信学技報の正誤表フルリゾルバ運用者の対策 harden-refferal-path harden-referral-path 表 2 $2^16$ $2^{16}$ 6. 現実の攻撃と対策健在化顕在化 Copyright 2014 Japan Registry Services C

Size: px

Start display at page:

えいじろうやすもと
5 years ago
Views:

1 根元は攻略されたのか ~ DNS キャッシュポイズニング攻撃とその対策について改めて考える ~ 藤原和典株式会社日本レジストリサービス /JPRS fujiwara@jprs.co.jp 2014/9/12

5 注意いわゆるキャッシュサーバという言葉は誤用なのでフルリゾルバに統一します PowerDNSやBundy 権威 DNSサーバは権威 DNSサーバだがキャッシュをサービスに使用 RFC 1035では明確ではないが以下の記載あり名前解決する機能を resolver とし full resolver resolver+cache Recursive server+central cache の三通りの書き方で説明 RFC 1123ではstub resolverとa full service resolverを区別して紹介 Full service resolverかfull resolverが正しい Copyright 2014 Japan Registry Services Co., Ltd. 5

6 DNS への攻撃の分類 B: 注入権威 DNS サーバ E:DNS アンプ攻撃フルリゾルバ ( キャッシュ ) (2) (3) (4) (5) Root TLD E:DNS リフレクター攻撃 D:DoS 攻撃 (1) (8) A: 先に嘘 (6) (7) 組織 D:DoS 攻撃 C: 乗っ取りスタブリゾルバ RFC 3833 Threat Analysis of the Domain Name System (DNS) A. 中間者攻撃 B. キャッシュポイズニング C. 権威 DNS サーバの乗っ取り D. サービス不能 (DoS) 攻撃 E. DNS リフレクター攻撃 Copyright 2014 Japan Registry Services Co., Ltd. 6

7 RFC 3833 Section 2.1. Packet Interception Wi-Fi 区間やワイヤタッピングなどでクエリを監視し応答を書き換えたいクエリが来たら本物の応答より前に注入したい応答を返すクエリの全情報を使えるので確実に入る TCP でも防げないエンドノードでの DNSSEC 検証や TSIG で検知可能実装例 : いくつかの国で実装されている事例あり対策信用できないネットワークを使わない通信路の暗号化 ( 信頼できるところまで VPN) TSIG/DNSSEC 検証など Copyright 2014 Japan Registry Services Co., Ltd. 7 A: 中間者攻撃エンドユーザを偽サイトに誘導して利益を得るもの

8 B: キャッシュポイズニングエンドユーザを偽サイトに誘導して利益を得るもの ID Guessing and Query Prediction (RFC ) 権威 DNS サーバからの応答を偽装しフルリゾルバのキャッシュに偽の情報を注入するもの Guess とか Prediction だが乱数も推定の一つ短時間に注入するもの : Kaminsky attack など長期にわたってゆっくり試行するもの : Birthday attack Name Chaining (RFC ) NS や CNAME,MX などの RDATA に含まれるドメイン名の情報に変な情報を書いて注入内部名ではなく権威がない名前のグルーなど example.com IN NS ns.example.jp ns.example.jp IN A 他ドメイン名のグルーいまどきのフルリゾルバは受け付けない Copyright 2014 Japan Registry Services Co., Ltd. 8

9 C: 権威 DNS サーバ乗っ取りなどエンドユーザを偽サイトに誘導して利益を得るもの権威 DNS サーバそのものの乗っ取り普通のホストの脆弱性経由ドメイン名登録情報の改竄登録者パスワードの脆弱性やパスワードリカバリレジストリやレジストラリセラのシステムの脆弱性任意の誘導ができるが DNS プロトコルの脆弱性ではない Copyright 2014 Japan Registry Services Co., Ltd. 9

10 対策上位ネットワークにフィルタ依頼 IP Traceback して発信元 AS に対策を依頼忍耐強化のための回線増強 IP anycast で DNS サーバ数を増やす Rate Limit DNS Response Rate Limiting して DNS サーバの応答を減らす送信元を減らす活動 (BCP38 や botnet 対策など ) Copyright 2014 Japan Registry Services Co., Ltd. 10 D: サービス不能攻撃 (DoS) DNS サーバに大量のクエリを送って負荷を上げサービスを妨害するもの DNS サーバのネットワークに大量のパケットを送って通信を妨害するもの

