Microsoft PowerPoint attacktool.pptx

Size: px

Start display at page:

Download "Microsoft PowerPoint attacktool.pptx"

えつとおうじ
5 years ago
Views:

1 Wikipedia DNS_spoofingに書かれている攻撃手法の実装と注入にかかる時間の期待値及び攻撃ツールの最適化について Kazunori Fujiwara, JPRS 2014/6/27

3 DNS spoofing Wikipedia 英語版 : 何年も前に書かれていたらしいので引用 Redirect the target domain's nameserver The first variant of DNS cache poisoning involves redirecting the nameserver of the attacker s domain to the nameserver of the target domain, then assigning that nameserver an IP address specified by the attacker. 委任応答を偽造する Copyright 2014 Japan Registry Services Co., Ltd. 3

4 DNS spoofing 英語版 Wikipedia の該当エントリに対策は Port Randomization と DNSSEC と書かれている通信路の暗号化については最近の IETF DNS privacy の議論を先取りしている攻撃手法対策ともに既知 RFC 3833 の 2.2. ID guessing and query prediction に分類されるもの ID の推測と問合せの予測 RFC 3833:Threat Analysis of the Domain Name System (DNS) (DNS の脅威の分析 ) Copyright 2014 Japan Registry Services Co., Ltd. 4

5 攻撃イメージ 1 を送って 357 より先に 357 のふりをした偽造応答を注入してやればよい End user s query Stub Resolver Full-Resolver (Cache) Root JP example.jp TLD (Top Level Domain) NET Organization Root COM jprs.co.jp Authoritative DNS Servers Copyright 2014 Japan Registry Services Co., Ltd. 5

6 Kaminsky 型攻撃手法攻撃対象の名前の前にランダムなラベルをつけたクエリ名を使用攻撃対象のサブドメイン攻撃対象を管理する権威 DNSサーバーから返る正当な応答は名前エラー (NXDOMAIN) 正当な応答が先に到達した ( 攻撃失敗 ) 場合クエリ名のエラー情報だけがキャッシュされる攻撃対象の注入には影響がないこのため一度攻撃に失敗してもランダムなラベルを変更することで連続して攻撃できる Copyright 2014 Japan Registry Services Co., Ltd. 6

7 Kaminsky 型攻撃手法ランダムなラベルをつけたクエリ名はキャッシュされていないためフルリゾルバはクエリを受信するごとに権威サーバにクエリを送るこれに対する応答を偽造して先に返す Kaminsky 型攻撃手法では攻撃者が以下の双方を送ることがポイントランダムなラベルをつけたクエリ名そのクエリに対応する権威 DNSサーバーからの応答のふりをした偽の応答 Copyright 2014 Japan Registry Services Co., Ltd. 7

8 Kaminsky 型の偽装応答攻撃例 : というホスト名を注入する場合 1. (random). A クエリを攻撃対象に送る example.jp を管理する権威 DNS サーバは名前エラーを返す偽造応答の注入が成功しなかった場合 (random). のエラーのみキャッシュされるの情報はキャッシュされない 2. 偽造応答 IN NS my-server を example.jp のサーバのアドレスから注入する my-server に zone を事前準備しておく実際の攻撃では ID( 問合せと応答を紐付ける番号 ) のみを変更した多数の偽造応答を同時に送る Copyright 2014 Japan Registry Services Co., Ltd. 8

9 Kaminsky 型の偽装応答攻撃 Full-Resolver port P ns1.example.jp port 53 ID mmm, Query (random). A Full-Resolver (Cache) Attacker port any Full-Resolver port 53 ID any, Query (random). A 送信元送信先 DNS ヘッダクエリ情報応答 ns1.example.jp example.jp ns1.example.jp port 53 Full-Resolver port P ID mmm, Response (random). A (random). 7より前に偽装応答を送信 ns1.example.jp port 53 Full-Resolver port P ID mmm, Response (random). A Attacker NS my-server IPアドレスポート番号 ID クエスチョンセクションを正規の応答と同じにし応答部分だけ違う偽装応答 Copyright 2014 Japan Registry Services Co., Ltd. 9

