1. DNS/乗取
DNS/hijackingは誤用が多い。DNS/歴史/2012 /dnsv
Contents
DNS/delegation DNS/lame_delegation
https://www.ipa.go.jp/security/vuln/20050627_dns.html
1.1. ドメイン寄生
乗取、なりすまし、寄生 から選ぶとすると、寄生がいいのではないか。
- 乗取は完全に奪うように聞こえる。
1.2. ドメインなりすまし
乗取の解説、手法の分類、攻撃対象、対策などを整理したい。-> DNS/spoofing
まともな解説が見当たらないので。どんな｢/悪用｣があるかも検討する。
What is domain spoofing? | Website and email spoofing
1.3. 乗取が指すもの
DNS/ドメイン名/乗取 DNS/詐取 DNS/ドメイン名/盗用 なども似たものを指している。
DNS/なりすまし を含めて、まとめてみよう。(spoofing)
いろいろな方法が使われています。いろいろな攻撃対象があるからでしょう。
結局のところ、分散システムでの脆弱性はすべての部分に存在するということです。-- ToshinoriMaeno 2021-03-21 23:32:39
｢乗取｣もハイジャックと同様に結果を示しているに過ぎないことが分かる。
- 期限切れのドメイン名を登録するのはドロップキャッチと呼ばれている正規の手続きです。jpn.ph
- 類似の名前、よく似た名前を登録して、間違いを待ち受けるのは、typo squatting と呼ばれている。
JPRSの警告: ドメイン名の乗っ取りを防止するために
さくらのDNSサービスに問題を見つけたのが最初か。2012年のこと。
- さくらは部分的に対応したが、その後他社のサービスを調べてみて驚いた。
2016年にはcloudflare, awsdnsなどの脆弱性が指摘されているというのに、どこも対応しない。(なぜ)
1.4. 攻撃手法･対象
思いつくものを適当に並べてみましたが、これで全部を尽くしてか心配です。
(1) レジストラ上のアカウントを乗取り、NSを書き換えている。(レジストラ内のひとも攻撃対象ない)
- 最近ではcoincheck, cream.finance, pancakeswap.finance などがある。
- レジストラソフトウェアの不備などもある。
(2)DNS/lame_delegationを利用した乗取は簡単に実行可能で怖い。
- NSレコードが存在しないホスト･ドメイン名を指すものは特に危険です。visa.co.jp, sjdc.co.jp
/権利確認なし で任意のゾーンを作成できる共用DNSサービスがある。
- これらに委譲するときにはゾーン作成に最大限の注意が必要です。(多数ゾーンなしドメインの例) lame delegation でなくとも部分的乗取は可能かもしれない。((親子同居とか兄弟同居とか)2012 さくら)
(3) subdomain takeover (CNAME先のサービス)
- CDNサービスへのポインタを消去しわすれなどの不良は危ない。(多数の例)
(4) レジストラ移管申請を利用･悪用(承認手順の不備、詐欺など)
DNS/詐取/perl.com ラブライブ事件 DNS/運用/amusecraft事件
(5) DNS/キャッシュポイズニングなどによりリゾルバーを攻撃する。
- これも分類が必要だ。(packet fragment化攻撃とかも)
- alternic とかの古い話も含めたい。(リゾルバーがセキュリティを考慮していなかった時代があった)
(6) レジストリ、レジストラによる強制停止、強制移転 (clientHold, serverHoldを含む)
/レジストラによる強制変更 ninja tools, zoho.com, aichi-recall.site
(7) DNSサービス業者下のアカウント乗取
- ゾーン情報の書換 実例は不明
(8) DNSサービス業者によるドメイン停止/隔離/移転
- cloudflareで多数見かける(推測)
(9) 共用リゾルバーの広告挿入、広告ページに転送する
- Freenom WorldのDNSリゾルバは、存在しないドメインへの要求を広告ページに転送することはありません
これらの他に、レジストリ、レジストラ、サーバー業者のシステムに侵入することも考えられるが、 ここでは除外する。ルーティングを変更して、DNS関連トラフィックを奪う手法もある。 家庭用ルーターの設定を変更する攻撃もある。
1.5. ハイジャックは不適切に用いられている
DNS/ドメイン名ハイジャックと呼ばれているものの多くはハイジャックにはあたらない。
乗取なら分からなくもないが、それでも広すぎる。DNS/hijacking 危険な委譲設定をしてしまうのはドメイン名権利者が勉強不足といえる。
日本語にするなら、カタカナではなく、それらしい単語にしたい。
- 偽装、詐取、乗取、そしてなりすまし、など。
cache poisoning 攻撃に負けやすいゾーン構成なども考慮すべきだ。(fragmentationすり替え攻撃を含む。)
DNS/毒盛/2015/ribbon.to事件 起きて当然のことが起きた。 visa.co.jpと同種の欠陥を抱えていたribbon.to(gachagacha.org)が広告業者に乗っ取られた。 ゾーンデータは修正されたが、 KDDIキャッシュサーバの欠陥と重なって、現在も広告表示は続いている。（浸透待ち中ｗ）
-- ToshinoriMaeno 2015-12-22 00:50:43
1.6. 乗取の判定
現時点ではwebコンテンツによる判別が容易だが、いずれ正規のページのコピーが使われるようになるだろう。 そのような場合に使える判別法を健闘しておく。
1.6.1. IP アドレスにより判別
/wocowstore.com は当選詐欺が表示された。
/173.249.6.108 を指すサイトは乗取られているものが多数ある模様。
watchA/awsdns/mcstate.com も最近NSが返事をする。
これはアカウントの乗取だろう。 https://www3.nhk.or.jp/kansai-news/20210309/2000042308.html
1.6.2. NS 返答による判別
Cloudflare DNS や awsdns を利用するドメインの場合、REFUSEDを返すNSが含まれているドメインは怪しい。
1.7. 記事など
役立つかな。