重複で、手を取り合って、垣根を越えて- JPRSが発信する技術情報の概要とその心 –～ランチのおともにDNS～
2015年11月19日
Internet Week 2015 ランチセミナー
株式会社日本レジストリサービス（JPRS）
森下 泰宏・平林 有理
Copyright © 2015 株式会社日本レジストリサービス

1講師自己紹介• 森下 泰宏（もりした やすひろ）– 日本レジストリサービス（JPRS） 広報宣伝室– 主な業務内容：技術広報担当として、ドメイン名・DNSに関する技術情報の広報全般を担当– 一言：五十にして天命を・・・果たして知ったのか?

• 平林 有理（ひらばやし ゆうり）
– 日本レジストリサービス（JPRS） システム部– 主な業務内容：レジストリシステム、周辺システムの開発・運用及び、そのネットワークの運用を担当– 一言：森下さんがBINDに出会った年に生まれました
Copyright © 2015 株式会社日本レジストリサービス

2本日の内容1. JPRSが発信している技術情報の概要
2. 最近発信した注意喚起の振り返り
3. 注意喚起を読む（対応する）際に注目してほしいポイント
4. 今後の課題と展望「手を取り合って、垣根を越えて」いくために必要なこと
前半二つを平林が、後半二つを森下が担当します
Copyright © 2015 株式会社日本レジストリサービス

31. JPRSが発信している技術情報の概要

Copyright © 2015 株式会社日本レジストリサービス

4このパートの内容• JPRSが発信している技術情報の概要– どんなものがあるか（種類）– 誰にどんなことを伝えようとしているか（目的・対象）– 発信の形態・最近の状況

Copyright © 2015 株式会社日本レジストリサービス

5

JPRSが発信している技術情報の種類• 注意喚起– 脆弱性情報に関する注意喚起– 脆弱性情報以外の注意喚起• お知らせ• 設定ガイド• 技術解説• JPRSトピックス＆コラム• 技術動向報告• JPRS技術陣による対外発表
Copyright © 2015 株式会社日本レジストリサービス

技術コミュニティのMLを活用、より速やかな情報共有を図る「重複をお許しください」の対象

6「重複をお許しください」とは（1/2）① JPRSから② 技術コミュニティのメーリングリストに③ マルチポストされるメール注意喚起を公開した旨のメールの書き出し部分– 現在はJANOG MLとDNSOPS.JP MLの二つ

Copyright © 2015 株式会社日本レジストリサービス

7

「重複をお許しください」とは（2/2）

この部分

2015年7月29日のDNSOPS.JP MLへのポスト（※受信メールのイメージ）
Copyright © 2015 株式会社日本レジストリサービス

8

注意喚起
• 目的：情報の周知と対応の促進• 対象：日本のDNSサーバー運用者・利用者• 大きく二つに分類– 脆弱性情報に関する注意喚起– 脆弱性情報以外の注意喚起• DNS関連技術情報 <http://jprs.jp/tech/> で公開
基本的に、「何かしないといけない」ことを知らせたい場合に出される情報
Copyright © 2015 株式会社日本レジストリサービス

9注意喚起（脆弱性情報）• DNSの実装に関する脆弱性情報が中心– BIND、NSD/Unbound、PowerDNS、etc.

• 開発元の脆弱性情報公開を受けた、日本語での情報提供– 開発元の脆弱性情報公開にできる限り追従• 情報公開を把握後、速やかに準備開始– BINDについてはサブスクリプションにより情報を先行入手、一般公開日に合わせて情報公開• BIND Subscription<https://www.isc.org/bind-subscription-2/>
Copyright © 2015 株式会社日本レジストリサービス

10注意喚起（脆弱性情報以外）• 重要なイベントの発生・発生予告を受けて実施– セキュリティインシデントの発生– セキュリティイシューの把握– DNSの運用に影響するイベントの発生• 最近の事例（抜粋）– 共用DNSサービスにおける危険性とその対策（2012年）– キャッシュポイズニング攻撃の危険性増加に伴うDNSサーバーの設定再確認（2014年）– 登録情報の不正書き換えによるドメイン名ハイジャックとその対策（2014年）– ルートサーバーのIPアドレス変更（2013、2014、2015年）
Copyright © 2015 株式会社日本レジストリサービス

11

お知らせ
• DNSの運用全般に関するお知らせ• 目的：情報の伝達・周知• 対象：日本のDNSサーバー運用者・利用者• 最近の事例（JP DNSサーバー関連）– .jpゾーンにおけるKSKロールオーバーの完了（2011年）– JP DNSサーバーに設定されるDNSSEC関連情報の内容一部変更（2011年）– JP DNSサーバーに設定されるDS RRのTTL値の変更（2013年）– DNS.JPゾーンの収容変更（2014年）
Copyright © 2015 株式会社日本レジストリサービス