11 E:DNS リフレクター攻撃の加害者概要 DNS は UDP を主に使うため IP アドレスの詐称に弱い送信元 IP アドレスを攻撃先としたクエリをフルリゾルバや権威 DNS サーバに送ると攻撃先に応答を返す DNS ではクエリよりも応答のサイズが大きい EDNS0 で 4000 バイト程度まで返せる DNSSEC でクエリの 20 倍のサイズの応答を返す対策オープンリゾルバの停止権威 DNS サーバでは DNS Response Rate Limitting 実装 Network Ingress filtering (BCP38) の実装 Copyright 2014 Japan Registry Services Co., Ltd. 11

12 Node re-delegation attack 委任注入攻撃

13 委任注入攻撃 Bernhard Müller, Improved DNS spoofing using node re-delegation, August 2008 Wikipedia DNS spoofing Redirect the target domain's nameserver The first variant of DNS cache poisoning involves redirecting the nameserver of the attacker s domain to the nameserver of the target domain, then assigning that nameserver an IP address specified by the attacker. Wikipedia にも書かれるぐらいよく知られた攻撃手法基本的には Kaminsky 攻撃の変形で注入するものが委任情報 Copyright 2014 Japan Registry Services Co., Ltd. 13

14 攻撃イメージ 1 を送って 357 より先に 357 のふりをした偽装応答を注入してやればよい End user s query Stub Resolver Full-Resolver (Cache) Root JP example.jp TLD (Top Level Domain) NET Organization Root COM jprs.co.jp Authoritative DNS Servers Copyright 2014 Japan Registry Services Co., Ltd. 14

15 Kaminsky 型攻撃の特徴攻撃対象の名前の前にランダムなラベルをつけたクエリ名を使用毎回ラベルが異なるためフルリゾルバは権威 DNSサーバへ毎回クエリを送る攻撃対象を管理する権威 DNSサーバーから返る正当な応答は名前エラー (NXDOMAIN) 攻撃失敗 ( 正当な応答が先に到達 ) の場合でもクエリ名のエラー情報だけがキャッシュされる攻撃対象の注入には影響しないこのため一度攻撃に失敗してもランダムなラベルを変更することで連続して攻撃できる Copyright 2014 Japan Registry Services Co., Ltd. 15

16 実際の攻撃では ID( 問合せと応答を紐付ける番号 ) のみを変更した多数の偽造応答を同時に送る Copyright 2014 Japan Registry Services Co., Ltd. 16 委任注入攻撃 node re-delegation attack 例 : というホスト名を注入する場合 1. (random). A クエリを攻撃対象に送る example.jp を管理する権威 DNS サーバは名前エラーを返す偽造応答の注入が成功しなかった場合 (random). のエラーのみキャッシュされるの情報はキャッシュされない 2. 偽造応答 IN NS my-server を example.jp のサーバのアドレスから注入する my-server にの偽ゾーンを事前準備しておく

17 攻撃の詳細トリガードメイン名の選定 ($Trigger) トリガークエリ (random).$trigger A をフルリゾルバに送信フルリゾルバは最終的に権威をもつ権威 DNS サーバにクエリを送り権威 DNS サーバは (random).$trigger の名前エラーを返す $Trigger 自体はキャッシュされない偽装応答をフルリゾルバに送信 IP src = $Trigger の権威 DNS サーバアドレス IP dst = フルリゾルバのアドレス src port = 53 dst port = フルリゾルバのポート番号 ( 固定か乱数 ) DNS header: Rcode 0, response, ID = 乱数 Question section = (random).$trigger A Authority = 注入したいもの : Target NS my-server 事前に my-server に Target ゾーンを用意しておくこと Target IN NS my-server Target IN A *.Target IN A Copyright 2014 Japan Registry Services Co., Ltd. 17

18 攻撃例 : Full-Resolver port P ns1.google.com port 53 ID mmm, Query (random). A Full-Resolver (Cache) Attacker port any Full-Resolver port 53 ID any, Query (random). A 送信元送信先 DNS ヘッダクエリ情報応答 ns[1-4].google.com google.com ns1.google.com port 53 Full-Resolver port P ID mmm, Response, Error (random). A (random). 7より前に偽装応答を送信 ns1.google.com port 53 Full-Resolver port P ID mmm, Response, No error (random). A Attacker NS my-server IPアドレスポート番号 ID Question sectionを正規の応答と同じにし応答部分だけ違う偽装応答 Copyright 2014 Japan Registry Services Co., Ltd. 18

