DNSホスティング事業者のお悩み相談
NTTコミュニケーションズ株式会社
先端IPアーキテクチャセンタ
⾼高⽥田  美紀
2013/7/18  DNS  Summer  Days  2013

Copyright © NTT Communications Corporation. All right reserved.

いきなりですが。。
n DNSホスティング事業者の⽅方、挙⼿手お願いします!
• こわがらなくて⼤大丈夫ですよCopyright © NTT Communications Corporation. All right reserved.

2

前置きn DNSホスティングって、意外と危険がいっぱい• わかっちゃいるけど。。という⼈人も多いのではn ディスカッション形式• スライドにないものでもokn プロトコル• 内緒の話は「ここだけの話」と前置きしてね• 聞いてる⼈人は、ここを出たら忘れてね

Copyright © NTT Communications Corporation. All right reserved.

3

契約の流流れ顧客業者

n 契約したいんだけどn ドメインと⽀支払い情報頂戴n example.jp、ほげcardだよn ⽀支払い情報確認n ドメインの存在確認n ドメインの所有者確認

n .jp  のDNSにhogeとfugaを登録してもらうn コンパネにログイン、ゾーン編集

n DNSはhogeとfugaです。上位DNSに登録してもらってねn コンパネのID/パスはこれ

Copyright © NTT Communications Corporation. All right reserved.

4

ドメインの存在確認n そのドメイン、ほんとに存在するもの?
• example.jp,  example.com...
• sonna-‐‑‒domain-‐‑‒arimasen-‐‑‒yo.jp...
n なんでチェックしなくちゃいけないの?
• 所有者確認のため• 今、誰も使ってないドメインでも、明⽇日誰かが取るかもn どうやってチェックしてますか??
• そもそもチェックしてますか??
n whois• TLDによる問い合わせ結果の違い的問題• 新gTLDへの対応ü example.eco,  example.shop...

n Public  Suﬃx  List
• 管理理的問題が。。
Copyright © NTT Communications Corporation. All right reserved.

5

Public  Suﬃx  Listn Public  Suﬃx
• 直下にユーザが名前を登録できるドメイン• .com  .org  co.jp  など
n Public  Suﬃx  List
• Mozilla  Foundationが管理理しているü

http://mxr.mozilla.org/mozilla-‐‑‒central/source/netwerk/dns/eﬀective_̲tld_̲names.dat?raw=1• Public  Suﬃx  Listと  その問題点
ü

http://dnsops.jp/bof/20080709/dnsops-‐‑‒jp-‐‑‒20080709.pdf• 利利⽤用APIü http://www.dkim-‐‑‒reputation.org/regdom-‐‑‒libs/

Copyright © NTT Communications Corporation. All right reserved.

6

所有者確認n そのドメイン、ほんとにあなた(顧客)のものですか?
n なんでチェックしなくちゃいけないの?
• ドメインハイジャック防⽌止のためn ちょっとおさらいしてみましょう

Copyright © NTT Communications Corporation. All right reserved.

7

delegationn 正しいdelegationとは?
• 基本は「親のNSレコード」と「⼦子のNSレコード」が合致• 間を⾶飛ばしていないこと• 全てのNSがきちんと応答すること
n 正しい例例• jp  DNSでのjp  zoneü example.jp.  NS  ns.example.jp.

• ns.example.jp.  での  example.jp.  zoneü @  NS  ns.example.jp.
ü ns  A  192.0.2.1
ü sub  NS  ns.sub.example.jp.

• ns.sub.example.jp.  での  sub.example.jp.  zoneü @  NS  ns.sub.example.jp.
ü ns  A  192.0.2.2

Copyright © NTT Communications Corporation. All right reserved.

8

delegation:  正しくない例例n 間を⾶飛ばしている例例• jp  DNSでのjp  zoneü example.jp.  NS  ns.example.jp.

• ns.example.jp.  での  example.jp.  zoneü @  NS  ns.example.jp.
ü ns  A    192.0.2.1
ü sub  NS  ns.example.jp.  ←この⾏行行がない例例• ns.example.jp.  での  sub.example.jp.  zoneü @  NS  ns.example.jp.  または
ü @  NS  ns.sub.example.jp.
ü ns  A    192.0.2.1• ⾃自分から⾃自分への委任であっても、delegationは必要n でも、なくても動いちゃうんだな。これが。

Copyright © NTT Communications Corporation. All right reserved.

9

delegation:  正しくない例例n lame的な事例例• jp  DNSでのjp  zoneü example.jp.  NS  ns1.example.jp.
ü example.jp.  NS  secondary.dns-‐‑‒hosting-‐‑‒jigyousha.jp.

• ns1.example.jp.  での  example.jp.  zoneü @  NS  ns1.example.jp.
ü @  NS  secondary.dns-‐‑‒hosting-‐‑‒jigyousha.jp.
ü ns1  A  192.0.2.1• どちらか/両⽅方のNSへの到達性がない• or  example.jp.  zone  がない

Copyright © NTT Communications Corporation. All right reserved.

