オンプレミスネットワークとAWS間のDNS名前解決をAWS Directory ServiceとAmazon Route 53を使用してセットアップする方法 オンプレミスネットワークとAWS Virtual Private Cloud (VPC)環境とのプライベート接続を確立するには、これらの環境にまたがったDomain Name System (DNS)名前解決の必要性がより重要になってきます。この必要性に対処するためのひとつの一般的なアプローチは複数のアベイラビリティゾーン（AZ）にまたがったAmazon EC2上でDNSサーバーを動作させてプライベートのオンプレミスにあるDNSドメインと統合することです。しかしながら多くの場合、より管理上のオーバーヘッドが少ないマネージド型のプライベートDNSサービス（VPC外からアクセス可能）がより有利となります。このブログ記事では、Amazon

2015.05.23追記 先日、このこの記事の内容が間違いだらけだ、というご指摘を受けました。 自省の意味を込めて残しておく方針でいたのですが 何やら反応が思ったより多く（当社比）、本当に有害である可能性があるので、一旦削除します。 改めまして。 まず「浸透」という言葉に、大変問題があることを勉強させていただきました。 DNSの書き換えが全世界のサーバーに伝達していく、というような意味合いで使われていると思っていたのですが。 実際は、旧データの破棄までの待機時間、ということらしいですね。 回避する方法もあるようなのですが、こちらは現在、勉強中です。 詳細な内容はこちらで紹介されています。 浸透いうな! どこまで実行できるか、現状では未知数ですが、お客様のことを考えても、サーバーが切り替わる日程を正確に把握できた方が良いのは間違いありません。 きっちり勉強して、賭けでしかなかったサーバー切り

権威ネームサーバのNSDがDNSラウンドロビンに対応したので、NSDとDNSラウンドロビンについて紹介します。 なお、この記事は『UnboundとDNSラウンドロビン』の姉妹編的な位置づけです。ほぼ同じようなDNSラウンドロビンについての説明があります。 NSDとは DNSサーバのソフトウェアとしてはBINDがデファクトスタンダードのような位置づけになっていますが、BIND以外にも様々なDNSサーバのソフトウェアがあります。その中の一つとしてNSDがあります。 NSDはオランダのNLnet LabsのW.C.A. Wijngaards氏が中心となって開発が行われています。NSDは元々はルートサーバ用として開発されましたが、現在のバージョンでは普通の権威ネームサーバとしての機能はほぼ実装されており、代表的な権威ネームサーバのソフトウェアの一つとなっています ちなみに、ルートサーバのHとKとL

前回からかなり時間が経過してしまいましたが、やっと新書を書き終わったので、「DNSキャッシュポイズニングの基本と重要な対策」の続きです。 まだまだ先は長いのですが、今回は権威DNSサーバがキャッシュDNSサーバに返す5種類の応答とその意味について解説します。 権威DNSサーバからの5種類の応答 ユーザからの名前解決要求を受け取ったキャッシュDNSサーバは、ルートサーバを起点とするDNSの階層構造をたどって、名前解決を実行します。名前解決の際、キャッシュDNSサーバはユーザから問い合わせがあった「名前」と「型」を、権威DNSサーバにそのまま問い合わせます。そして、キャッシュDNSサーバはそれぞれの権威DNSサーバから返される応答を解釈しながら、名前解決を進めていきます。 名前解決において、キャッシュDNSサーバがそれぞれの権威DNSサーバから受け取る応答は、以下の5種類に分類できます。この5

Copyright © 2013 株式会社日本レジストリサービス 1 Copyright © 2013 株式会社日本レジストリサービス 1 Copyright © 2013 株式会社日本レジストリサービス 1 初心者のためのDNS運用入門 - トラブルとその解決のポイント - 2013年7月19日 DNS Summer Days 2013 株式会社日本レジストリサービス（JPRS） 水野 貴史 Copyright © 2013 株式会社日本レジストリサービス 2 Copyright © 2013 株式会社日本レジストリサービス 2 Copyright © 2013 株式会社日本レジストリサービス 2 講師自己紹介 • 氏名：水野 貴史（みずの たかふみ） • 生年月日：1988年3月3日（25歳） • 所属：株式会社日本レジストリサービス（JPRS） システム部 • Unix歴：8年目（F

Copyright © 2014 株式会社日本レジストリサービス 1 キャッシュポイズニング攻撃対策： キャッシュDNSサーバー運用者向け―基本対策編 初版作成：2014年4月30日 最終更新：2014年4月30日 株式会社日本レジストリサービス（JPRS） 本資料の位置づけ • 本資料は以下の四部構成の資料の一部 – 対象者ごとに、キャッシュDNSサーバー運用者向けと 権威DNSサーバー運用者向けに大別 – それぞれを、基本対策編と応用対策編の二部で構成 Copyright © 2014 株式会社日本レジストリサービス 2 基本対策編（本資料） 応用対策編 基本対策編 応用対策編 キャッシュDNSサーバー運用者向け 権威DNSサーバー運用者向け 本資料の内容（基本対策編） • 本資料ではキャッシュDNSサーバー運用者向け の基本対策編として、以下の項目について解説 – おさらい（1）：キ

