DNS Security Extensionsの略。
DNSキャッシュポイズニングを防止するために，
DNSの仕組みに電子署名を導入してセキュリティを向上させたもの。
こんにちは。 Google が Google Domains を Squarespace 社に売却してしまいますよ、というニュースが数日まえに発表され、界隈がざわめいていますね。 既存の Google Domains を利用しているアカウントの人はそのまま Squarespace へ移行され、特に何もする必要はないとアナウンスされていますが、 個別で移行を検討されている場合、DNSSECの設定がされていると問題が発生しそうだったので少し調べてみました。 DNSSEC とは DNS応答に添付された署名を受信側で検証することにより、正しい相手から届いた正しいデータであることを確認できるようにするた…
DNSSEC - RRset の署名検証 - RRSIG(Resource Record Signature) DNSSEC は RRset( RR(リソースレコード)のセット ) の内容を、利用者から検証可能にするための仕組みです. DNSKEY RRには、そのゾーンで利用する公開鍵が登録され、RRSIG RR には RRset のタイプ(署名対象タイプ)とその署名値が登録されます. RRset の利用者は、RRSIG RR が持つ署名値と DNSKEY RR が持つ公開鍵で署名検証を行なうことで、RRset がゾーンの管理者が署名した内容であることを確認することができます. 検証アルゴリズ…
顧客からの問い合わせで DNSSEC に関するものがあった (DNSSEC のレコードの監視)。 DNSSEC について全く知らなかったので、少し調査をすることにした。 概要 Domain Name System SECurity extensions (DNSSEC)。 DNS キャッシュポイズニングに代表される、 DNS を利用した攻撃を防止するために設計された。 DNSSEC を利用すると、悪意のあるサーバによる DNS データの偽装または操作をクライアントが受け入れないようにすることができる。 DNS キャッシュポイズニング DNS キャッシュサーバが権威サーバに名前解決をした際のレス…
事の始まり VirtualBoxのホストオンリーアダプターでクローズド環境なテスト環境を構築した。 その際、DNSの名前解決ができない壁にぶち当たる。 やったこと 作った環境の概略図 全てホストオンリーアダプターで接続、同一セグメントで接続。 Contents DNSにはexample.testドメインの権威サーバーとしてbindを設定。 Cache DNSはContents DNSをフォワーダーとして、丸投げキャッシュDNSとして作成。 Clientから dig @ContentsDNS example.test any 直接権威サーバーに問い合わせれば解決できるが dig @CacheDN…
DNSSECで実現できることはどれか。 DNSキャッシュサーバが得た応答の中のリソースレコードが，権威DNSサーバで管理されているものであり，改ざんされていないことの検証 権威DNSサーバとDNSキャッシュサーバとの通信を暗号化することによる，ゾーン情報の漏えいの防止 長音“ー”と漢数字“一”などの似た文字をドメイン名に用いて，正規サイトのように見せかける攻撃の防止 利用者のURLの入力誤りを悪用して，偽サイトに誘導する攻撃の検知 解答・解説 (adsbygoogle = window.adsbygoogle || []).push({}); 解答 ア 解説 ー DNSキャッシュサーバが得た応…
前回、以下の記事でドメインとIPアドレスの関係を調べてみました。 shikairo.hatenablog.com 世の中にはこの関係をおかしくさせる攻撃もあるようなので、今回まとめてみます。 攻撃って？ 構築してみる Bindのインストール 設定ファイルを変えてみる resolve.confも修正する 感想 攻撃って？ DNSキャッシュポイズニングという攻撃手段があるようです。 詳しくは、DNSスプーフィング - Wikipediaを参照いただきたいのですが、ドメイン名とIPアドレスの対応を教えてくれるDNSサーバのIPアドレスがキャッシュされていない時に、偽の応答を送信してIPアドレスを騙し…
