ipsj-tokai

Size: px

Start display at page:

Download "ipsj-tokai"

はなやたけ
7 years ago
Views:

1 DNSセキュリティの基礎情報処理学会東海支部中京大学工学部 / リフレクション鈴木常彦

2 本日のメニュー毒入れの基本カミンスキーバグ DNSリフレクション攻撃 Lame Delegation の乗っ取り DNS 浸透? 幽霊ドメイン名脆弱性共用 DNSサーバのリスクガバナンスの問題

3 DNS 毒入れとはユーザ DNSキャッシュサーバ問合せ TTL P P 問合せTx RTT ( 往復時間 ) 応答偽応答 Tx Tx DNS 権威サーバ IP IP: IP アドレス P: ポート番号 Tx: トランザクション ID TTL: キャッシュ時間問合せ IP

4 毒入れの基本次のパラメータを当てる権威サーバの IP アドレス ( 数個 ) ソースポート番号 ( 固定 or 16bit) トランザクション ID (16bit) 本物の応答より早く嘘を突っ込む Round Trip Time ( 数十 ms 程度 ) の間キャッシュが空の時だけがチャンス TTL が短いドメイン名は危ない追加節への毒入れにはもう一つ重要な条件が

5 毒入れの基本次のパラメータを当てる権威サーバの IP アドレス ( 数個 ) ソースポート番号 ( 固定 or 16bit) トランザクション ID (16bit) 本物の応答より早く嘘を突っ込む In-bailiwick Round Trip Time ( 数十 ms 程度 ) の間キャッシュが空の時だけがチャンス TTL が短いドメイン名は危ない追加節への毒入れにはもう一つ重要な条件が

6 のどかな時代の毒入れ 10 数年前までは毒入れ放題だった Query: IN A Answer Section: A Authority Section: example.com.in NS Additional Section: A

7 毒入れの基本 Rate RTT t/ttl P - - ) NS Port TID) Rate: 攻撃レート ( 偽パケット / 秒 ) RTT: 本物の応答が帰ってくるまでの時間 NS : 対象ドメイン名の権威サーバの数 Port: ポート番号の数 (1 または 16bit) TID: トランザクションIDの数 (16bit) TTL : キャッシュ生存時間 t : 攻撃時間

8 カミンスキー攻撃 2008 年夏 Dan Kaminsky It's The End Of The Cache As We Know It. 手法引き金は攻撃者が引く存在しない名前を次々問い合わせその Authority/Additonal Section で毒入れ本物の応答 (NXDOMAIN) のキャッシュは邪魔にならないポート番号固定の BIND はイチコロ

9 Enter The DNSRake Named after a common method for lockpicking 1) Send a query to a nameserver, for $RANDOM.foo.com The bad guy has the starter pistol 2) Send 200 fake replies to that nameserver, with TXID The bad guy can reply multiple times 3) Send replies containing nameserver redirections to $RANDOMwww.foo.com IN NS IN A If this works, it works If it fails, return to step 1! カミンスキー攻撃 2008 Blackhat Dan kaminsky : It's The End Of The Cache As We Know It.

11 カミンスキー攻撃 Rate RTT t/ttl P - - ) NS Port TID) pps RTT t*qps P - - ) NSXTID)

12 カミンスキー攻撃権威サーバ 2 台 RTT100ms なドメインに毎秒 10query を送り 1,500pps の偽応答で攻撃をかけると P=1-(1-(1500/(2*60000))) ^ (t*10) 1 分 00 秒 : 52.8 % 2 分 00 秒 : 77.7 % 3 分 10 秒 : 90% 9 分 20 秒 : 99.9 %

13 カミンスキーバグカミンスキーの間違い彼の説明では毒は入らない毒が入るのはバグのあるBIND 2009 年末にひっそりと修正機関銃は発明したが弾は不発弾だった

14 ミューラー論文 2008 年 B.Mueller カミンスキーの機関銃の使い方を解説弾は致命的ではなく当たった獲物を追い込む罠 ( 偽権威サーバ ) が必要 ( そこで本当の毒 ) 彼が示したのは一匹への攻撃 ( ホスト ) 2014 年一網打尽の方法 ( 前野鈴木 )

15 存在しない名前への毒入れ Android DNS Poisoning - Randomness gone bad (CVE ) Android 以前は毒入れが容易攻撃手法は Android に関係なく衝撃的存在しない名前への毒入れが危険だとは! Mueler の面倒な手法は不要! Cookie への攻撃貴方の Session 大丈夫? IE は特に危険