10ハイジャックの⼀一例例
ハイジャッカー業者n (example.jpはdns-‐‑‒hosting-‐‑‒jigyoushaでlameになってるぽい。乗っ取れるかな)n 契約したいんだけどn ドメインと⽀支払い情報頂戴n ⽀支払い情報確認n ドメインの存在確認n ドメインの所有者確認
n DNSはhogeとfugaです。上位DNSに登録してもらってねn コンパネのID/パスはこれn example.jp、ほげcardだよn .jp  のDNSにhogeとfugaを登録してもらうn コンパネにログイン、ゾーン
編集n ハイジャック成功!
Copyright © NTT Communications Corporation. All right reserved.

11

ドメイン名ハイジャックn 委任先の権威DNSサーバに、そのゾーンを第三者が作成できたら?
• ゾーン全体をハイジャックできる• 委任先情報の削除ミスü セカンダリ解約時ü ISP解約時、など
ü レジストラント側の問題でもある• 正当なレジストラントかどうかの確認を怠った
ü DNSホスティング事業者側の問題

n 任意のゾーンの権威DNSサーバに、そのゾーンのサブドメインを第三者が作成できたら?
• cookieの漏漏洩など• 正当なレジストラントかどうかの確認を怠った
ü DNSホスティング事業者側の問題

Copyright © NTT Communications Corporation. All right reserved.

12正当なレジストラントかどうか?
n そのゾーンを持っている⼈人かどうか、確かめるn ドメインサービスの契約者向けのDNSホスティング• 契約者情報を電⼦子的にマッチングn 他ドメインサービスの契約者向け• whois等の情報とのマッチングだけでは無理理ü ⼈人⼿手では欺かれる可能性がある

n 電⼦子的に確認する⽅方法
n 例例:  委任情報を操作できるかどうか• 上位ゾーンからの委任NSレコードに、任意の⽂文字列列を設定してもらう• example.jp.  NS  nin-‐‑‒i-‐‑‒no-‐‑‒mojiretsu.ns.example.jp.  とか• それを確認でき次第、deployする

Copyright © NTT Communications Corporation. All right reserved.

13

電⼦子的に確認する⽅方法n 委任情報を操作できるかどうか• 上位ゾーンからの委任NSレコードに、任意の⽂文字列列を設定してもらう• example.jp.  NS  shitei-‐‑‒mojiretsu.ns.example.jp.  とか• それを確認でき次第、登録する
n 委任のない権威DNSに割り振る• 権威DNSサーバ(のIPアドレス)を複数⽤用意しておく• 契約時、委任されているかチェック• 委任されていないIPアドレスの権威DNSを払い出す• R53⽅方式

Copyright © NTT Communications Corporation. All right reserved.

14

zone  cutn zone  cut
• A.  ns.example.jp.  の  example.jp.  zoneü sub  NS  ns.subüns.sub.example.jp.  の  sub.example.jp.  zoneüwww  A  192.0.2.1• B.  ns.example.jp.  の  example.jp.  zone
ü www.sub  A  192.0.2.1• Aのようにzoneを分けることを「zone  cut」というCopyright © NTT Communications Corporation. All right reserved.

15

サブドメインのハイジャック防⽌止n zone  cutしない• 契約はPublic  Suﬃxの直下のみ• サブドメインでもzone  cutしない• 例例:  hoge.co.jp,  fuga.jp,  hogefuga.com  など

ü ×:  hoge.hoge.co.jp,  hoge.fuga.jp,  sub.hogefuga.com  など

n 親ゾーンと⼦子ゾーンを同じDNSに存在しないようにする• R53⽅方式• 契約時の委任チェック

Copyright © NTT Communications Corporation. All right reserved.

16解約の流流れ顧客業者

n 解約したいんだけどn ⽀支払い状況の確認
n 上位DNSのhogeとfugaの登録を解除してもらってねn .jp  のDNSへ登録したhogeとfugaを削除
n コンパネにてゾーンを削除

Copyright © NTT Communications Corporation. All right reserved.

n コンパネのログインIDを
inactivaten ゾーンが削除されていない場合は削除

17

上位からのdelegation削除チェックn 上位から⾃自権威DNSサーバへのdelegationが削除されたか?
n なんでチェックしなくちゃいけないの?
• ドメインハイジャック防⽌止のため
n 解約してゾーンがないのに「たまたま」delegationされている、という状況の危険さ• ドメインの所有者確認を「きちんと」やっていれば防げる、かもしれませんが...

Copyright © NTT Communications Corporation. All right reserved.

18

キャッシュと権威の分離離n 昔、聞いた話ですが。。
• 権威DNSをキャッシュとして提供• 「浸透」問題への対応ü ゾーンを編集したら「すぐ」反映
ü NCACHEも関係ないねー!

• その権威DNSに任意のゾーンを追加できたりすると?
• ドメインの所有者確認を「きちんと」やってない場合。。
ü ハイジャックの危険

Copyright © NTT Communications Corporation. All right reserved.

19

Q&An ご清聴ありがとうございました。

Copyright © NTT Communications Corporation. All right reserved.

20