KeyTrap （CVE-2023-50387）を検証してみた - knqyf263's blog
DNSは趣味でやっているだけですし有識者のレビューを経ているわけでもないので誤りを含むかもしれませんが、DNS界隈には優しい人しかいないのできっと丁寧に指摘してくれるはずです。 追記：めちゃくちゃ丁寧にレビューしていただいたので修正いたしました。森下さんほどの方に細かく見ていただいて恐れ多いです...（学生時代に某幅広合宿で森下さんの発表を見てDNSセキュリティに興味を持った） 4万文字を超える大作、おつかれさまです。わかりやすく書けていると思いました。 ざっと読んで、コメントしてみました。ご参考まで。https://t.co/bVj5WeFHQr https://t.co/ku5NOx6ua8— Yasuhiro Morishita (@OrangeMorishita) 2024年2月19日 要約 背景 詳細 DNSSECとは？ DNSSECの可用性 鍵タグの衝突 攻撃内容 SigJam
[アップデート] VPC からのアウトバウンド DNS クエリをフィルタリング。Amazon Route 53 Resolver DNS Firewall がリリースされました。 | DevelopersIO
本日のアップデートで Route 53 Resolver に新たな機能として DNS Firewall が追加されました。 Introducing Amazon Route 53 Resolver DNS Firewall DNS Firewall? DNS Firewall は VPC からのアウトバウンド DNS リクエストを保護します。保護方法の例としては以下のとおりです。 特定のドメイン名以外の名前解決をさせない 不良と判別されているドメイン名の名前解決をさせない これらの方法により、DNS の侵害やマルウェア感染により、ユーザーの知らないところで悪意のあるサイトへ誘導されるような攻撃から保護することが可能になりました。 管理方法 DNS FIrewall は AWS Firewall Manager を使用して AWS Organization 内のアカウント全体で一元的に設定、
![[アップデート] VPC からのアウトバウンド DNS クエリをフィルタリング。Amazon Route 53 Resolver DNS Firewall がリリースされました。 | DevelopersIO](https://cdn-ak-scissors.b.st-hatena.com/image/square/5a2dce04d7304309f65cbf2068ac05e998abe8ee/height=288;version=1;width=512/https%3A%2F%2Fdevio2023-media.developers.io%2Fwp-content%2Fuploads%2F2019%2F05%2Famazon-route-53.png)
ある日突然、自社ドメインが乗っ取られた――“原因も手口も不明”の攻撃に、セキュリティチームはどう立ち向かったか
2020年6月、仮想通貨取引所「Coincheck」を運営するコインチェックのコーポレートサイトに、あるセキュリティインシデントの報告書が掲載された。当時、重要な事例として筆者のセキュリティ連載「半径300メートルのIT」でも取り上げたことから、記憶に残っている読者もいるのではないだろうか。 インシデントのあらましを簡単に説明しよう。これは、コインチェックが利用する外部のドメイン登録サービスにおいて、コインチェックのネームサーバ（DNS）情報が、何者かに書き換えられたものだ。これにより、同社のドメインのレコードが偽のDNSに登録され、同社にメールで問い合わせた顧客のメールアドレスと本文が第三者に流出する可能性があった。コインチェックはインシデント発生後、対応についてのレポートを公開するとともに、利用するドメイン登録サービスを変更したと発表した。 このインシデントは、一般に「不正アクセス」と
Cloudflareで(ようやく)https化(1) - tdtds.jpで試す, ミリシタイベント プラチナスターシアター「Beat the World!!」 - ただのにっき(2020-03-09)
■ Cloudflareで(ようやく)https化(1) - tdtds.jpで試す Webのhttps接続が「あたりまえ」になってはや数年が経過しているが、自分で運営しているサイトでhttps化はごく一部*1にとどまっている。Let's encryptを使えばかんたんなのはわかっているけど、運用中に気にしなきゃいけないことが増えるのがどうにもなぁ……とか言ってたら、時代はすでにCookieの新しいカタチの議論に進んでしまっており、のんびりしているわけにもいかなくなってしまった。ここまで前置き。 というわけで、どうせ気にすることを増やすならより楽な方へ……ということで、定番Cloudflareのお世話になることに。まずはテストがてらtdtds.jpのDNS設定を読み込ませて──ここで全部のエントリがちゃんと読み込まれなかったのがショックだったが、まぁ数は少ないので手動で足した──、レジスト
IIJ Public DNSサービス