10 対象ドメイン名ランダムラベルを前置すると存在しない名前になるドメイン名をトリガードメイン名とする (random). の場合がトリガードメイン名となるトリガードメイン名の権威 DNS サーバが管理するドメイン名のうち以下の条件をともに満たすものを注入可能 1. トリガードメイン名とその祖先のドメイン名 2. 最も短いゾーン頂点ではないドメイン名 Copyright 2014 Japan Registry Services Co., Ltd. 10

11 対象ドメイン名 ( ほとんどのホスト名 ) 例 1: トリガードメイン名がである場合は example.jp の権威 DNS サーバーが管理しておりこの権威 DNS サーバーは他のゾーンを一つも管理していないものとする example.jpは管理するドメイン名のうち最も短いゾーン頂点であるため注入できない jpや. は管理していないため注入できない Copyright 2014 Japan Registry Services Co., Ltd. 11

12 対象ドメイン名 ( いくつかの中間ドメイン名 ) 例 2: トリガードメイン名が root-servers.net である場合 ( ルートサーバーは. と root-servers.net を管理しており net の委任情報を持つ ) root-servers.netを注入できる netはトリガードメイン名の祖先であるため注入できる. は管理するドメイン名のうち最も短いゾーン頂点であるため注入できない Copyright 2014 Japan Registry Services Co., Ltd. 12

16 連続攻撃時に入る回数の期待値回目までに入らなくて回目に入る確率 (1) 回目までに入る期待値は回数 * 確率の和変形すると (2) を無限大に近づけると (3) 成功する場合の期待値なので 0 1 の (3) 右辺の第二項は常に正かつ (2) よりは単純増加なのでは 1/ を上界とする単調増加数列 Copyright 2014 Japan Registry Services Co., Ltd. 16

17 攻撃にかかる時間の期待値サーバ数 4とし ppsで偽装応答を送ると Port randomizationしていない場合 65536*1*4/ = 2.62 秒 Port randomizationしていると 65536*64000*4/100000= 秒 ( 約 2 日 ) 2 日間も10 万 ppsの怪しいパケットがくれば気がつくでしょう Copyright 2014 Japan Registry Services Co., Ltd. 17

18 攻撃ツール試作 C で 500 行標準ライブラリのみ使用 select でタイミングと送受信の管理 raw socket で偽造レスポンス送出与えるパラメータ攻撃対象のフルリゾルバの IP アドレスポート番号トリガードメイン名 ( 連続攻撃向けのドメイン名 ) 注入したい NS RR のドメイン名サーバ名トリガードメイン名の権威サーバの IP アドレスリスト攻撃例./a.out ns.dnslab.jp / / / Copyright 2014 Japan Registry Services Co., Ltd. 18

19 攻撃ツールの構造初期化 socket 2 個作成普通の UDP と Raw タイマー初期化初回のクエリ送信 Loop select 応答を受けたら注入が成功したか判定成功したら終了失敗したらトリガークエリ送信へ Tloop 時間たったらトリガークエリ送信へ Raw socket にかけたら偽造応答送信へ終了成果の表示トリガークエリ送信 (random) を生成攻撃対象の port 53 へクエリを送信偽造応答送信 IDをランダムに生成権威サーバアドレスをランダムに選択引数であたえたアドレスリストより偽造応答を生成 Question Sectionはクエリ送信と同じ Authority Sectionに注入するNS RR 権威サーバのport 53から攻撃対象の指定ポートへ Raw socketで送信権威サーバアドレス port 53 Full-Resolver port P ID random, Response (random). トリガードメイン名 A 注入するNSリソースレコード 19 Copyright 2014 Japan Registry Services Co., Ltd. 自分のアドレス port any Full-Resolver port 53 ID any, Query (random). トリガードメイン名 A

20 Tips Raw socket での byte order FreeBSD: The ip_len and ip_off fields must be provided in host byte order. All other fields must be provided in network byte order. BSD 以外はすべて network byte order のはず終了判定方法誘導先権威 DNS サーバに *.domainname A を書いておくことでトリガーとなるランダムクエリに存在する応答が戻るデバッグツール tcpdump rndc dumpdb Copyright 2014 Japan Registry Services Co., Ltd. 20