16 DNS リフレクション攻撃もっとも容易なサイバーテロ手法オープンリゾルバを解消しましょう毒入れ等にも脆弱最近は家庭用ルータを踏み台にした DNS 水責め攻撃も DNSSEC は応答が大きく良い踏み台

20 DNS 水責め攻撃 2014 年 8 月 2 日読売新聞要約家庭用ルーターを悪用する新たなサイバー攻撃が今春以降多発少なくとも 480 万世帯が通信障害悪用される弱点を持つルーターなどは国内に約 54 万台うち 9 割は家庭用総務省は今年 4 月プロバイダーが通信を遮断しても電気通信事業法に違反しないとする見解サイバー攻撃に詳しい中京大の鈴木常彦教授は攻撃者が弱点のあるルーターを一斉に攻撃すると日本中のネットをダウンさせることも可能だ深刻な脅威でほかの利用者に迷惑をかける恐れがあり利用者は早急に更新すべきだと指摘している

22 Lame Delegation 乗っ取り VISA 事件 (2005.5) $ date ; dnsq ns visa.co.jp a.dns.jp Thu May 19 04:35:38 JST visa.co.jp: 99 bytes, records, response, noerror query: 2 visa.co.jp authority: visa.co.jp NS ccdnsi01.singtel-expan.com authority: visa.co.jp NS escdns01.e-ontap.com

23 Lame Delegation 乗っ取り VISA 事件 (2005.5) $ date ; dnsq ns visa.co.jp a.dns.jp Thu May 19 04:35:38 JST visa.co.jp: 99 bytes, records, response, noerror query: 2 visa.co.jp authority: visa.co.jp NS ccdnsi01.singtel-expan.com authority: visa.co.jp NS escdns01.e-ontap.com

Lame Delegation 乗っ取り VISA 事件 (2005.5) $ date ; dnsq ns visa.co.jp a.dns.jp Thu May 19 04:35:38 JST 2005 2 visa.co.jp: 99 bytes, 1+0+2+0 records, response, noerror query: 2 visa.

24 Lame Delegation 乗っ取り VISA 事件 (2005.5) $ date ; dnsq ns visa.co.jp a.dns.jp Thu May 19 04:35:38 JST visa.co.jp: 99 bytes, records, response, noerror query: 2 visa.co.jp authority: visa.co.jp NS ccdnsi01.singtel-expan.com authority: visa.co.jp NS escdns01.e-ontap.com!

25 Lame Delegation 乗っ取り実は Singapore Exchange Ltd.(sgx.com) も ( シンガポール国際金融取引所 ) simex.com.sg IN NS escdns01.e-ontap.com. simex.com.sg IN NS escdns02.e-ontap.com.... till

26 DNS Rebinding 攻撃 Anti DNS Pinning ともいうブラウザ内で動作するアプリ (Flash,Java,JavaScript,etc.) はダウンロード元のサーバとしか通信禁止小細工で DNS を引き直させ (anti DNS pinning) ダウンロード元の A レコードを攻撃先に差し替える (DNS rebinding)

27 DNS Rebinding 攻撃対策ブラウザでの対策は困難 ( 対策すると負荷分散に影響 ) ファイアウォール内でも認証すべし DNS キャッシュサーバで対策 Unbound の private-address

28 ここで突然ですが

29 浸透いうな

30 浸透いうな

31 浸透いうな

32 浸透いうな

33 浸透いうな浸透遅い浸透をお待ちください DNS が理解されていない象徴そもそも DNS のレコード変更を世界全体に伝える ( 浸透させる?) 仕組はない TTL が理解されていない? ( 特にネガティブキャッシュ ) 古いキャッシュの TTL がリセットされる現象も古い権威サーバの古いデータが原因 BIND で対策された ( はずだった )

34 幽霊ドメイン名脆弱性 2012,2.7 ISC Security Advisory Ghost Domain Names: Revoked Yet Still Resolvable (CVE ) Severity: High NDSS 2012 Ghost Domain Names: Revoked Yet Still Resolvable, 清華大学 Haixin Duan( 段海新 ) 他