19 注入が成功しうるドメイン名 1. NS を持たないすべてのドメイン名ふつうのホスト名 ( いくつかの中間ドメイン名 (co.jp, tokyo.jp, ) 2. いくつかの委任 (NS があるドメイン名 ) あるドメイン名とその子孫が同一 DNS サーバに共存最上位のドメイン名は対象外最下位の委任は対象外例 1: net and root-servers.net ルート DNS サーバは. と root-servers.net ゾーンを保持例 2: co.uk uk DNS サーバは uk ゾーンと co.uk ゾーンを保持重なりが親子の場合親から子への委任を示す NS リソースレコードはキャッシュされないので注入が容易 uk DNS サーバは co.uk ドメイン名のクエリに対して co.uk の委任ではなくラベル.co.uk を返す実環境での net の注入は困難 Copyright 2014 Japan Registry Services Co., Ltd. 19

20 Full resolver port P a.dns.jp port 53 ID mmm, Query (random).co.jp A Trigger query Attacker port any Full resolver port 53 ID any, Query (random).co.jp A my-server co.jp zone *.co.jp A Full resolver (Cache) 攻撃例 :co.jp Src addr/port Dest addr/port DNS header Question Authority 1 8 Attacker 4 co.jp NS is not cached 5 co.jp NS may be accepted [a-g].dns.jp jp a.dns.jp port 53 Full resolver port P ID mmm, Response, Error (random).co.jp A jp SOA Before 5, send forged responses a.dns.jp port 53 Full resolver port P ID mmm, Response, No Error (random).co.jp A co.jp NS my-server Forged responses (same IP addr, port, ID, Question section different RCODE, different Authority) Copyright 2014 Japan Registry Services Co., Ltd. 20

21 攻撃例 :net Only when net NS is not cached by victim full resolvers Full resolver port P a.root-servers.net port 53 ID mmm, Query (random).root-servers.net A Trigger query Full resolver (Cache) Attacker port any Full resolver port 53 ID any, Query (random).root-servers.net A my-server net zone *.net A Src addr/port Dest addr/port DNS header Question Authority 1 8 Attacker 2 net NS is not cached 3 net NS may be accepted [a-m].root-servers.net. and root-servers.net a.root-servers.net port 53 Full resolver port P ID mmm, Response, Error (random).root-servers.net A root-servers.net SOA Before 3, send forged responses a.root-servers.net port 53 Full resolver port P ID mmm, Response, No Error (random).root-servers.net A net NS my-server Forged responses (same IP addr, port, ID, Question section different RCODE, different Authority) Copyright 2014 Japan Registry Services Co., Ltd. 21

22 攻撃例 :root-servers.net Only when net NS is not cached by victim full resolvers Full resolver port P a.root-servers.net port 53 ID mmm, Query (random).root-servers.net A Trigger query Full resolver (Cache) Attacker port any Full resolver port 53 ID any, Query (random).root-servers.net A my-server root-servers.net zone *.root-servers.net A Src addr/port Dest addr/port DNS header Question Authority 1 8 Attacker 2 3 root-servers.net NS is not cached root-servers.net NS may be accepted [a-m].root-servers.net. and root-servers.net a.root-servers.net port 53 Full resolver port P ID mmm, Response, Error (random).root-servers.net A root-servers.net SOA Before 3, send forged responses a.root-servers.net port 53 Full resolver port P ID mmm, Response, No Error (random).root-servers.net A root-servers.net NS my-server Forged responses (same IP addr, port, ID, Question section different RCODE, different Authority) Copyright 2014 Japan Registry Services Co., Ltd. 22

23 Full resolver port P ns1.nic.uk port 53 ID mmm, Query (random).co.uk A Trigger query Attacker port any Full resolver port 53 ID any, Query (random).co.uk A my-server co.uk zone *.co.uk A 攻撃例 :co.uk Full resolver (Cache) Src addr/port Dest addr/port DNS header Question Authority 1 8 Attacker 4 co.uk NS is not cached 5 co.uk NS may be accepted [1-d].nic.uk uk and co.uk ns1.nic.uk port 53 Full resolver port P ID mmm, Response, Error (random).co.uk A co.uk SOA Before 5, send forged responses ns1.nic.uk port 53 Full resolver port P ID mmm, Response, No Error (random).co.uk A co.uk NS my-server Forged responses (same IP addr, port, ID, Question section different RCODE, different Authority) Copyright 2014 Japan Registry Services Co., Ltd. 23

