インターネット終了のお知らせ☆

DNSサーバーに見つかった脆弱性。

セキュリティ企業や組織は
2008年7月22日、2008年7月上旬に複数のDNSサーバー製品で見つかった脆弱性の詳細が、
ネット上で公開されたとして注意を呼びかけた。
公開されている情報を悪用すれば攻撃が容易になるため、
DNSサーバーの管理者に対して、早急に修正パッチを適用するよう呼びかけている。
今回の脆弱性は、細工が施された情報を送信されると、
誤ったDNS情報を記憶させられる恐れがあるというもの。
このような攻撃は、「DNSキャッシュポイズニング攻撃」や「キャッシュポイズニング攻撃」と呼ばれる。

これにより、そのDNSサーバーを利用するユーザーが正規のWebサイトにアクセスしようとした際に、
攻撃者が用意する悪質サイトに誘導される危険性がある。
つまり、悪質サイトのなりすましを許す可能性がある。

複数のDNSサーバー製品が影響を受ける。
例えば、
マイクロソフトやシスコシステムズ、富士通、古河電気工業の製品やISCの「BIND」が影響を受けるとされている。

今回の脆弱性を発見したのは、
セキュリティ研究者のダン・カミンスキー氏。
同氏は、
2008年8月に開催されるセキュリティ会議「Black Hat」において、今回の脆弱性を発表する予定で
それまでは脆弱性の詳細を公表しない予定だった。

それが今回、予定外にインターネットのあるサイトで公開されてしまい、
誰でも閲覧できる状態になっていたという。
この情報を参照すれば、脆弱性を容易に悪用できると考えられる。
このためセキュリティ企業各社や組織では、DNSサーバーの管理者に対して、すぐに対策を施すよう呼びかけている。

対策方法は製品によって異なる。
影響を受ける製品や対策方法などについては、
JPCERTコーディネーションセンター（JPCERT/CC）と
情報処理推進機構（IPA）が運営するWebサイト「JVN（Japan Vulnerability Notes）」の情報が参考になる。

つまり、インターネットでの「スキミング行為」が出来るようになったわけですね！！

DNSとは？
Domain Name System
ホスト名（たとえば、thebbs.jp）をIPに変換する機能。
電話帳みたいな役割。
人間が覚えやすい文字列から、処理しやすい数字に相互変換する機能。

今回の記事の意味は？
ホスト名を入力しても対象のサイト（ページ）にちゃんと飛ばない。
偽装ページに飛ぶ可能性。
最初は正規のページだけど、情報を送信したら本当の送信先じゃないとこに送信してしまう可能性。

つまり。
電話帳で名前から電話番号探したけど、二重線（＝）で消して新しい番号書いてあったからそっちにかけた。状態。

例えば。
銀行のオンライン取引画面で
IDとパスワードを入力して、送信を押した時には送信先が摩り替わってる。
Amazon等の通販サイトで住所入力をしたら、その情報がAmazonじゃないトコにいく。
結局は正規の送信先に届くが、経由され、記録される可能性もある。
SSLも糞もない。

今回の対応策として
DNS鯖を手動で安全なトコに変える。（無料だろほとんど）
IPを直打ちする。（飛んだ先、情報送信時に確認）
↑もともとのIPを知らなきゃ意味がない。
自分が使ってるプロバイダのDNSの安全性を自分で確認する。（末尾に記載）
自分が使ってるプロバイダに問い合わせる。（コールセンターが知ってるかが微妙）

＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿

これはまずいんじゃね？ｗ
KDDIがWebメールの不具合を公開したし、DNSまで脆弱性があると。
まぁブラウザとOSの間で制御できるレベルでよかったぜ。

そろそろセキュリティソフトのうｐデートしないとな。
104日更新してないらしいからなｗｗｗｗｗ（手動だし）

もっとまともなの買おうかなｗ

＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿

自分のDSN鯖の安全性を試す方法。（暫定）

Web-based DNS Randomness Test | DNS-OARC
URL｜https://www.dns-oarc.net/oarc/services/dnsentropy
・URL先に飛んで、センターページの黒いBOXをクリック。
・英語が読める人は読んだ方がいいと思うよ！！
・機能してるポートすべてにアタックしてくるよ！！
・時間かかるから「ゆっくり（ｒｙ」
・結果が表示されたらIPアドレスの次のDNS名を確認。
・各結果の状態を確認。（GREAT＞GOOD＞POOR）

POORが出た人は契約先にメールか連絡してみよう。
それとセキュリティソフトの修正パッチ（要確認）を適応しよう。
GOODの人も安心は出来ない。
セキュリティソフトはパッチ当てしておこう。
GREATの人は安心。でもまぁ、パッチは当てておこう。念のため。

ちなみに　俺は　Yahoo!BBだけど
オールGRAETだった。優秀だな禿ｗｗ

まぁ安心は出来ないからなー。
ニュー速のレス内容だからアクセス集中してたらドンマイｗ