DNS と blocking anti-blocking 要素技術 ( みえてしまう要素技術 ) 藤原和典株式会社日本レジストリサービス (JPRS) Internet Week 2018, DNS Day 2018 年 11 月 29 日 Copyrigh

自己紹介氏名 : 藤原和典勤務先 : 株式会社日本レジストリサービス (JPRS) 業務内容 :DNS 関連の研究開発 RFC 5483 6116 (2004~2011):ENUMプロトコル RFC 5504 5825 6856 6857(2005~2013): メールアドレスの国際化 RFC 7719: DNS Terminology terminology-bis RFC 8198: DNSSECを用いた名前解決の性能向上 Internet Week 2018 プログラム委員個人ページ : http://member.wide.ad.jp/~fujiwara/ Copyright 2018 Japan Registry Services Co., Ltd. 2

普段の生活環境 ( 自宅 ) フレッツネクスト + ISP 契約 ( 固定アドレス, 半固定アドレス ) 自宅内になんでもサーバ : フルサービスリゾルバ自宅内の名前解決には自前のフルサービスリゾルバ使用ところで DNS Blocking は ISP で行われているあれ? Blocking を回避している? ( 無意識の回避?) Copyright 2018 Japan Registry Services Co., Ltd. 3

普段の生活環境 ( 出張時外出時 ) 海外出張時でも日本国内限定サービスを使いたい動画配信系全般, D 社のゲーム手元のネットワークが信用できない公衆 WiFi, 会議場 WiFi では第三者がパケットキャプチャする NANOG ミーティングでは平文の通信なんか使うなということで平文 telnet のパスワードを公開していた某国の金盾回避策 : 日本まで VPN, SSH, リモートデスクトップ (rdp) 筆者の対策 : 自宅まで ssh, http* over ssh, rdp over ssh IP アドレス限定対策と盗聴対策のつもりが anti-blocking? Copyright 2018 Japan Registry Services Co., Ltd. 4

対象とする DNS Blocking ISP が利用者に提供しているフルサービスリゾルバで実施している特定のドメイン名を問い合わせると別のサイトに誘導するサービス安心ネットづくり促進協議会のブロッキングの仕組み https://www.good-net.jp/blocking/mechanism/ 金盾のような中間者攻撃は対象としないユーザがどこに問い合わせても特定の名前には変な応答が戻るルートサーバへの問い合わせにも変な応答が戻る対策は安全な国へのVPN/ssh (tunneling) Copyright 2018 Japan Registry Services Co., Ltd. 5

Anti-DNS blocking のためには DNS Blocking している ISP のフルサービスリゾルバ (DNS サーバ ) を使わなければよい IP アドレスでのアクセス : http://192.0.2.1/files/illegalpic001.jpg (Web サーバが名前ベースのバーチャルホストしていたらアクセスできない ) hosts ファイルへの追加 /etc/hosts, C: Windows System32 drivers etc hosts など IP アドレスホスト名例 : 192.0.2.1 www.example.com 別のフルサービスリゾルバ (DNS サーバ ) の使用 Public resolver (DNS) service: 8.8.8.8 9.9.9.9 1.1.1.1 など自前でフルサービスリゾルバを動作 : 企業や自宅のサーバ別の通信手段の使用 : Tor, HTTP Proxy, VPN Copyright 2018 Japan Registry Services Co., Ltd. 6

(Anti-blocking に使える ) DNS プライバシーを守る要素技術 DNS over TLS (DoT) 端末からフルサービスリゾルバの通信を TLS で保護 DNS over HTTPS (DoH) 端末からフルサービスリゾルバの通信を HTTPS で保護 IETF で標準化中の方式独自方式 DNS over HTTPS なら通常の Web の通信と区別できないので DNS over TLS よりも区別しづらくブロックされにくい Copyright 2018 Japan Registry Services Co., Ltd. 7

プライバシーの懸念 Full-service Resolver 取れるデータフルリゾルバの IP アドレス時刻クエリ名クエリタイプある組織 /ISP のユーザがいつなにを見ようとしたかがわかるキャッシュにより取れるデータは限られるクエリログクエリ情報収集 (1) タッピングタッピング (4) (2) (3) 取れるデータクライアントのIPアドレス時刻クエリ名クエリタイプだれ (IPアドレス) がいつなにを見ようとしたかがわかる (0)enter http://www.example.jp/ into browser Root クエリログクエリ情報収集例 : 以下のような名前が漏れている _bittrrent-tracker._tcp.example.jp SRV _kerberos._tcp.dc._msdcs.xx.example.jp SRV jp クエリログクエリ情報収集 example.jp TLD (Top Level Domain) net Organization Root com isoc.jp 例 : 以下のような名前が漏れている時刻 192.0.2.2 www.nic.ad.jp AAAA 時刻 198.51.100.3 www.google.com A 時刻 203.0.113.4 _443._tcp.interop.jp TLSA Authoritative DNS servers Copyright 2018 Japan Registry Services Co., Ltd. 8