24 攻撃成功確率と期待値変数単位数値の範囲例フルリゾルバのポート数 NNNNNNNNNN 1~ or 64,000 QID 数 NNNNNNNN ,536 権威サーバアドレス数 NNNNNN 1~13 4 権威サーバへのRTT TTTTTTTTT 秒 0.001~ 繰り返し時間 TTTTTTTTTT 秒偽応答数の送出レート RRRRRRRR パケット / 秒 100,000 一度目の試行で入る確率 TTTTTTTTT RRRRRRRR PP = NNNNNNNN NNNNNNNNNN NNNNNN 連続攻撃時に入る確率 1 攻撃にかかる時間の期待値 TT = NNNNNNNN NNNNNNNNNN NNNNNN RRRRRRRR Copyright 2014 Japan Registry Services Co., Ltd. Example: Or Example: 2.62 seconds Or 167,772 (2 days) 24

25 一度目の試行で入る確率 ID, port, アドレスが一致すると確実に入るとする一度の試行 (TTTTTTTTT 時間 ) で入る確率 PP PP = TTTTTTTTT RRRRRRRR NNNNNNNN NNNNNNNNNN NNNNNN ただしTTTTTTTTTは制御できないので TTllllllll < TTTTTTTTTという条件でTTTTTTTTTTを用いる PP = TTTTTTTTTT RRRRRRRR NNNNNNNN NNNNNNNNNN NNNNNN Copyright 2014 Japan Registry Services Co., Ltd. 25

26 連続攻撃時に入る確率 nn 1 回目までに入らなくて nn 回目に入る確率 PPPP = 1 PP nn 1 PP (1) nn 回目までに入る確率 QQnnはPPnnの和 nn QQnn = ii=1 1 PP ii 1 PP (2) 変形すると QQnn = 1 1 PP nn (3) nn を無限大に近づけると QQQQ 1 Copyright 2014 Japan Registry Services Co., Ltd. 26

27 連続攻撃時に入る回数の期待値 nn 1 回目までに入らなくてnn 回目に入る確率 PPPP = 1 PP nn 1 PP (1) nn 回目までに入る期待値 EEEEは回数 * 確率の和 EEEE = nn ii=1 ii 1 PP ii 1 PP (2) 変形すると EEEE = 1 PP nnを無限大に近づけると EEEE 1 PP (1+nnnn) 1 PP nn PP (3) 成功する場合の期待値なので 0 < PP 1 EEEE の (3) 右辺の第二項は常に正かつ (2) より EEEE は単純増加なので EEEE は 1/PP を上界とする単調増加数列 Copyright 2014 Japan Registry Services Co., Ltd. 27

28 攻撃にかかる時間の期待値 TT = TTTTTTTTTT EE = TTTTTTTTTT PP NNNNNNNN NNNNNNNNNN NNNNNN = RRRRRRRR サーバ数 4とし ppsで偽装応答を送ると Port randomization していない場合 65536*1*4/ = 2.62 秒 Port randomization していると 65536*64000*4/100000= 秒 ( 約 2 日 ) 2 日間にわたって 10 万 pps の怪しいパケットが来れば気がつくでしょう Copyright 2014 Japan Registry Services Co., Ltd. 28

29 ソースポートランダマイゼーション攻撃にかかる時間の期待値 NNNNNNNN NNNNNNNNNN NNNNNN TT = RRRRRRRR TTを大きくするには NNNNNNNNNNを2 16 にすることポート番号を16ビット使いクエリごとにランダムにすることこれをソースポートランダマイゼーションという以下で実装 DJBDNS dnscache (~2001) PowerDNS recursor (2006/4リリース) BIND 9 (9.5.0-P1, 2008 年 5 月 ~) 2008 年以降の実装 Copyright 2014 Japan Registry Services Co., Ltd. 29