サービス内容 IIJ Public DNSサービス（以下、本サービス）はDNS over TLS（DoT/RFC7858）、DNS over HTTPS（DoH/RFC8484）を利用した名前解決サービスです。 DoT、DoHは、従来用いられているDNSに変わる名前解決のためのプロトコルとして開発が進められています。 IIJでは、DoT、DoHによる名前解決の実用性の確認、また、DoT、DoHに対応したDNSサーバの運用ノウハウの獲得のため、試験的にDoT、DoH対応の名前解決サービスを提供いたします。本サービスはpublic DNSとして、IIJをご契約の方以外でもご利用いただくことができます。 DoT、DoHにご興味があり、本ページでご案内の条項に同意いただける方は、ご利用中のパソコン・スマートフォンに設定を行うことで、本サービスを利用した名前解決を行うことができます。 DoT、DoH
DNS over TLS/HTTPSについて考える | IIJ Engineers Blog
はじめに 昨年から DNS over TLS （DoT）、DNS over HTTPS （DoH） にまつわる動きが急速に活発になっています。 DoT は2016年に RFC7858 が出てしばらくは大きな動きはありませんでしたが、2017年11月にサービス開始した public DNS である Quad9 （9.9.9.9）、昨年4月開始の Cloudflare （1.1.1.1）が相次いで DoT に正式対応し、遅れて今年1月には Google Public DNS （8.8.8.8） も対応しました。クライアント側としては昨年8月リリースの Android 9 “Pie” が DoT に対応しています。 DoH は仕様の標準化より実装の方が先行しています。Cloudflare は DoT だけでなく DoH も昨年4月のサービス開始当初からサポートしています。Mozilla Fire
DNS over HTTPSの必要性について - Qiita
なぜ今までのDNSでは問題があるのか インターネット上の通信の多くは、ブラウザを利用したウェブによるものです。 セキュリティ向上のため、GoogleやFireFoxといった大手ブラウザベンダーが平文通信であるHTTPから暗号通信であるHTTPSへの移行を推奨し、盗聴・改竄・なりすましといった問題を解決することが出来ます。 しかしながら、そのHTTPS通信をする前のDNSによるドメイン解決は暗号化されておらず盗聴でアクセスするホスト名を把握される、なりすましで偽の応答を返されるといった可能性があります。 それを防ぐための方法の1つが、DNS over HTTPSです。 DNS over HTTPSとは 今までDNSサーバ（フルリゾルバ）の（主に）UDPポート53番に対して行われていたDNSによる名前解決を、TCPポート443番に対するHTTPS(HTTP/2 over TLS)通信上で行うプ
[CODE BLUE 2018] 使い捨てられた攻撃インフラの残骸の中からも攻撃者の痕跡を探る ― 動的・静的な DNS フォレンジックによる検知指標診断システム 谷口 剛 吉村 邦彦 [レポート] #codeblue_jp ｜ DevelopersIO
こんにちは、臼田です。 『世界トップクラスのセキュリティ専門家による日本発の情報セキュリティ国際会議』でありますCODE BLUE 2018に参加していますのでレポートします。 このブログは下記セッションについてのレポートです。 使い捨てられた攻撃インフラの残骸の中からも攻撃者の痕跡を探る ― 動的・静的な DNS フォレンジックによる検知指標診断システム 谷口 剛 吉村 邦彦 サイバー攻撃の高度化に伴いブラックリストに記載される検知指標としての悪性ドメイン等は攻撃者が短いサイクルで使い捨てることが多い。検知指標は受信後に静的な脅威情報となるが、悪性ドメインの活動自体は攻撃者に依存する。極端なケースでは、受信直後の悪性ドメインですら既に有効ではないこともある。 検知指標の短サイクル化に対して従来研究では、未識別のドメインの悪性判別問題に帰着しており、悪性と判別され既知となった悪性ドメインの
![[CODE BLUE 2018] 使い捨てられた攻撃インフラの残骸の中からも攻撃者の痕跡を探る ― 動的・静的な DNS フォレンジックによる検知指標診断システム 谷口 剛 吉村 邦彦 [レポート] #codeblue_jp ｜ DevelopersIO](https://cdn-ak-scissors.b.st-hatena.com/image/square/90a92126af082f18c12e5c9aad17fd98cafa3b12/height=288;version=1;width=512/https%3A%2F%2Fdevio2023-media.developers.io%2Fwp-content%2Fuploads%2F2017%2F11%2Fcodeblue_logo_400.png){kind=logo}
A cartoon intro to DNS over HTTPS – Mozilla Hacks - the Web developer blog
Threats to users’ privacy and security are growing. At Mozilla, we closely track these threats. We believe we have a duty to do everything we can to protect Firefox users and their data. We’re taking on the companies and organizations that want to secretly collect and sell user data. This is why we added tracking protection and created the Facebook container extension. And you’ll be seeing us do m