12

設定ガイド• ある項目を簡単に設定するためのガイド• 目的：脆弱性対応や設定改善への活用• 対象：日本のDNSサーバー運用者・利用者• DNS関連技術情報 <http://jprs.jp/tech/> で公開• 最近の事例– オープンリゾルバー機能を停止するには【BIND編】（2013年）– キャッシュポイズニング攻撃対策（2014年～）• 基本対策編（公開済）• 応用対策編（準備中）
Copyright © 2015 株式会社日本レジストリサービス

13

技術解説
• ある項目に特化した技術解説・翻訳・まとめ• 目的：その項目に関するより深い、体系的な情報提供• 対象：より詳しい内容を知りたい技術者• DNS関連技術情報 <http://jprs.jp/tech/> で公開• 最近公開した技術解説– DNSSEC関連情報（2010年～）– 幽霊ドメイン名脆弱性について（2012年）– DNSリフレクター攻撃について（2013年）– IT専門家のための名前衝突の確認および抑止方法ガイド（2014年）
Copyright © 2015 株式会社日本レジストリサービス

14その他の技術情報発信（1/2）• JPRSトピックス＆コラム– ドメイン名・DNS関連項目をコンパクトに解説したコラム– 紙版・PDF版の双方を配布・公開• 技術動向報告– IETF Meetingなどにおける最新動向– メールマガジン「FROM JPRS」・Webサイトで配信• JPRS技術陣による対外発表– セミナー・イベントでの発表– 関連会議での活動（IETF・DNS-OARC・学会など）– 原稿執筆・インタビューなど
Copyright © 2015 株式会社日本レジストリサービス

15その他の技術情報発信（2/2）

JPRS トピックス&コラム No.22「インターネット標準の作られ方」

セミナー・イベントでの発表（DNS Summer Days 2015）

Copyright © 2015 株式会社日本レジストリサービス

16

2. 最近発信した注意喚起の振り返り

Copyright © 2015 株式会社日本レジストリサービス

17

このパートの内容• JPRSが最近発信した注意喚起の振り返り– 最近1年間でJPRSが発信した脆弱性情報の紹介– そのうち、今年最も話題になった一つを取り上げ、重要な項目がどのように書かれていたかを振り返る

Copyright © 2015 株式会社日本レジストリサービス

18

最近発信した脆弱性情報（2014年12月～2015年11月）
JPRSにおける文書公開・更新日対象となる実装

CVE

2014年12月9日

CVE-2014-8680 BIND

2014年12月9日・12月25日

CVE-2014-8500 BIND
CVE-2014-8602 UnboundCVE-2014-8601 PowerDNS Recursor

2015年2月19日

CVE-2015-1349 BIND

2015年4月27日・5月7日・7月8日

CVE-2015-1868 PowerDNS Authoritative Server
PowerDNS Recursor

2015年7月8日

CVE-2015-4620 BIND

2015年7月29日・7月31日

CVE-2015-5477 BIND

2015年9月3日

CVE-2015-5986 BIND

2015年9月3日

CVE-2015-5722 BIND

2015年9月3日

CVE-2015-5230 PowerDNS Authoritative Server

2015年11月11日

CVE-2015-5311

PowerDNS Authoritative Server

Copyright © 2015 株式会社日本レジストリサービス

19事例：CVE-2015-5477• （緊急）BIND 9.xの脆弱性（DNSサービスの停止）について（2015年7月31日更新）<http://jprs.jp/tech/security/2015-07-29-bind9-vuln-tkey.html>

• 特徴：

①
②
③
④

リモートからのDNS問い合わせ一発でnamedを落とせる
多くのバージョンのBINDが対象となる
権威DNSサーバー・フルリゾルバーの双方が対象となる
namedの設定やオプションでは回避できない

いわゆる「BINDコロリ」と呼ばれるものの一種• PoCが出回り、国内の複数ISPにおいて被害が発生– これによりJPRSの注意喚起を更新（7月29日、7月31日）
Copyright © 2015 株式会社日本レジストリサービス

20注意喚起に含まれるべき五つの項目（詳細はパート3で解説）① 対象となるソフトウェア・バージョン② 不具合の原因③ 危険性④ 対象の範囲⑤ 必要な対策• これらの項目が、注意喚起の概要にどのように書かれていたのか?