DNSSECに関する記述のうち，適切なものはどれか。 権威DNSサーバが，DNS問合せに対する応答時に，リソースレコードを公開鍵暗号方式で暗号化することによって，通信経路上の盗聴を防ぐ。 権威DNSサーバが，リソースレコードの受信時にデジタル署名を検証することによって，データの作成元の正当性とデータの完全性を確認する。 リゾルバが，DNS問合せに対する応答時に，リソースレコードを公開鍵暗号方式で暗号化することによって，通信経路上の盗聴を防ぐ。 リゾルバが，リソースレコードの受信時にデジタル署名を検証することによって，データの作成元の正当性とデータの完全性を確認する。 解答・解説 (adsbyg…
安全余裕率 損益分岐点分析でA社とB社を比較した記述のうち，適切なものはどれか 安全余裕率は、損益分岐点売上高と売り上げ高の差。これくらい儲からないと損になるよ、っていうラインと、実際の売り上げの差。 損益分岐点売上高 = 損益分岐点売上高 * 変動費率 + 固定費 ダークネットは何に対してパケットを送っている？ 未使用のIPアドレスに対してもパケットを送っている デジタルふぉれんじくす デジタル探偵 証拠を集めるために行う。 パケットフィルタリング IPアドレスやport番号で通していいパケットを判断する DNSSEC DNSキャッシュサーバへの応答レスポンスに公開鍵で電子署名を行う・キャッ…
リフレクタ攻撃に悪用されることの多いサービスの例はどれか。 DKIM，DNSSEC，SPF DNS，Memcached，NTP FTP，L2TP，Telnet IPsec，SSL，TLS 解答・解説 (adsbygoogle = window.adsbygoogle || []).push({}); 解答 イ 解説 ー DKIM，DNSSEC，SPFー DNS，Memcached，NTPー FTP，L2TP，Telnetー IPsec，SSL，TLSー 参考書・問題集 参考情報 分野・分類 分野 テクノロジ系 大分類 技術要素 中分類 セキュリティ 小分類 情報セキュリティ 出題歴 NW 令和…
DNSSECの機能はどれか。 DNSキャッシュサーバの設定によって再帰的な問合せを受け付ける送信元の範囲が最大になるようにする。 DNSサーバから受け取るリソースレコードに対するディジタル署名を利用してリソースレコードの送信者の正当性とデータの完全性を検証する。 ISPなどのセカンダリDNSサーバを利用してDNSコンテンツサーバを二重化することによって，名前解決の可用性を高める。 共通鍵暗号技術とハッシュ関数を利用したセキュアな方法によって，DNS更新要求が許可されているエンドポイントを特定して認証する。 解答・解説 (adsbygoogle = window.adsbygoogle || […
2024年3月11日～2024年3月17日に読んだ中で気になったニュースとメモ書きです。社内勉強会TLSらじお第148回分。 [2024年の耐量子暗号] [Sunlight：スケーラブルなCT実装] [その他のニュース] ▼ML-KEMとCRYSTALS-Kyberの差異 ▼LibreSSL 3.9.0 ▼GoogleのPQC脅威モデル ▼EntrustのEV証明書インシデント ▼CAオーナー別市場シェア（2024/03） ▼FastlyのTLS対応 ▼ECHのIPフラグメンテーション [暗認本：47 ゼロ知識証明] [まとめ]
DNSSECについての記述のうち，適切なものはどれか。 ア DNSサーバへの問合せ時の送信元ポート番号をランダムに選択することによって，DNS問合せへの不正な応答を防止する。 イ DNSの再帰的な問合せの送信元として許可するクライアントを制限することによって，DNSを悪用したDoS攻撃を防止する。 ウ 共通鍵暗号方式によるメッセージ認証を用いることによって，正当なDNSサーバからの応答であることをクライアントが検証できる。 エ 公開鍵暗号方式によるデジタル署名を用いることによって，正当なDNSサーバからの応答であることをクライアントが検証できる。 正解はエです。 DNSSEC(DNS Secu…
DNSSECについての記述のうち，適切なものはどれか。 DNSサーバへの問合せ時の送信元ポート番号をランダムに選択することによって，DNS問合せへの不正な応答を防止する。 DNSの再帰的な問合せの送信元として許可するクライアントを制限することによって，DNSを悪用したDoS攻撃を防止する。 共通鍵暗号方式によるメッセージ認証を用いることによって，正当なDNSサーバからの応答であることをクライアントが検証できる。 公開鍵暗号方式によるデジタル署名を用いることによって，正当なDNSサーバからの応答であることをクライアントが検証できる。 解答・解説 (adsbygoogle = window.ads…