Alphabet、DNSクエリを暗号化するアプリ「Intra」を公開--ネット検閲に対抗
Googleが設立し、Alphabet傘下の子会社として運営されているテクノロジインキュベーターのJigsawが米国時間10月3日、ISPレベルのDNS操作への対抗策として、DNSクエリを暗号化できるAndroidアプリ「Intra」をリリースした。 DNS操作は、独裁的な政権や悪質なISPがネット検閲に用いる最も一般的な手法の1つで、ニュースサイト、情報ポータル、ソーシャルメディアプラットフォーム、望ましくないソフトウェアなどへのアクセスを遮断するのに利用されている。 Intraは、独裁政権が支配する国のISPなど、国家レベルの監視能力を備えた第3者からDNSのトラフィックを隠すことで、DNSが操作されるのを防ぐ。 技術的に見ると、Intraは「DNS over HTTPS」（DoH）というまだ新しいテクノロジを実装している。この技術はまもなく、Internet Engineering
DNSの仕組みと調査方法について - embryo
仕事で外部のエンジニアに依頼したドメイン移行が正しく動作していなかったため、良い機会と思いDNSについて調べました。 名前解決の方法 そもそも名前解決とは何かというと、ドメインとIPアドレスを紐付けることです。手法として以下の2つが上げられます。 /etc/hostsに直接対応を記述する方法 /etc/resolve.confにDNSサーバーのIPアドレスを記述し、問い合わせる方法 今回はDNSサーバーによる名前解決について説明していきます。 DNSによる名前解決 ドメインツリーによる負荷分散 全世界に無数に存在するドメインの解決を一台のネームサーバーで担当するのは不可能です。そこでDNSでは下記のように、各階層に意味を持たせ、下位のドメインを管理させることで分散型の構造を構築しています。 ドメインツリー キャッシュサーバーによる高速化 クライアントからDNSサーバーに対してドメインを問い
APNIC Labs enters into a Research Agreement with Cloudflare | blabs
Javascript is disabled We would like to provide you with a better user experience. Please re-enable Javascript in your web browser. APNIC Labs is partnering with Cloudflare for a joint research project relating to the operation of the DNS. I’d like to explain our motivation in entering into this research project, explain what we hope to be able to achieve with this work, and describe briefly how w
XACK、自社開発でOSS由来の脆弱性を廃した小型アプライアンスのDNSサーバー | IT Leaders
IT Leaders トップ ＞ テクノロジー一覧 ＞ ネットワーク ＞ 新製品・サービス ＞ XACK、自社開発でOSS由来の脆弱性を廃した小型アプライアンスのDNSサーバー ネットワーク ネットワーク記事一覧へ [新製品・サービス] XACK、自社開発でOSS由来の脆弱性を廃した小型アプライアンスのDNSサーバー 2017年9月28日(木)日川 佳三（IT Leaders編集部） リスト XACKは2017年9月28日、自社開発でソースコードを公開していないDNSサーバー「XACK DNS TM200アプライアンス」およびDHCPサーバー機「XACK DHCP TM200アプライアンス」を発表した。販売元はエフタイムで、2017年10月1日から販売する。価格（税別）はいずれも3年間の保守料を含んで98万円から。 写真1：HPE ProLiant Thin Micro TM200の外観（
お名前.comからGoogle Domainsにドメイン移管してみた – buzzyvox
Googleによるドメイン登録事業(レジストラ)サービス「Google Domains」(グーグル・ドメイン)が日本でもようやく解禁となったので、さっそく当ブログのドメイン「buzzyvox.com」をお名前.comから移管してみました。 Google Domainsに於けるドメインの維持費用(更新料)は年あたり1,400円とお名前.comに比べ少しばかり割高ですが、ネームサーバの性能や信頼性はかなり高いようなので、お名前.comに不満があるのなら使わない手はありません。 この先、お名前.comからGoogle Domainsに乗換えを図る方が増えると思われるので移管手続きの流れを簡単に説明しておくことにします。 お名前.comからGoogle Domainsへのドメイン移管手順まずは自分のGoogleアカウントにログインした状態でGoogle Domainsにアクセスし、右上の「MANA