Copyright © 2015 株式会社日本レジストリサービス

21注意喚起（概要）
BIND 9.xにおける実装上の不具合により、namedに対する外部からのサービス不能（DoS）攻撃が可能となる脆弱性が、開発元のISCから発表されました。本脆弱性により、提供者が意図しないサービスの停止が発生する可能性があります。
本脆弱性は、BIND 9.1.0以降のすべてのバージョンのBIND 9が対象となり、かつフルリゾルバー（キャッシュDNSサーバー）及び権威DNSサーバーの双方が対象となることから、対象が広範囲にわたっています。該当するBIND 9.xを利用しているユーザーは関連情報の収集やパッチの適用など、適切な対応を速やかに取ることを強く推奨します。
Copyright © 2015 株式会社日本レジストリサービス

22注意喚起（概要）①対象となる
ソフトウェア②不具合の原因

BIND 9.xにおける実装上の不具合により、namedに対する外部からのサービス不能（DoS）攻撃が可能となる脆弱性が、開発元のISCから発表されました。本脆弱性により、提供者が意図しないサービスの停止が発生する可能性があります。
③危険性

本脆弱性は、BIND 9.1.0以降のすべてのバージョンのBIND 9が対象となり、かつフルリゾルバー（キャッシュDNSサーバー）及び権威DNSサーバーの双方が対象となることから、対象が広範囲に④対象の範囲わたっています。該当するBIND 9.xを利用しているユーザーは関連情報の収集やパッチの適用など、適切な対応を速やかに取ることを強く推奨します。
⑤必要な対策Copyright © 2015 株式会社日本レジストリサービス

23注意喚起（概要：追加部分）（2015年7月29日追加）ISCの公式ブログに、本脆弱性に関する追加情報が掲載されました。こちらには、・設定や利用条件に限定されず、ほぼすべてのBINDが対象となること・ファイアーウォールで問題のパケットをスクリーニングすることは困難、または不可能である可能性が高いこと
・本脆弱性のリバースエンジニアリングが難しくないこと
・既に、リバースエンジニアリングに成功したセキュリティ専門家から、攻撃キットの作成成功を伝えられていることが記述されており、速やかなパッチの適用、または修正済バージョンの入手・更新を呼び掛けています。
（2015年7月31日追加）本脆弱性のPoC（Proof of Concept：実証コード）が既にネット上で公開されており、日本国内のサービスプロバイダーからの被害事例も報告されています。改めて即時の対応を強く推奨します。
Copyright © 2015 株式会社日本レジストリサービス

24注意喚起（概要：追加部分）（2015年7月29日追加）ISCの公式ブログに、本脆弱性に関する追加情報が掲載されました。こちらには、・設定や利用条件に限定されず、ほぼすべてのBINDが対象となること・ファイアーウォールで問題のパケットをスクリーニングすることは困難、または不可能である可能性が高いこと
危険性の上昇・本脆弱性のリバースエンジニアリングが難しくないこと（③の状況変化）・既に、リバースエンジニアリングに成功したセキュリティ専門家から、攻撃キットの作成成功を伝えられていることが記述されており、速やかなパッチの適用、または修正済バージョンの入手・更新を呼び掛けています。
緊急性の上昇（⑤の状況変化）（2015年7月31日追加）本脆弱性のPoC（Proof of Concept：実証コード）が既にネット上で公開されており、日本国内のサービスプロバイダーからの被害事例も報告されています。改めて即時の対応を強く推奨します。
Copyright © 2015 株式会社日本レジストリサービス

25

3. 注意喚起を読む（対応する）際に注目してほしいポイント

Copyright © 2015 株式会社日本レジストリサービス

26

このパートの内容• 注意喚起（脆弱性情報）の構成と内容• 公開された注意喚起を読む（対応する）際に注目してほしいポイント

注意喚起をどのように受け止め、どう行動してほしいのかという、発信者（JPRS）の思いを解説

Copyright © 2015 株式会社日本レジストリサービス

27注意喚起（脆弱性情報）の標準的な文章構成•••

タイトル・初版作成日・最終更新日
概要（注）「本脆弱性の背景」を書かない場合、詳細独立項目としない場合あり– 本脆弱性の背景（オプション）– 本脆弱性の概要（注）– 対象となるバージョン– 影響範囲••••••一時的な回避策（影響軽減策）
解決策
JP DNSサーバーにおける対応状況（オプション）
参考リンク
連絡先
経験の蓄積により、徐々に現在の形になっていった
更新履歴
Copyright © 2015 株式会社日本レジストリサービス

28

以降で説明する項目•••

タイトル・初版作成日・最終更新日
概要（注）「本脆弱性の背景」を書かない場合、詳細独立項目としない場合あり– 本脆弱性の背景（オプション）– 本脆弱性の概要（注）– 対象となるバージョン– 影響範囲••••••一時的な回避策（影響軽減策）
解決策
JP DNSサーバーにおける対応状況（オプション）
参考リンク
連絡先
更新履歴
Copyright © 2015 株式会社日本レジストリサービス