www.itmedia.co.jp knqyf263.hatenablog.com What is the KeyTrap vulnerability? のところを読むと以下のように書いてあります（ChatGPT訳）。 KeyTrap脆弱性については、攻撃者が多数のDNSKEYおよびRRSIGレコードを含むDNSゾーンを作成し、標準準拠のDNSSECバリデータが一致して検証する一組の組み合わせを見つけることを期待して、可能なDNSKEYおよびRRSIGレコードの全ての組み合わせを試みます。バリデータが実行する作業量に明確な制限を設けていない場合、無駄な作業に膨大なリソースを費やすことになります…
DNSは趣味でやっているだけですし有識者のレビューを経ているわけでもないので誤りを含むかもしれませんが、DNS界隈には優しい人しかいないのできっと丁寧に指摘してくれるはずです。 追記：めちゃくちゃ丁寧にレビューしていただいたので修正いたしました。森下さんほどの方に細かく見ていただいて恐れ多いです...（学生時代に某幅広合宿で森下さんの発表を見てDNSセキュリティに興味を持った） 4万文字を超える大作、おつかれさまです。わかりやすく書けていると思いました。ざっと読んで、コメントしてみました。ご参考まで。https://t.co/bVj5WeFHQr https://t.co/ku5NOx6ua8…
2024年2月12日～2024年2月18日に読んだ中で気になったニュースとメモ書きです。社内勉強会TLSらじお第144回分。 [DNSSECの脆弱性KeyTrap] [Merkle Tree証明書の実装] [その他のニュース] ▼Web PKIマーケットシェア（2024年2月） ▼Node.jsのセキュリティアップデート（2024年2月） ▼AWS API GatewayのTLS1.3サポート ▼耐量子暗号アライアンス ▼ChatGPT + RFC ▼Let's Encryptのデイリー証明書発行数（2024年2月） ▼Goでオレオレ証明書 ▼HPKEの応用動向 [暗認本：43 HTTP/3]…
【ニュース】 ◆「DNSに対する最悪の攻撃」 DNSSEC設計の根幹に関わる脆弱性「KeyTrap」が見つかる (ITmedia, 2024/02/19 08:00) https://www.itmedia.co.jp/enterprise/articles/2402/19/news054.html 【関連まとめ記事】◆全体まとめ ◆ネットワークプロトコル (まとめ) ◆DNS (まとめ) ◆KeyTrap (まとめ) https://vul.hatenadiary.com/entry/KeyTrap
自宅DNSサーバーを建てるに当たって、configの書き方を調べた&何回かエラーを起こしたので備忘録として記します。 bindはconfigの構文を間違っていると起動しないので注意しましょう。 主要な設定ファイル named.conf: BINDの主設定ファイル。BINDサーバーの基本的な動作設定、ゾーンの定義、セキュリティポリシー、その他のオプションを含む。 named.conf.local: カスタムのゾーン定義など、ローカルで特有の設定を含むことが推奨される追加設定ファイル。これはnamed.confからインクルードされる。 named.conf.options: BINDサーバーのオプ…
2024年1月29日～2024年2月4日に読んだ中で気になったニュースとメモ書きです。社内勉強会TLSらじお第142回分。 [Encrypted Client Helloとコンプライアンス] [Cryptography & Security Newsletter #109] [その他のニュース] ▼AAC '24 ▼ロシアのインターネット障害 ▼ISUCONの証明書更新スクリプト [暗認本：41 メール] [まとめ]
internet.watch.impress.co.jp
www.nic.ad.jp
www.itmedia.co.jp
www.unixuser.org
dev.classmethod.jp
www.e-ontap.com
internet.watch.impress.co.jp
atmarkit.itmedia.co.jp
atmarkit.itmedia.co.jp
