今週のお役立ち情報

カミンスキー氏、DNS脆弱性について詳細を公開--Black Hatカンファレンスで

2008年08月08日12時21分 / 提供：CNET Japan

　セキュリティ研究者のDan Kaminsky氏が、Domain Name System（DNS）の根本的な脆弱性とその深刻さの度合いについて詳細を明らかにした。

　Kaminsky氏は、ラスベガスで開催されたセキュリティ会議「Black Hat」において米国時間8月6日に行ったプレゼンテーションで、どうすればこの脆弱性を利用してDNSキャッシュポイズニング攻撃を実行できるかを詳しく説明した。

　Kaminsky氏は、「悪意あるユーザー」が自分のIPアドレスの数字をドメインに割り当てるのを防ぐはずのトランザクションIDは、セキュリティ対策としては役に立たないと説明した。攻撃者は、「1.foo.com」「2.foo.com」などと、一部を少し変えただけの大量のドメインの要求をDNSサーバに送ることができる。トランザクションIDは必ず0から65535までのどれか1つの数字なので、攻撃者は複数の要求を送り、偶然IDが一致すればドメインを乗っ取ることができる。

　ドメインを乗っ取ってしまえば、攻撃者は、偽の応答をネームサーバに大量に送りつけて、攻撃対象に選んだドメイン（たとえば、「foo.com」）のキャッシュを汚染することができる。ユーザーが「foo.com」を要求すると、攻撃者の選んだサイトに誘導される仕組みだ。

　複数の方向に攻撃を並行してしかけることでこの脆弱性を突くことができる、とKaminsky氏は言う。リンク、画像、広告があればDNS検索が始まるので、攻撃者は自分の思惑通りの情報をウェブブラウザが見つけ出すように仕向けることができる。メールサーバの場合は、スパムチェックなどを行う際や、宛先不明で返送されるメールやニュースレター、本物の返信メールを配信しようとする際に、攻撃者が意図した情報を見つけ出すことになる。

　Kaminsky氏は、「.com」「.net」「.org」といったトップレベルドメインの汚染もあり得ると警告した。

　Kaminsky氏はプレゼンテーション（PowerPointファイル）で、「悪意あるユーザーが.comを汚染すると、あらかじめ欲しいと思っていなかった要求も含め、すべての要求を入手することになる」と述べた。「ずっと汚染を続けるものを選ぶことができるのだ」

　Kaminsky氏によると、SSLなどの暗号化によってDNSの脆弱性に基づく危険を軽減することはできるという。しかし現時点ではSSLの実装に限界があり、SSL自体の認証問題が出てくると同氏は警告した。SSL認証が期限切れであっても人々はサイトにログオンする、とKaminsky氏述べた。

　DNSの脆弱性に関連した危険を軽減するため、数多くのベンダーが自社製品について、主にポート番号のランダム化を中心とした修正パッチを公開している。Kaminsky氏によるとこれには効果があるとのことで、Nominumのキャリアなどは修正パッチで保護されている。「Bind」の実装にもパッチが適用され、またMicrosoftの自動更新は「たくさんのユーザーに行き渡った」という。

　Fortune 500企業の70％はメールサーバのテストとパッチ適用を終えており、61％はメール以外のサーバにパッチを当てている、とKaminsky氏は語った。

　しかし、セキュリティの専門家であるケンブリッジ大学のRichard Clayton氏はZDNet.co.ukに対し、パッチとランダム化はある程度までの効果しかないと説明した。

　「パケットのIDはランダム化できるし、ポート番号もランダム化できるが、残念なことにランダム化には誕生日のパラドックスがある」とClayton氏は言う。「部屋に20人いるとしたら、そのうち2人が同じ誕生日である確率はけっこう高い。あなたがランダムに番号を選び、攻撃者もランダムに選ぶとき、これが問題になる。あなたが2の16乗（65536）通りの中から1つを選ぶのに対して、攻撃者が2の16乗の平方根、つまり2の8乗（256）個の割合で偽の要求を送信すれば、乗っ取りに成功する確率が50％あることになる」

　ランダム化は問題を軽減するが、本質的には単に「攻撃者がエントロピーを乗り越えるのに十分な速さでパケットを送信できるようになる恐怖の日を先送りする」だけのものだ、とClayton氏は述べた。

　Clayton氏によると、「本当の」解決策と言えるのは、あまり正確でない要求を大量に受け取ると、サーバがそれに気づいて「疑り深く」なり、なりすましができないTCPを使った通信のみ行うようにする、というものだ。さらなる解決策としては、暗号化によってDNSのセキュリティを拡張する仕様の1つであるDNS Security Extension（DNSSEC）を通信事業者が採用することが考えられる、とClayton氏は語った。

この記事は海外CNET Networks発のニュースをシーネットネットワークスジャパン編集部が日本向けに編集したものです。海外CNET Networksの記事へ