30 攻撃ツール試作 C で 500 行標準ライブラリのみ使用 select でタイミングと送受信の管理 raw socket で偽造レスポンス送出与えるパラメータ攻撃対象のフルリゾルバの IP アドレスポート番号トリガードメイン名 ( 連続攻撃向けのドメイン名 ) 注入したい NS RR のドメイン名サーバ名トリガードメイン名の権威サーバの IP アドレスリスト攻撃例./a.out ns.dnslab.jp / / / Copyright 2014 Japan Registry Services Co., Ltd. 30

31 攻撃ツールの構造初期化 socket 2 個作成普通の UDP と Raw タイマー初期化初回のクエリ送信 Loop select 応答を受けたら注入が成功したか判定成功したら終了失敗したらトリガークエリ送信へ Tloop 時間たったらトリガークエリ送信へ Raw socket にかけたら偽造応答送信へ終了成果の表示トリガークエリ送信 (random) を生成攻撃対象の port 53 へクエリを送信自分のアドレス port any Full-Resolver port 53 ID any, Query (random). トリガードメイン名 A 偽造応答送信 IDをランダムに生成権威サーバアドレスをランダムに選択引数であたえたアドレスリストより偽造応答を生成 Question Sectionはクエリ送信と同じ Authority Sectionに注入するNS RR 権威サーバのport 53から攻撃対象の指定ポートへ Raw socketで送信権威サーバアドレス port 53 Full-Resolver port P ID random, Response (random). トリガードメイン名 A 注入するNSリソースレコード Copyright 2014 Japan Registry Services Co., Ltd. 31

32 Tips Raw socket での byte order FreeBSD: The ip_len and ip_off fields must be provided in host byte order. All other fields must be provided in network byte order. BSD 以外はすべて network byte order のはず終了判定方法誘導先権威 DNS サーバに *.domainname A を書いておくことでトリガーとなるランダムクエリに存在する応答が戻るデバッグツール tcpdump rndc dumpdb Copyright 2014 Japan Registry Services Co., Ltd. 32

33 Attacker 実験環境 Victim Full Resolver (BIND 9 or Unbound) Router 構成箱庭を準備するのは面倒なのでより現実に近い評価にするために JPRS の研究ネットワークでグローバルアドレスを使って実施攻撃対象の名前解決クエリが外に漏れるが気にしない Two VMs (Attacker and Victim) 2.5GHz Xeon, 2 cpu, 3GB memory Victim full resolvers BIND (without source port randomization) Unbound (without source port randomization) 1Gbps ethernet The Internet Copyright 2014 Japan Registry Services Co., Ltd. 33

34 攻撃の前提と実験の条件前提 : 攻撃ツール以外からのクエリなし本物が入ったら TTL 時間は攻撃成功しにくいためソースポートランダマイゼーションを off にした BIND 9, Unbound を用意 query-source port 20001; (BIND 9) 誘導先の DNS サーバとして ns.dnslab.jp 実験で攻撃してみたゾーンが多数書いてある *.domainname A を書いておく ( 終了判定のため ) 簡略化のため IPv4 でのみ評価 Copyright 2014 Japan Registry Services Co., Ltd. 34

35 実験結果注入可能なドメイン名を注入成功 NS リソースレコードが存在しないもの co.jp go.jp lg.jp chiyoda.lg.jp tokyo.jp saitama.jp kanagawa.jp chiyoda.tokyo.jp 先祖と子孫の同居 co.uk root-serers.net net ( 事前に rndc flush) 入らないときは rndc dumpdb して確認正規の A と偽造 NS が混ざることもある A が expire すると NS が有効に使用される Copyright 2014 Japan Registry Services Co., Ltd. 35

36 期待値と攻撃結果の比較変数の攻撃対象攻撃対象変数単位範囲 net Port randomization no yes no yes 1~ フルリゾルバポート数 Nport ^16 ID 数 Nqid 2^ 権威サーバアドレス数 Nns 1~ 権威サーバへの RTT Nauth 秒 ~ ~ ~ 繰り返し時間 Nloop 秒偽装応答の送出レート Rans pps 一度目攻撃成功確率攻撃成功の期待値秒攻撃時間の実測値秒 46 8 Copyright 2014 Japan Registry Services Co., Ltd. 36