29

タイトル・概要• 以下の5項目について、簡潔に記述① 対象となるソフトウェア・バージョン② 不具合の原因③ 危険性④ 対象の範囲⑤ 必要な対策• 発信者の思い（ポイント）– 現場の担当者が概要・影響範囲を把握できる– 現場の担当者が上司（責任者）に見せ、説明できる– 外部に説明する際のリファレンス（参照先）になる
Copyright © 2015 株式会社日本レジストリサービス

30

詳細• 詳しいことを知りたい人向けの情報を記述– 脆弱性の背景、内容、対象バージョン、影響範囲• 「本脆弱性の背景」を記述するかどうか– 特別な機能や新機能など、追加の説明が必要な場合• Dynamic Update、DNSプリフェッチ、TKEY、OPENPGPKEYなど• そういう機能にバグが潜んでいることが多い（特にBIND）• 発信者の思い（ポイント）– 開発元が公開した情報が正確に伝わる– 現場の担当者が技術的に納得し、作業をしやすくなる
Copyright © 2015 株式会社日本レジストリサービス

31一時的な回避策（影響軽減策）• 回避策・影響軽減策の有無・手法を記述• 一般的なセキュリティアドバイザリの「ワークアラウンド（Workarounds）」に相当• 開発元が公開した情報をそのまま翻訳– 一時的な回避策が存在しない場合も多い（特にBIND）

Copyright © 2015 株式会社日本レジストリサービス

32

解決策
• 根本的な問題解決策を記述• 一般的なセキュリティアドバイザリの「解決策（Solution）」に相当• 開発元が公開した情報をそのまま翻訳– 多くの場合、ソフトウェアのバージョンアップやベンダー（ディストリビューター）がリリースするパッチの適用

Copyright © 2015 株式会社日本レジストリサービス

33

JP DNSサーバーにおける対応状況• JP DNSサーバーにおける対応状況を記述– JP DNSサーバーにおける対応の必要性・対応状況を特に示したい場合（オプション）• 主に、権威DNSサーバーに影響する脆弱性• 記述例– JP DNSサーバーは本脆弱性の対象となりません。
– JP DNSサーバーでは本脆弱性への対応を完了しています。

Copyright © 2015 株式会社日本レジストリサービス

34

参考リンク• 元となる情報へのリンクを記述– オリジナルの脆弱性情報– 必要なソフトウェア・パッチの入手先– MITRE社のCVE情報• 情報公開時点では、CVE情報のリンク先の内容は「** RESERVED **」となっていることがほとんど– 後で参照する際、有用な情報となる• 発信者の思い（ポイント）– 現場の担当者の情報元確認や作業の手間が少なくなる
Copyright © 2015 株式会社日本レジストリサービス

35

4. 今後の課題と展望「手を取り合って、垣根を越えて」いくために必要なこと

Copyright © 2015 株式会社日本レジストリサービス

36

より良い情報発信とは?
• 本来の目的を達成できるものであること– 注意喚起の場合、対応の促進– 技術解説の場合、知識の習得・活用• 実現のための手法例– 日本語での情報提供• 多くの日本人にとって、言葉の壁は大きい– 情報発信するチャンネルの拡大– さまざまなメディアの活用– 関係機関・関連各位との連携・協調
Copyright © 2015 株式会社日本レジストリサービス37

発信者自身の経験（SECCON 2014）• 長野大会「DNS Security Challenge」<http://2014.seccon.jp/dns-security-challenge.html>– 運営サポート（問題作成監修・講演・問題読み上げ）• これからを担う、若い方々へのリーチ不足を強く実感– これから知識を習得しようとしている方々「DNSを勉強するにはこれからどうしたらいいですか」という質問を多くいただいた
Copyright © 2015 株式会社日本レジストリサービス38

発信者自身の経験（SECCON 2014）• 決勝戦・全国大会カンファレンス<http://2014.seccon.jp/finals.html>– 講演を担当（DNSセキュリティ最新動向）• セキュリティに関心を持つ層へのリーチ不足を実感– 講演終了後、「DNS関連の技術動向を聞く機会があまりなかったので助かりました」というコメントを多くいただいた「必要とする情報を欲している」「しかし、それが伝わっていない」という層が確実に存在することを強く実感
Copyright © 2015 株式会社日本レジストリサービス

39

「手を取り合って、垣根を越えて」
いくために• インターネットは本来、連携・協調（手を取り合う）により成立するネットワーク– DNSでは特に、関係者間の連携・協調が不可欠• 分野・領域を越えた（垣根を越えた）連携が、今後ますます重要になる– 昨年の「DNS DAY」のテーマの一つでもあった– 次世代への技術の伝承も重要な課題（世代の垣根越え）• 「手を取り合って、垣根を越えて」いくために・・・
JPRSでは今後も各関連各位と協力しながら、さまざまな形で情報発信を続けていきます
Copyright © 2015 株式会社日本レジストリサービス

40

That’s it!

Copyright © 2015 株式会社日本レジストリサービス

41