カミンスキー氏が発表したDNSアタック手法と対策例：DNSキャッシュポイズニングの影響と対策（前編）（1/4 ページ）

インターネットの世界を揺るがす攻撃手法が公開される

　DNSの代表的な役割は、IPアドレスとドメイン名、そしてFQDN（完全修飾ドメイン名）を結び付けることにあります。通常この組み合わせはドメインを所有する組織、および個人が、そのドメインを管理するDNSサーバ（コンテンツDNSサーバ、あるいはAuthoritative DNSサーバ）に対して設定を行うことで、そのリソースを必要とするクライアント、およびインターネット全体に公開することが可能になります。

　DNSサーバの機能が、ドメイン情報を公開するコンテンツDNSと、公開されているコンテンツDNSの情報を検索するキャッシュDNSの2つに分かれていることは、おそらく読者の皆さまはすでにご存じのことと思います。この機能に関する詳細は、連載「もう一度見直したいDNS／DHCP」をご参照ください。

　もしこのIPアドレスとドメイン名の組み合わせを第三者が自由に変更できたら……？ 当然の話ですが、DNSという名前解決システムが成り立たなくなるばかりでなく、DNSの仕組みを利用して成長したインターネットの世界が成り立たなくなってしまいます。

　2008年7月、ダン・カミンスキー（Dan Kaminsky）氏により、キャッシュDNSサーバが本来得られる正しい検索結果は、攻撃者による詐称が可能であることが分かりました。これによって、意図しないIPアドレスとドメイン名／FQDNをキャッシュDNSサーバに仕込むことが可能であることが判明しました。過去にもこのたぐいのセキュリティホールや、攻撃手法は存在していましたが、今回の攻撃手法は深刻で、あらゆるキャッシュDNSサーバに対して影響する手法となっています。

　そのため、DNSキャッシュポイズニング対策は、インターネットを利用する誰もが意識しなければならない重要な課題の1つとなった、といっても過言ではないと考えます。本記事では「もう一度見直したいDNS／DHCP」同様、BIND9を利用した環境を例にし、この問題に関する攻撃手法と対処を深くご紹介していきたいと思います。

カミンスキー氏が発見したDNSアタック手法と影響

　まずは、図1をご覧ください。

　図1　攻撃手法概要

　（1）で攻撃者は、存在しないFQDN（FQDNに含まれるドメイン名は存在しても構わない）に対する再帰DNSクエリをキャッシュDNSサーバに送信します。このクエリに対しキャッシュDNSサーバは再帰問い合わせを行います。キャッシュを保持していない場合は、ルートDNSサーバへ再帰問い合わせを行います。これが（2）の通信になります。

　再帰問い合わせの対象となるFQDNは存在しないため、（3）のように、この通信で得られるクエリ結果はどこかのDNSサーバでNXDOMAINが返却されることが本来の結果となるはずです。FQDNに含まれるドメイン名が存在しない場合はルートDNSサーバから、存在するドメイン名であればそのドメイン名を管理するAuthoritative DNSサーバから返答されます。

　では、もしキャッシュDNSサーバがAuthoritative DNSサーバから（3）の応答を得る前に、攻撃者から虚偽の応答（3'）を受け取ったらどうなるでしょうか。そして、その虚偽の応答（3'）の通信元をキャッシュDNSサーバが信用してしまったらどうなるでしょうか。実際、キャッシュDNSサーバは、下記条件に一致したDNS応答を信頼し、自身のキャッシュに蓄えてしまいます。

　攻撃者は本来の答えを返すべきAuthoritative DNSサーバになりすまし、想定できるDNSクエリポート番号とTXIDを類推し、総当たり（ブルートフォース）で虚偽応答を仕掛けてきます。

　(1)で行うクエリに”存在しないFQDN”を用いることで、攻撃試行チャンスを実質的に無限に増やし、総当り攻撃の成功確率を圧倒的に高くできることが、今回の攻撃手法のポイントとなります。従来は、TTLが短い実在するFQDNの乗っ取りについて、そのTTLの切れ目(キャッシュ期限切れ)を狙って攻撃されやすいが指摘されていました

　さらに、この虚偽応答にADDITIONAL SECTIONを含ませることで、任意のドメイン／FQDNの組み合わせ情報をキャッシュることも可能です。ADDITIONAL SECTIONに含まれる情報は攻撃者が自由に設定することが可能であるため、これによりさらに広範なドメイン名とFQDNの詐称が可能になるのです。

　このような攻撃手法を話題にした場合、机上の話ではないか、という声も聞こえてきますが、実際に下記のように攻撃を試みることは容易に可能です。すでにこの手法を用いたツールは公開されており、ちょっとしたUNIXコマンドが利用できれば容易に確認できます。