## page was renamed from DNS/共用ゾーンサービス/さくら/脆弱性 ## page was renamed from DNS/ゾーンサービス/さくら/脆弱性 ## page was renamed from DNS/サービス＿さくら/脆弱性 = DNS/サービス＿さくら/脆弱性 = 一般公開 -- ToshinoriMaeno <> <> 現在のさくらDNSサービスには不十分な登録制限はあるものの、 {{{ 原則として「誰でもなんでも登録」できる。 }}} こういう共用のDNSサービスを安全に使うのは非常に大変です。 「通常のDNS運用とは違った留意点」があるのに、注意を怠ったあるいは気づかなかった。 さくらには何度も警告したが、理解されなかった。修正しようとして、大穴をあけた。(6月初め) さくらも危険性を承知しているようだ。「将来は所有確認する」と言っている(「お知らせ6/29」)が、 9月1日現在でも検討するとしか言っていない。 登録時に所有確認するだけでは十分ではない。(定期的に確認することが重要) -- ToshinoriMaeno <> == 存在していた脆弱性 == 確認出来ただけでも、以下の問題がある。(解消されているかどうかは不明) * スーパードメイン登録 (先祖) [2012-04-04 田中さんに連絡; 当初は軽微かと思ったが、のちに中程度と判明] * サブドメイン登録 (子孫) [2012-06-1x 徳丸さん経由でさくらに連絡;重大な脆弱性] http://blog.tokumaru.org/2012/06/sakura-dns-subdomain-hijacking.html * 兄弟ドメイン登録 (JPなどの直下のドメインを除く) [2012-07-xx 確認、鈴木常彦さん経由で報告] いずれもcookie漏洩などを起こす可能性があるという危険なもの。(徳丸さんの日記に影響の解説がある) JPRSからの注意喚起(6/22付け)はここでの脆弱性について触れている。 これら以外にさくらが直接の責任を負うべきものとは言えないが、以前から分かっているもの。 [JPなどの]上位サーバにさくらのDNSを権威サーバとして登録しているにもかかわらず、ゾーンが作られていないものがある。 空家とでも呼ぶべき状態のものも多数ある。(有名ドメインだと、フィッシングに使われる可能性が大きい) DNS Summer Days 2012 2日目 の田中氏の講演のtsudari を見る限り、記録者には正確な情報が伝わっていない。 説明が不整合であったか、誤魔化す意図があったかは今はわからない。 (ミスにしろ)脆弱性がいつどのように入ったかは正確に伝えていない。 キャッシュサーバ兼用にしたことが影響しているかのように記録されているが、 http://twitter.com/goto_ipv6/status/241708477569974275 さくらの権威サーバがキャッシュを兼用していたことはない。(2012-04 ~ ) -- ToshinoriMaeno <> [[DNS/サービス_さくら/脆弱性/経緯]] == お知らせのまとめ == さくらから[[../お知らせ]] が出てたので対策されたという脆弱性をまとめてみる。 * サブドメインハイジャック脆弱性　(非常に危険） * スーパードメインハイジャック脆弱性（落とし穴攻撃部分） * セカンダリサーバ乗取り　（非常に危険） * 放置されたドメイン？ (ドメインの有名度によるが危険) これらが本当に「対策されたか」(実装が正しいか)は疑問である。 「お知らせ」にある対策は登録制限（5項目）だ。これでは十分ではない。 これらを言葉通りに解釈したときに、「登録できないはずのもの」を登録できることを確認している。 一部は実装の間違いだったらしく、修正されたが、特に公表されていない。 所有確認を予定しているとのことだが、いつになるかは公表されていない。 9月初め現在も未実装(DNS Summer Days での講演を見る限り、空手形になりそうだ。) == 残っていると思われる脆弱性 == ドメイン乗取りが可能なケースは（実質）危険性がないという判断らしく、対策されていない。 　ドメインが所有者でないものに使われるのは危険だと思うが、運用中ではないという理由のようだ。 兄弟ドメインを登録できるという脆弱性 postdns.net を使って確認した。(tssさんに感謝) -- ToshinoriMaeno <> == 指摘したつもりの問題点 == [[DNS/サービス＿さくら]]より(3. さくらDNSの問題) * ドメイン所有の検査をしていない。（DNSサービスはどこも似たような話という説も聞くが、本当か） レジストラのおまけのDNSサーバは取得したドメインしか登録できないものが多いようだ。 * ドメインとサブドメインをおなじサーバでDNSサービスしている。 委譲されていないのに、サブドメインが見えてしまう。(BINDサーバなどでもあるらしい） 前野はこれはサーバの実装不良だと考えている。 * ドメインが登録されているときに、その登録者と異なる人がサブドメインを登録できるという不良(脆弱性） 6月８日に混入したとの説明。（これ以前にあったかどうかは不明） * ドメインが登録されていないときに、あらかじめサブドメインを登録しておくことで、落とし穴を作れる。 ドメイン登録時にエラーにするという仕様だという説明があったが、実装はそうではなかった。 4月中旬に発見して報告したが、６月初めまで対策されなかった。 情報公開が不十分、どこかにドキュメントがあってもわかりづらい。隠そうとしているのかと思ってしまう。 -- ToshinoriMaeno <> <>