21 実験環境箱庭を準備するのは面倒なのでより現実に近い評価にするために JPRS の研究ネットワークで実施グローバルアドレスを割り当て DNS traffic を NAT したら NAT 箱の CPU があふれたためローカルネットワークは 1Gbps 対外線は 10Mbps で WIDE インターネットに接続攻撃対象の名前解決クエリが外に漏れるが気にしないマシンは VM 2 個 Xeon 2.5GHz 8 コアの HV から cpu 2 個, 3GB 割り当て同じネットワークセグメントに設置 Copyright 2014 Japan Registry Services Co., Ltd. 21

22 攻撃の前提と実験の条件前提 : 攻撃ツール以外からのクエリなし本物が入ったら TTL 時間は攻撃成功しにくいため Port randomization を off にした BIND 9, Unbound を用意 port 誘導先の DNS サーバとして ns.dnslab.jp 実験で攻撃してみたゾーンが多数書いてある *.domainname Aを書いておく ( 終了判定のため ) 簡略化のため IPv4 でのみ評価 Copyright 2014 Japan Registry Services Co., Ltd. 22

23 実験 1: (1) (random). Aクエリを送り google.comの権威サーバのipアドレスから以下のパケットを大量に送信 Question: (random). A Authority: NS ns.dnslab.jp ID ランダム, サーバアドレスを4 通りランダムに入るまで (random) を変えながら繰り返し入らないときはrndc dumpdbして確認正規の A と偽造 NS が混ざることあり Copyright 2014 Japan Registry Services Co., Ltd. 23

24 実験 1: (2) % sudo./a.out ns.dnslab.jp / / / elapsed: num_sent_queries= pps num_sent_responses= pps /queries num_received= % % IN A IN NS ns.dnslab.jp. 46 秒で注入成功 28qps のクエリと 66726pps の偽造応答 Copyright 2014 Japan Registry Services Co., Ltd. 24

25 実験 2: net (1) (random).root-servers.net A クエリを送りルートサーバのIPアドレスから以下の応答パケットを大量に送信 Question: random.root-servers.net A Authority: net NS ns.dnslab.jp ID, サーバアドレスを変えながら入るまで (random) を変えながら繰り返し入らないときはrndc dumpdbして確認本物のnetがキャッシュされていたらflush Copyright 2014 Japan Registry Services Co., Ltd. 25

26 実験 2: net (2) % sudo./a.out root-servers.net net ns.dnslab.jp / / / / / / / / / / / / elapsed: num_sent_queries= pps num_sent_responses= pps % IN A net IN NS ns.dnslab.jp. 8 秒で注入成功 30qps のクエリと 69158pps の偽造応答 Copyright 2014 Japan Registry Services Co., Ltd. 26

27 攻撃手法のまとめ Port Randomization していないと数秒から数分で注入できるターゲットはほとんどのドメイン名 A, AAAA, PTR などがついているほとんどのホスト名いくつかの中間のドメイン名 (net など ) Port Randomization していると数時間では入らない random. や random.root-servers.net という怪しいクエリを出し続けるのはいやなので止めた成功しないときは攻撃対象の cache を flush する net, root-servers.net への攻撃はキャッシュに net, rootservers.net NS があると成功しない A があっても NS は入ることに注意 Copyright 2014 Japan Registry Services Co., Ltd. 27

28 試作した手法の欠点攻撃がばれやすい送ってない応答が大量に到達するので入出力のパケット数を見るだけでわかるトリガークエリが多めなことと送っていない応答を捨てる処理のためにフルリゾルバの負荷が上がる攻撃者を特定しやすいトリガーとなるクエリを送り応答を確認するためにそのIPアドレスを詐称できない誘導先のDNSサーバを用意する必要がある攻撃側にもリソースが必要帯域と高性能機器 Copyright 2014 Japan Registry Services Co., Ltd. 28

29 期待値と実績の比較変数の変数単位 net 攻撃範囲攻撃 Port randomization no yes no yes 1~ フルリゾルバポート数 Nport ^16 ID 数 Nqid 2^ 権威サーバアドレス数 Nns 1~ 権威サーバへの RTT Nauth 秒 ~ ~ ~ 繰り返し時間 Nloop 秒偽装応答の送出レート Rans pps 一度目攻撃成功確率攻撃成功の期待値秒攻撃時間の実測値秒 46 8 Copyright 2014 Japan Registry Services Co., Ltd. 29