2014年4月15日に公開されたJPRSの緊急注意喚起に続き、中京大学の鈴木常彦教授によるDNSキャッシュポイズニングに関する技術情報が公開されました。 今回公開された技術情報に書かれている内容には、DNSの本質につながるさまざまな要素が関係しており一回で書ききれるものではなく、また、書いている側（私）も、それぞれの要素技術について勉強しながら理解しつつ進めていかないと混乱してしまうということが良くわかったため、これから数回に分けて徐々に書いて行くことにしました。 ということで、今回はまず、そもそもDNSキャッシュポイズニングとは何かということと、JPRSの注意喚起に書かれているUDPソースポート番号のランダム化（ソースポートランダマイゼーション）の概要、そしてなぜそれが重要なのかという点について解説します。 DNSキャッシュポイズニングとは インターネットで通信を行うとき、各機器同士は通

キャッシュポイズニングの開いたパンドラの箱 Opened Pandora's box of Cache Poisoning 鈴木常彦 2014.04.15 (Concept by 前野年紀 2014.02) / English version 背景 Kaminsky 2008年、Dan Kaminsky 氏が TTL に影響されない毒入れ手法を発表した。 しかし、偽応答のAdditional Section で毒が入るとされたのは誤りだったことを2011年に鈴木が明かにした。 http://www.e-ontap.com/dns/bindmatrix.html Müller Bernhard Müller の "IMPROVED DNS SPOOFING USING NODE RE-DELEGATION", 2008.7.14 https://www.sec-consult.c

EPIC2014 Google Public DNS (8.8.8.8, 8.8.4.4) および Cloudflare (1.1.1.1, 1.0.0.1) 経由では本サイトにアクセスできないよう措置させて頂いております。 本日、JPRS がようやく重い腰をあげて注意喚起を発してくれましたが、その内容は危険性をよく理解して対策をとるにあたって十分な情報が含まれているとはいえません。 一方で注意深い攻撃者が探せば、ネット上にはすでに深刻な攻撃を行うのに必要な情報は十分に流れています。特に、JPRS が3月に慌てて co.jp などにこっそり入れた署名付き TXT レコードは大きなヒントに見えます。 DNS に詳しい攻撃者であれば、攻撃手法に辿りつくのは時間の問題でしょう。(すでに攻撃は行われているかも知れません) 長く秘密にしておくことは得策ではないと判断し、防御する側の心構えと手助けにし

本日、JPRSが緊急の注意喚起を公表しました。 緊急）キャッシュポイズニング攻撃の危険性増加に伴うDNSサーバーの設定再確認について（2014年4月15日公開）- 問い合わせUDPポートのランダム化の速やかな確認・対応を強く推奨 それに対して、2月中旬に脆弱性を発見してJPRSへと報告していた鈴木氏(脆弱性は前野氏との共同発見)が、JPRSの注意喚起では「危険性をよく理解して対策をとるにあたって十分な情報が含まれているとはいえません」として、以下の情報を公開しています。 開いたパンドラの箱 - 長年放置されてきたDNSの恐るべき欠陥が明らかに キャッシュポイズニングの開いたパンドラの箱 キャッシュポイズニングの開いたパンドラの箱 - 2 - 本来であれば、より上位からの正規の回答が優先されなければならないはずなのに、下位側が優先される仕様になっているので、偽装されたデータが優先されてしまう

EPIC2014 Google Public DNS (8.8.8.8, 8.8.4.4) 経由では本サイトにアクセスできないよう措置させていただいております。 Firefox の名前解決キャッシュの動作が不可解だったので色々調べてみました。 「ISPのDNSキャッシュサーバはTTLを越えてキャッシュを保持するか?」の実験で用いている a.t.e-ontap.com は 5分毎に A レコードが切り替わるようになっています。 この http://a.t.e-ontap.com/ を Firefox 28.0 でリロードしながら観察するとおかしなことに気づきます。まず普通にリロードを行っても DNS 権威サーバ側で A レコードが切り替わっているのに、まるで HTTP の接続先が切り替わりません。さらにパケットダンプしてみると、DNSキャッシュサーバへ問合せを送り新しい A レコードを得てい

ブラジルとベネズエラのネットワークで、Google Public DNSが運用されている8.8.8.8が、最大22分間BGPハイジャックされたとBGPmonがTwitterで表明しています。 https://twitter.com/bgpmon/status/445266642616868864/photo/1 BGPmonのTweetによると、ベネズエラにあるAS7908(BT LATAM Venezuela,S.A.)が8.8.8.8/32を広告したことが原因のようです。 ブラジルといえば、ブラジル国民のデータをブラジル国内に留めることを求めた法律が成立したことによって、昨年10月に同国からGoogle Public DNSが撤退しています(Renesys: Google DNS Departs Brazil Ahead of New Law)。 実際のところは知りませんが、その撤退に