なぜIPv6とIPv4の名前解決は別々に行なわれるのか？:Geekなぺーじ
www.example.comなどの「名前」に対応するIPアドレスをDNSサーバに問い合わせるとき、IPv4とIPv6に関する名前解決を単一の問い合わせで行うことはできません。そのため、DNSサーバに対して、IPv4に関する問い合わせと、IPv6に関する問い合わせを、別々に2度行う必要があります。 これは、DNSサーバに対しての問い合わせが単一のレコードに対してしか行えないためです。 Aレコード（IPv4アドレス）の問い合わせと、AAAAレコード（IPv6アドレス）の問い合わせは、それぞれ別々のレコードに対する問い合わせなので、両方を同時には行えないのです。 ただし、「IPv4とIPv6に関するDNSサーバへの問い合わせは別々に行わなければならない」というのは、事実上の話であって、「仕様上そうなっている」と言い切れるのかどうかは微妙かも知れません。 DNSに関するRFCは、悪名高いRFC
最近のDNS事情まとめ - 続 カッコの付け方
私が一旦インフラを離れる10年前、もうすでに「BINDはヤバイんじゃないか？ 」と言われてましたが、(自前運用では)未だにBINDは主流な気がする。Route53を始め、いまやどこのクラウドでも権威サーバはあるので、わざわざDNSをたてる意味はもうないですが。今のDNSを適当にまとめる 権威サーバ・キャッシュサーバ 一緒にするな！は10年前からすでに言われていた。BINDはごっちゃになるのと(無論、きちんと設定すれば分離可能)、セキュリティー問題が当時から多く、djb の tinydns & dnscache という(今となっては)検索しづらい名前のソフトウェアを使っていた。ココらへんの詳しい話はdjbの資料を読まなくても、世の中の常識になった感がある。 ざっとまとめ あとは、このスライドで。 UnboundとNSDの紹介 BIND9との比較編 from hdais www.slidesh
複数の国内サイトがドメイン名ハイジャックされた件をまとめてみた - piyolog
2014年11月5日にJPCERT/CC、JPRSがドメイン名ハイジャックに関する注意喚起を公開しました。また同日日本経済新聞社が同社サイトがこの攻撃を受けていたことを速報で報じました。*1 ここでは関連情報をまとめます。 注意喚起・対策 JPCERT/CC 登録情報の不正書き換えによるドメイン名ハイジャックに関する注意喚起 JPRS （緊急）登録情報の不正書き換えによるドメイン名ハイジャックとその対策について（2014年11月5日公開） JPRS (PDF) 補足資料：登録情報の不正書き換えによるドメイン名ハイジャックとその対策について JPNIC IPアドレス・AS番号/ドメイン名に関する登録情報の不正書き換えに関する注意喚起 タイムライン 日付 出来事 9月第1週 Volexityが日経で不正なサイトへの接続を確認。 10月9日 VolexityがBlog記事を公開。 10月15日
インターノット崩壊論者の独り言 - 頂上は如何に攻略されたか - ルートゾーンへの毒入れ解説
EPIC2014 Google Public DNS (8.8.8.8, 8.8.4.4) および Cloudflare (1.1.1.1, 1.0.0.1) 経由では本サイトにアクセスできないよう措置させて頂いております。 さる6月5日、神戸大学で開かれた電子通信情報学会(IEICE)の情報通信システムセキュリティ研究会での招待講演の資料を公開します。 内容の危険性を考慮し、招待講演は予稿無しとさせて頂き資料も公開しないつもりでした。 しかし、2月に我々が問題に気づいてからはや4ヶ月、JPRS が CO.JP などゾーンが JP から分離していない SLD に署名された TXT レコードを入れてから 3ヶ月、JPRS が背景不明な注意喚起を出してから 2ヶ月がたちました。そして先週あたりから JPRS はその理由を説明しないまま JP と DNS.JP の NS の分離を行いつつあります
DNSキャッシュポイズニングの基本と重要な対策:Geekなぺーじ
2014年4月15日に公開されたJPRSの緊急注意喚起に続き、中京大学の鈴木常彦教授によるDNSキャッシュポイズニングに関する技術情報が公開されました。 今回公開された技術情報に書かれている内容には、DNSの本質につながるさまざまな要素が関係しており一回で書ききれるものではなく、また、書いている側（私）も、それぞれの要素技術について勉強しながら理解しつつ進めていかないと混乱してしまうということが良くわかったため、これから数回に分けて徐々に書いて行くことにしました。 ということで、今回はまず、そもそもDNSキャッシュポイズニングとは何かということと、JPRSの注意喚起に書かれているUDPソースポート番号のランダム化（ソースポートランダマイゼーション）の概要、そしてなぜそれが重要なのかという点について解説します。 DNSキャッシュポイズニングとは インターネットで通信を行うとき、各機器同士は通
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Basics_of_DNS_that_application_engineers_should_know - Speaker Deck