30 期待値と実績の比較まとめ期待値と実績の違い秒実測値 46 秒 netでは期待値 12.3 秒実測値 8 秒それぞれ一度の試行のため違いが出た多数試行して平均を取ると期待値に近づくと考えられる Port randomization していると注入にかかる時間の期待値がそれぞれ 2.9 日と 9 日になる 3 日間も 6 万 pps の怪しいパケットがくれば気がつくはず Copyright 2014 Japan Registry Services Co., Ltd. 30

31 攻撃時間を短縮する最適化基本的には偽造応答の送出レートを上げてやることとに注意することたとえば偽装応答を1Gbpsで送ると応答パケットサイズ100の場合 1,000,000pps ポートランダマイゼーションしていない場合 * 1 * 4 / = 秒瞬殺ポートランダマイゼーションしている場合 * * 4 / = 時間半 Copyright 2014 Japan Registry Services Co., Ltd. 31

32 本攻撃手法への対策 Port Randomization 時間の猶予が得られる監視 TCP transport の使用権威サーバとの間の通信を TCP にするとこのツールでは攻撃できない一般的にはシーケンス番号が 32 ビットになることと少なくとも 2 パケットを推定しないといけないためハイジャックは困難 Copyright 2014 Japan Registry Services Co., Ltd. 32

33 本攻撃手法への対策 : 監視フルリゾルバの負荷多量の不在クエリ知らない応答入出力のパケット数 DNS はクエリレスポンスがほぼ一対一なので非対称なパケット数は攻撃の可能性あり送ってない応答をログに出すに BIND patch ログを出すのは重いのでパフォーマンスに注意フルリゾルバ権威サーバ間の通信を監視 Farsight Security, Nominum によるサービスあり応答を過去のログと比較 Copyright 2014 Japan Registry Services Co., Ltd. 33

34 DNSSEC 検証による攻撃検知 BIND 9 と Unbound では DNSSEC 検証していてもキャッシュには入る DNSSEC 検証によりエラー検知できスタブリゾルバには Server failure を返す net に NS を注入できても net DNSKEY を検証できないため検証エラー TLD は概ね DNSSEC 対応ただし複雑な構造を持つ TLD で NSEC3 OptOut している場合に検証できない中間ドメイン名ができる場合がある RFC 5155 を細かく読むとわかるし対策も簡単 co.jp はあの対策では変化しなかった別のドメイン名をいってもらえたら反応したのに Copyright 2014 Japan Registry Services Co., Ltd. 34

35 まとめ委任情報を注入する攻撃は容易であるほとんどのドメイン名を攻略できるしかし足がつく Port randomization で攻撃の効果を弱くできる DNSSEC 検証で検知可能守るにはPort randomizationと監視が重要攻撃にはそれなりの体力がいるので攻撃者に利益があるところしか狙われにくいだれかraw socketでのdosツールに詳しい人いらっしゃいませんか性能上げたいので Copyright 2014 Japan Registry Services Co., Ltd. 35

信学技報の正誤表フルリゾルバ運用者の対策 harden-refferal-path harden-referral-path 表 2 $2^16$ $2^{16}$ 6. 現実の攻撃と対策健在化顕在化 Copyright 2014 Japan Registry Services C

$信学技報の正誤表フルリゾルバ運用者の対策 harden-refferal-path harden-referral-path 表 2 $2^16$ $2^{16}$ 6. 現実の攻撃と対策健在化顕在化 Copyright 2014 Japan Registry Services C$ 根元は攻略されたのか ~ DNS キャッシュポイズニング攻撃とその対策について改めて考える ~ 藤原和典株式会社日本レジストリサービス /JPRS fujiwara@jprs.co.jp 2014/9/12 信学技報の正誤表 4.4.1 フルリゾルバ運用者の対策 harden-refferal-path harden-referral-path 表 2 $2^16$ $2^{16}$ 6. 現実の攻撃と対策