37 攻撃時間を短縮する最適化 NNNNNNNN NNNNNNNNNN NNNNNN TT = RRRRRRRR 分母の偽造応答の送出レートを大きくする TTTTTTTTTT < TTTTTTTTT に注意例 : 偽装応答を 1Gbps で送ると応答パケットサイズ 100 の場合 1,000,000pps ポートランダマイゼーションしていない場合 * 1 * 4 / = 秒瞬殺ポートランダマイゼーションしている場合 * * 4 / = 時間半 Copyright 2014 Japan Registry Services Co., Ltd. 37

38 攻撃手法のまとめソースポートランダマイゼーションを有効にしていないと数秒から数分で注入できるターゲットはほとんどのドメイン名 A, AAAA, PTR などがついているほとんどのホスト名いくつかの中間のドメイン名ソースポートランダマイゼーションしていると数時間では入らないが性能向上すれば可能になる random. や random.root-servers.net という怪しいクエリを出し続けるのはいやなので止めた成功しないときは攻撃対象の cache を flush する net, root-servers.net への攻撃はキャッシュに net, rootservers.net NS があると成功しない A があっても NS は入ることに注意 Copyright 2014 Japan Registry Services Co., Ltd. 38

39 試作した手法の欠点攻撃が検知されやすい送ってない応答が大量に到達するので入出力のパケット数を見るだけでわかるトリガークエリが多めなことと送っていない応答を捨てる処理のためにフルリゾルバの負荷が上がる攻撃者を特定しやすい誘導先のDNSサーバを用意する必要があるトリガーとなるクエリを送り応答を確認するためにそのIPアドレスを詐称できない攻撃側にもリソースが必要帯域と高性能機器 Copyright 2014 Japan Registry Services Co., Ltd. 39

40 委任注入攻撃への対策サービス提供者は DNS だけに依存せずに他の検知技術と組み合わせること証明書による SSL/TLS (HTTPS) など DNSSEC 検証による攻撃検知フルリゾリバ運用者の対策長期的な対策注入を検知した場合の対策フルリゾルバ開発者の対策権威 DNS サーバ運用者の対策 Copyright 2014 Japan Registry Services Co., Ltd. 40

41 DNSSEC 検証による攻撃検知以下 BIND 9, Unbound で確認 DNSSEC 検証していてもキャッシュには入る DNSSEC 検証により攻撃検知可能スタブリゾルバには Server failure を返す net に NS を注入できても net DNSKEY を検証できないため検証エラー TLD は概ね DNSSEC 対応ただし複雑な構造を持つ TLD で NSEC3 OptOut している場合に検証できない中間ドメイン名ができる場合がある 2014 年 3 月に JPRS は JP ゾーン内のすべての中間ドメイン名に意味のない TXT リソースレコードを追加して対応する NSEC3 リソースレコードを生成させるようにした Copyright 2014 Japan Registry Services Co., Ltd. 41

42 NSEC3 により検知可能な理由 kanagawa.jp には対応する NSEC3 RR あり ONVMIMIF2S8PQSOHC68NDN6805PU97II.jp. 900 IN NSEC FE OO12LTU5GEAH5UB3SO8ASTEL11B0K86T TXT RRSIG タイプビットマップには TXT と RRSIG ここで kanagawa.jp NS を注入できたとする example.kanagawa.jp を検証する時には kanagawa.jp NS があるので kanagawa.jp DS があるかどうかを調べる RFC 4035 Section 5.2 kanagawa.jp DS クエリを送ると NSEC3 がもどる NSEC3 より kanagawa.jp に NS, DS なし矛盾となるため検証エラーとなる Copyright 2014 Japan Registry Services Co., Ltd. 42

43 フルリゾルバ運用者の対策 (1) ソースポートランダマイゼーション時間の猶予が得られる Unbound: harden-referral-path option の有効化監視フルリゾルバの負荷多量の不存在クエリ知らない応答入出力のパケット数 DNS はクエリレスポンスがほぼ一対一なので非対称なパケット数は攻撃の可能性あり追記 : 空けてないポートへの UDP ( 応答の ICMP) 監視サービスフルリゾルバ権威サーバ間の通信の監視サービスあり Farsight Security, Inc., Nominum, Inc. 応答を過去のログと比較 Copyright 2014 Japan Registry Services Co., Ltd. 43

