1. DNS/幽霊ドメイン名

Contents

リゾルバーに存在した脆弱性のひとつ。きちんと対応されたとは言えない状態だ。

世間での理解は進んでいないように見える。

1.1. 幽霊ドメイン名脆弱性

名前解決が失敗しなければならないドメイン名を解決可能つまり使用可能に保つ悪用法

ISCなどはDNSプロトコルの問題だと説明にならない主張をしている。

unbound 1.4.8 以降の対策ずみキャッシュに入れ替える。
対策済みの BIND 9.9.0 などに更新する。
次のBINDリリースを待つ。それまでは、キャッシュを定期的にクリアする。（最低でも一日に一回）
- BIND であれば、キャッシュのTTL最大値を2時間程度に制限することも併用すべきだ。

OpenDNSなど、GDN論文で脆弱だと指摘された公開キャッシュサーバにいまも脆弱性があるかを調べる。

DNS/ghost1, DNS/ghost2
脆弱性の兆候はないが、一部返答がおかしいものを見かけた。-- ToshinoriMaeno 2012-03-23 22:41:32

ISC BIND ではNS TTLを制約するようにbug fix したとの話はあるが、
Ghost Domain Names 脆弱性を修正したとは言っていない。
それが伝言ゲームで「幽霊ドメイン名脆弱性が修正された」と化けている。要注意。（再警告）

MoinQ: DNS/脆弱性/幽霊ドメイン名 (last edited 2020-10-26 07:53:45 by ToshinoriMaeno)