35 危険な共用 DNS サーバサービス運用上の問題に起因するドメイン名ハイジャックの危険性について株式会社日本レジストリサービス (JPRS)2012/06/22(Fri) こういうゾーンがあるサーバに example.jp. IN NS bogus.example.ad.jp. IN A こんなゾーンを他人に作られると怖い IN NS bogus.example.ad.jp. IN A

36 危険な共用 DNS サーバフルリゾルバルートサーバ JP サーバサーバ EXAMPLE.JP ゾーン IN A ゾーン IN A

37 危険な共用 DNS サーバドメイン名の所有者確認が甘い脅威サブドメイン名乗っ取りクッキーの改ざんも Lame Delegation 乗っ取り兼用キャッシュへの毒入れ ( まさか )

38 危険な共用 DNS サーバ当社 DNS に関するお知らせ 2012 年 06 月 29 日お客様各位さくらインターネット株式会社当社会員 ID に紐づいて管理されているドメインの場合その所有者以外はネームサーバへ登録できない登録しようとしているドメインの親ドメインが別の会員 ID のお客様によって登録されている場合は登録が出来ない登録しようとしているドメインの子ドメインが別の会員 ID のお客様によって登録されている場合は登録が出来ない登録しようとしているドメインの親ドメインが当社ネームサーバに委譲されている場合には登録出来ない登録しようとしているドメインが当社ネームサーバと他のネームサーバの両方に委譲されている場合には登録出来ない ( いわゆるセカンダリ設定がされている場合 ) 穴は? 所有確認状態変化のチェックがまだ甘い

39 まさかの兼用サーバ権威 / キャッシュ DNS サーバーの兼用による DNS ポイズニングの危険性について株式会社日本レジストリサービス (JPRS) 2012/07/04(Wed) risk-of-auth-andrecurse.html

40 まさかの兼用サーバルートサーバ問い合わせに答えるのはどちら? キャッシュサーバコンテンツサーバ!!!!! GOOGLE.COM ゾーン IN A COM サーバ GOOGLE.COM ゾーン IN A

41 まさかは実際した.com FAQ DNS 関連サービス / システムにおける危険性への緊急対策について [2012 年 7 月 3 日 ]! JPRS < DNS DNS DNS

42 ガバナンス不在利用者に隠され続ける脆弱性広がり続ける原野商法 ( 新 gtld) いいかげんな TLD レジストリたちグルーレコードが間違っていたり NS がキャッシュサーバだったり消えた DEC.COM を指していたり強引な DNSSEC 導入 ( 逆引きとか ) etc,etc,...

43 % dig ns +norec! ;; AUTHORITY SECTION: org IN NS d0.org.afilias-nst.org. org IN NS b2.org.afilias-nst.org. org IN NS b0.org.afilias-nst.org. org IN NS c0.org.afilias-nst.info. org IN NS a2.org.afilias-nst.info. org IN NS a0.org.afilias-nst.info.! % dig ns ;; AUTHORITY SECTION: netbsd.org IN NS uucp-gw-2.pa.dec.com. netbsd.org IN NS adns2.berkeley.edu. netbsd.org IN NS uucp-gw-1.pa.dec.com. netbsd.org.! IN NS adns1.berkeley.edu. % dig ns netbsd.org! ;; ANSWER SECTION: netbsd.org IN NS adns2.berkeley.edu. netbsd.org IN NS ns.netbsd.de. netbsd.org IN NS adns1.berkeley.edu.

44 パブコメ募集中ドメイン名政策委員会報告書 ( 案 ) に対する意見の募集 ( 平成 26 年 11 月 6 日 ( 木 ) 午後 5 時まで )

45 毒入れまとめリフレクション攻撃 (DDoS) 水責め攻撃 Lame delegation ( 乗っ取り等 ) Rebinding 攻撃浸透いうな幽霊ドメイン名脆弱性共用 DNS ( 毒入れ乗っ取り等 ) ガバナンス不在共用サーバ lame delegation オープンリゾルバ固定ポートは危険 DNS は崩れた砂の城 -> インターノットは砂上の楼閣

poisoning_ipsj

poisoning_ipsj DNS! http://www.e-ontap.com/dns/ipsj-tokai2.html!!! 2014.11.04 /! ! 2/15 qmail.jp JPRS! 2/28 JP JPRS! 3/1 JPRS JP ( )! 3/16 JPRS JP DNSSEC TXT ( )! 4/1 JPRS! 4/15 JPRS ( )! 4/15 DNS? 2008 Blackhat Kaminsky!