44 フルリゾルバ運用者の対策 (2) キャッシュポイズニングに気がついたら私に教えてください事例が欲しい注入された RRSet の消し方注入された RRSet をキャッシュから消す rndc flushname 攻撃されたドメイン名注入されたドメイン名を問い合わせフルリゾルバ攻撃されたドメイン名 A など他のフルリゾルバとの応答を比較自分が管理しているサーバか Public service と比較キャッシュから消すという行為で注入の可能性が上がるためで複数のフルリゾルバに同時に注入するのは困難なため他との比較が有効である特に有名な Public service は対策しているはず Copyright 2014 Japan Registry Services Co., Ltd. 44

45 フルリゾルバ開発者の対策 (1) ソースポートランダマイゼーションの実装 : 完了監視機能の追加フルリゾルバは送っていない応答を捨てるがそれを用いて警告する送っていない応答内に攻撃者が注入しようとしているものがある ( 委任注入攻撃のときは NS RRSet) ランダムクエリから共通部の抽出量が多いため集約して量を減らすこと対策 : TCP transport の使用権威サーバとの間の通信を TCP にするとこのツールでは攻撃できないシーケンス番号が 32 ビットなので他のパラメータとあわせて 64 ビットの推定が必要となり耐性が高いただし TCP 通信は重い ( ステートと RTT が 3 倍 ) Copyright 2014 Japan Registry Services Co., Ltd. 45

46 フルリゾルバ開発者の対策 (2) 検知と TCP による対策を組み合わせると効果的キャッシュポイズニング攻撃を受けているドメイン名だけ TCP で通信既に一部のフルリゾルバに実装されている draft-fujiwara-dnsop-poisoning-measures-00 を書き問題提起した実装されていない実装に実装してもらうため DNS Cookie で ID 数を増やす (dnsop で停滞 ) ISC は BIND 9.10 で実験的に実装 (Source Identity Token, SIT) Unbound では harden-referral-path を実装ルート,TLD へ referral を取り直すためクエリ数が増える Google Public DNS: nonce prefix 実装, 多数のソース IP アドレスの使用 Copyright 2014 Japan Registry Services Co., Ltd. 46

48 ホスト名の守り方ホスト名ごとにゾーンと DNS サーバアドレスを分けるホスト名と同じアドレスをホスト名ゾーンの DNS サーバとする example.jp ゾーン ( ではないアドレスで動かす ) IN NS IN A ( グルー ) ゾーン ( ゾーン頂点に A,AAAA を書く複数可 IN A ( 権威あり ) IN NS 問題点サービスアドレスと権威 DNS サーバが同じアドレス変更時には上位のグルーと下位を同時に変更権威 DNS サーバのアドレスを増やすとサービスアドレスも増える内部名の DNS サーバ名には適用不可能なぜなら親子同居になるためどこかには必ず内部名の DNS サーバが必須のためどこかで負ける RFC 2181 Ranking 問題のバグを持つサーバへの注入は可能 Copyright 2014 Japan Registry Services Co., Ltd. 48

49 中間ドメイン名の守りかたすべての階層をゾーンに分割 IPv6 の逆引きどうするんでしょうか? f.e.d.c.b.a f.e.d.c.b.a b.d ip6.arpa PTR _sip._udp や selector._domainkeys も注意 SIP: _sip._udp.example.com SRV DKIM: selector._domainkeys.example.com TXT 階層ごとに別サーバに分離階層ごとに IP アドレスとサーバが必要 Copyright 2014 Japan Registry Services Co., Ltd. 49

50 JP での中間ドメイン名対策の可能性現在はすべての JP ドメイン名の委任を 1 ゾーンで管理構造が楽しいぐらいに複雑特に地域型と lg.jp 分離対象属性 9 都道府県 47*2: なんとかなる? 地域型 : 市町村区名ラベル 1300 程度新規登録なし lg.jp: {union,vill,town,city,metro,pref}. ラベル.lg.jp 都道府県市町村区名事務組合名ごとに別ゾーン 1400 合計約 3000 ゾーン DNSSEC の運用ができるか? ゾーン転送が 5 分以内に完了するか? (BIND 9 にバグあり ) 運用コストは非常に大きくなりそう分離作業の問題 DNSSEC 検証の継続性. 不可能移行時は JP DS 削除可能か? Copyright 2014 Japan Registry Services Co., Ltd. 50

