1. kresd/akamai

Knot resolverのqname minimisationがakamai下の名前をどう探索するか。

• そして、Mueller手法によるNS毒にどう対抗すべきか、考える。

探索例：www.apple.com.edgekey.net.globalredir.akadns.net

2. net, akadns.net ゾーン

これらはよく参照されるので、zone cutとして既知であるとする。

3. globalredir NS query

CNAME返答が返るのでzone cutではない。

• QUERY_NO_MINIMIZATIONがonになって、

akadns.net NSに www.apple.com.edgekey.net.globalredir.akadns.net A を問い合わせる。

• 正規の返事はCNAMEであり、次はそのCNAMEの名前解決に進む。

4. 毒盛攻撃

akadns.net NSからの返答を装い、以下の名前に現れる任意のノードに毒を入れられそうだ。

• www.apple.com.edgekey.net.globalredir[.akadns.net]

5. 対策

minimization offでdelegation返答が返ったときには、

• NS返答のラベル（ターゲットではないとして）に対して、
  • minimization on の状態に戻って、探索を再開するのがより安全である。

これなら、対応する修正も簡単だし、探索の手間も少ないだろう。

-- ToshinoriMaeno 2017-06-07 00:33:26