルス・マルウェアはパソコン内部から攻撃します。本来パソコンが参照するべきDNSサーバを、「俺がそのDNSサーバだよ!」って詐称するのです。自動的にインターネットまで繋がるようになると思います。これは、DHCPというシステムで、パソコンにIPアドレスやDNSサーバの場所を自動で教えてくれる係の人がいるからです。そこで、悪いシステムを組み込んだUSBメモリをパソコンに差し込みます。このUSBメモリは、「俺がそのDHCPの係だよ」「DNSサーバも俺だよ」とパソコンに嘘の情報を流し込みます。パソコンは偽のDNS情報で、偽のサイトへアクセス誘導されるようになります。USBメモリはあくまで一例で、ウィルスがその役割を担うこともあります。対策としては、ウィルス対策ソフトはもちろんですが、まずは、怪しい機器や身元がわからない機器はパソコンに接続しないことにしましょう。Protoco)ですが。これは製品出荷時に割り振られている識別コード(MACアドレス)とIPアドレスを紐づける為の情報です。通信機器はIPアドレスの前に、MACアドレスで通信しているとも言えます。」と言われると、即信じます。盗聴し放題ということになります(この手口をARPスプーフィングと言います)。ARP(というかMACアドレスで通信するEthernet)はデータリンク層の通信なので~ルータを超えることはできません。言いかえると、ARPスプーフィングを仕掛ける攻撃元は必ず近く(同じLAN上)に居ます、インターネット上ではなく。獅子身中の虫ってやつです。狙った端末が存在する、例えば同じ社内LAN上の別のPCとかに、ARPスプーフィングを行うウィルス等を感染させます。感染してしまったPCは、ARPスプーフィングを行います。盗聴が目的なら受け取った通信を本来の正しい通信相手に転送するもよし対策としては、ARPスプーフィング対応の製品を導入すること。ウィルスに感染しないこと。通信量が異常に増すことを監視機器で検知できる可能性も無きにしも非ず。扱うデータが多い場合など。TDL:東京ディズニーランドではない。Name」と言います。綴りは「pharming」らしいです。farmingでいいじゃん。使用して作成しています。使用しています(このサイトについて)。