52 攻撃実績いまのところ聞いたことはありませんご存知のかたがいらっしゃったら教えてください ( 追記 ) DNS-OARC 2008 Workshop (Ottawa) にて Paul Vixie が示したようです DoSはよく聞くのにキャッシュポイズニングの話は聞かない DoSのほうが現実の問題なのか? 費用対効果を考えた対策が重要 Copyright 2014 Japan Registry Services Co., Ltd. 52

53 ソースポートランダマイゼーション ( 以下 SPR) 普及度調査 JPRS では 2006 年 4 月からの A.DNS.JP 及び G.DNS.JP のクエリログを蓄積ソースポートランダマイゼーションの評価方法 1 日ごとのソースポートの使用数を数えたいがポート番号の上位下位 8 ビットの使用数を評価判定基準 1 日 10 クエリ未満 : 判定不能 (Unknown) 上位下位とも 3 以下 : SPR 無効 (Static, 固定 ) 上位下位とも 4 以上 : SPR 有効 (Random) 上位か下位のどちらかが 3 未満 (Limited, 限定 ) Copyright 2014 Japan Registry Services Co., Ltd. 53

54 SPR 普及度の変化 Port randomization status (Ratio of IP addresses) 2006/04/ /08/ Unkwnown Random Limited Static 80 Ratio of IP addresses [%] Jan-06 Jan-07 Jan-08 Jan-09 Jan-10 Jan-11 Jan-12 Jan-13 Jan-14 Jan-15 Copyright 2014 Japan Registry Services Co., Ltd. 54

56 SPR 対応のまとめ約半数のアドレスが判定不能 Kaminsky 攻撃が発表された2008 年より前から SPRに対応していたアドレス 8% 程度で2 年間割合同じそれらはDJBDNS dnscacheだと考えられる 2007 年後半よりSPRの実装が進んだこといまでも4% 程度のアドレスはSPR 非対応 Unknownを除くと判定可能なアドレスの約 8% が非対応と考えられる定常的にクエリを送るアドレスで固定なものからのクエリ量は減ってきている (3% 以下 ) 大量にクエリを出す異常なアドレスは固定なものが多い? Copyright 2014 Japan Registry Services Co., Ltd. 56

57 IETF 方面開発者の反応 IEPG meeting 2014/7/20 に報告を行ったが内容が既知のため興味を引かれずフルリゾルバの IP アドレスを増やすと ID 数を増やして耐性を上げられるというコメントだけをもらった IETF dnsop 2014/7/22 にインターネットドラフトの発表を行ったが対策の一つであるというコメントをもらっただけで反応は薄い DNS Cookie の標準化は停止中フルリゾルバ開発者は対策を実装済み Unbound では harden-referral-path で対策済 Nominum Vantio ではいろいろな対策を実装済 BIND 9.10 では ISC 独自の DNS Cookie を実装 Google Public DNS: nonce prefix, 多数の IP アドレス使用 Copyright 2014 Japan Registry Services Co., Ltd. 57

58 まとめ委任情報を注入する攻撃は容易であるほとんどのドメイン名を攻略できるしかし足がつくソースポートランダマイゼーションで攻撃の効果を弱くできる放置されているフルリゾルバの存在よく管理されていると被害をうけにくい攻撃実績を聞いたことがない多くのひとは対応済だと考えている費用対効果を考えた対策が重要である Copyright 2014 Japan Registry Services Co., Ltd. 58

Microsoft PowerPoint attacktool.pptx

Microsoft PowerPoint attacktool.pptx Wikipedia DNS_spoofingに書かれている攻撃手法の実装と注入にかかる時間の期待値及び攻撃ツールの最適化について Kazunori Fujiwara, JPRS fujiwara@jprs.co.jp 2014/6/27 本日の目的と範囲攻撃の原理をわかりやすく伝えることで理解を深め対策を考えるうえでの参考とする攻撃にかかる時間の期待値を示すことで正しく運用していれば問題がないことを示す

信学技報の正誤表 フルリゾルバ運用者の対策 harden-refferal-path harden-referral-path 表 2 $2^16$ $2^{16}$ 6. 現実の攻撃と対策 健在化 顕在化 Copyright 2014 Japan Registry Services C

信学技報の正誤表フルリゾルバ運用者の対策 harden-refferal-path harden-referral-path 表 2 $2^16$ $2^{16}$ 6. 現実の攻撃と対策健在化顕在化 Copyright 2014 Japan Registry Services C