DNS over TLS (DoT) RFC 7858 (DNS over TLS) 2016/5/17 発行 DNS クエリを TCP で行いさらに Transport Layer Security(TLS) で暗号化 TCP port 853 を使用 Unbound や getdns api で使用可能 RFC 8094: DNS over DTLS Datagram Transport Layer Security UDP port 853 フルサービスリゾルバ port 853/TCP/TLS 標準化完了実装あり 1 8 Unbound getdns api スタブリゾルバ暗号化の検討 Root example.jp ルート階層 TLD NET COM 組織の階層権威 DNSサーバ Copyright 2018 Japan Registry Services Co., Ltd. 9 2 3 4 5 6 7 JP nic.ad.jp

DNS over HTTPS (DoH) RFC 8484 DNS Queries over HTTPS (DoH) DNS ワイヤフォーマットのデータを HTTPS で通信 GET では base64 エンコード POST では binary のまま :method = GET :scheme = https :authority = dnsserver.example.net :path = /dnsquery?dns=aaabaaabaaaaaaaaa3 d3dwdlegftcgxla2nvbqaaaqab accept = application/dns-message 独自方式ある URL にアクセスすると名前解決結果が ( 独自 JSON で ) 得られる https://dns.google.com/resolve? name=internetweek.jp {"Status": 0,"TC": false,"rd": true,"ra": true,"ad": true,"cd": false,"question":[ {"name": "internetweek.jp.","type": 1}],"Answer":[ {"name": "internetweek.jp.","type": 1,"TTL": 286,"data": "192.41.192.146"}]} Copyright 2018 Japan Registry Services Co., Ltd. 10

Windows10 コントロールパネルネットワークとインターネットネットワーク接続使っているネットワークインターフェースのプロパティを開くインターネットプロトコルバージョン 4 のプロパティを開く IP アドレスの設定を変更しない IP アドレスを自動的に取得するのまま変更しない次の DNS サーバのアドレスを使うを指定 8.8.8.8, 9.9.9.9, 1.1.1.1 など使いたいものを指定するインターネットプロトコルバージョン 6 も同様に変更する Public DNS などの IPv6 アドレスを指定 Copyright 2018 Japan Registry Services Co., Ltd. 12

Android DNS 設定だけ変更して VPN を張らないという VPN アプリ DNS スイッチ, DNS Changer など多数フルサービスリゾルバを変更 1.1.1.1: Faster & Safer Internet (Cloudflare) フルサービスリゾルバを Cloudflare DNS (1.1.1.1 など ) に変更 Intra (Jigsaw Operations LLC) 名前解決に DNS over HTTPS を使用させる Google, Cloudflare またはそれ以外の DoH サービスを指定できるソースコードも公開 : https://github.com/jigsaw-code/intra Android 9.0 は DNS over TLS 対応とのことプライベート DNS という項目でホスト名で指定するそうです Copyright 2018 Japan Registry Services Co., Ltd. 14

Firefox https://wiki.mozilla.org/trusted_recursive_resolver URL 欄に about:config と入力し動作保証外となる設定変更を行う network.trr.mode を検索して 3 にする network.trr.uri を検索して DNS over HTTPS サーバを指定ネットワーク設定の接続設定 DNS over HTTPS を有効にする (B) URL(U): [https://mozilla.cloudflare-dns.com/dns-query] Copyright 2018 Japan Registry Services Co., Ltd. 16

anti-blocking 技術の懸念点第三者が運用するリゾルバサービス (Public DNS service) いつ ( 時刻 ) だれ (IP アドレス ) がなに ( クエリ名クエリタイプなど ) を見ようとしたかを事業者に知られるプライバシーポリシーを信用するかどうか ( 信じる者は救われる?) 有名なので狙われることもある ( トルコでの 8.8.8.8 ハイジャック ) Tor: 仕組みを理解してから使うこと VPN: VPN 先が安全か? Blockingしていないか? HTTP Proxy: 仕組みを理解して自分で動かして使うこと第三者が提供する Proxy の場合は情報を取られることに留意 Copyright 2018 Japan Registry Services Co., Ltd. 17

DNS と blocking anti-blocking 要素技術 ( みえてしまう要素技術 ) 藤原和典 株式会社日本レジストリサービス (JPRS) Internet Week 2018, DNS Day 2018 年 11 月 29 日 Copyrigh

DNS と blocking anti-blocking 要素技術 ( みえてしまう要素技術 ) 藤原和典株式会社日本レジストリサービス (JPRS) Internet Week 2018, DNS Day 2018 年 11 月 29 日 Copyrigh