ｲﾝﾀｰﾈｯﾄ終了のお知らせ。DNSの脆弱性の実証コードがリリースされる。僅か数分で汚染可能

Dan Kaminsky氏のDNSキャッシュポイズニング脆弱性に対してパッチを当てる緊急性が何段階か跳ね上がっている。

　このセキュリティホールを利用する、対象の名前サーバのキャッシュに悪意のあるDNSレコードを埋め込むことを
可能にする脆弱性実証コードが、無料で配布されている攻撃・侵入テストツールであるMetasploitに追加された。

　Metasploitを作ったHD Moore氏によれば、この脆弱性実証コードの作成には|)ruidの研究者と協力しており、
この脆弱性実証コードを支援するためにDNSサービスも作成されたという。

　このコードはここで提供されており、深刻なキャッシュポイズニング攻撃を行うことを可能にするDNSプロトコルと
一般的なDNSの実装に存在する既知の欠陥に狙いを定めたものだ。

　この脆弱性実証コードは、対象となる名前サーバに悪意のあるホストエントリをキャッシュさせる。
対象となる名前サーバに対し、対象となるドメインの無作為のホスト名に対する問い合わせを行うことで、
攻撃者は対象となるサーバへの応答を偽造することが可能になる。この応答には問い合わせに対する回答、
オーソリティサーバレコード、そのサーバに対する追加レコード1件が含まれ、対象となる名前サーバの
キャッシュにレコードを挿入する。

　私とのインスタントメッセージの中で、Moore氏はこの脆弱性実証コードはDNSキャッシュをポイズニングする
のに1分か2分程度しかかからないと話しており、これを改善するためにバージョン2.0に取り組んでいるという。

　Kaminsky氏は、公に数秒間で攻撃を成功させることも可能だと述べている。

　どうか、すぐにパッチを適用して欲しい。

http://japan.zdnet.com/sp/feature/07zeroday/story/0,3800083088,20377716,00.htm

脆弱性情報
http://jvn.jp/cert/JVNVU800113/index.html
【依頼348】

日本語でおｋ

ガンダムに例えて説明してくれ

896 名前：root▲▲ ★[] 投稿日：2008/07/24(木) 18:16:29 ID:???0 ?DIA(100513)
>>895
ということで自分のプロバイダで、

Web-based DNS Randomness Test | DNS-OARC
https://www.dns-oarc.net/oarc/services/dnsentropy

を踏んでみて、もし万一「POOR」って表示されたら、
そのプロバイダのDNSはセキュリティ的に「もうだめぽ」ということで、
すぐにパッチを当てろﾓﾙｧって、メールとか連絡とかしたほうがよさげ。




イーモバはGREATだった

名前サーバにワロタ

パッチとかｗｗｗ　下着かよ

>>4　怖いよ

言いたいこともいえないこんな世の中じゃ

>>4を誰か試すんだ

ゆとりでもわかる言葉でお願いします

DNS! DNS!

でんすぅ〜

>>4
POOR
GREAT
POOR
GREAT
ってでた。

>>4
ノートン先生大激怒

>>4でGREATって出たから大丈夫って事だな？

GOOD
GREAT　だった
つか>>4自体は飛んでも何もないから安心しる

>>10
DNS：ホスト名を管理するシステム。
　　　　ホスト名ってのはいわゆるホームページやメールのアドレスのｘｘ.comとかいう部分。
　　　　ホスト名のコンピュータがどこにあるかという情報を溜め込むための仕組みだよ。
　　　　これが異常になると、www.2ch.net を開こうとするとYahooやオグリッシュが見えたり
　　　　するようになる。

今日のニュース：無料で配布されてるいたずらツールでそれができる。対策には最新の
　　　　バージョンアップを受けなきゃいけない。お前らちょっと危機感持てよ。

というお話。

プロバイダーの中の人、すぐやれってこと？

>>13
その1個目と3個目が今回のやつらしい
よくわからんが…
http://qb5.2ch.net/test/read.cgi/operate/1212665493/896-902

NDSに見えた

ちなみに妊娠じゃないよ

>>4
POORともGREATともGOODとも表示されないんだが。
黒い四角と英文があるだけ

>>21
test my DNS さえも読めんのか

>>22
カレンダー見てみろよ

違うサイトに飛ばされる可能性があるってこと？
SSLを使ったサイトは大丈夫？

>>4
POOR
GREAT
POOR
GREAT

終わったな・・・

>>22
いやいや、そんな言葉どこにも無いんだ。マジで。
黒い四角をクリックしても、ページがありませんだし

>>4
禿BBのくせに全部GREATだった
むかつく

気になるようならとりあえず対策済みのDNSに手動で変えるといいと思う

>>4
Internet Explorer ではこのページは表示できません

になっちゃう

>>4
×
○
○
○
うーん・・・・・

これ読んで理解できるひとには脆弱性なんて問題ない話なんだろうな

ビグロブはAll GREAT

プロテインのスレじゃないのか

unknown
unknown
poor
great
なんだこれ

opendnsはgreatだったぞ。こっちに変えとけ。

安全で高速なDNSを提供する「OpenDNS」 - GIGAZINE
http://gigazine.net/index.php?/news/comments/20060720_opendns/

これ一週間ぐらい前のやつとは違うの？

POOR source port randomness
GREAT transaction ID randomness.
GREAT source port randomness
GREAT transaction ID randomness

なるほどなるほど
すみませんチンプンカンプンです…

ソネはsource port randomnessがPOOR、transaction IDがGREAT

POOR
GREAT
アップデートしないといけないのはわかってるんだけど・・・

appears to have POOR source port randomness and GREAT transaction ID randomness.
appears to have POOR source port randomness and GREAT transaction ID randomness.
appears to have POOR source port randomness and GREAT transaction ID randomness.

POORが三つあるんだけどダメなんじゃないのコレ

全GREATだった

>>4
202.224.32.6 Source Port Randomness: POOR
202.224.32.6 Transaction ID Randomness: GREAT

ASAHIネットだけど2つしか表示されなかった
POORが入ってるので要するにダメポなDNSか

はぁ・・・

POOR
GREAT
POOR
GREAT

はいはいだめぽだめぽ

ぷららは繋がらないや

>>4
ODN
POOR
GREAT
GREAT
GREAT

eonet
GREAT
GREAT
GREAT
GREAT
だった

poor
great
poor
great
だった

>>4
OCN

POOR
GREAT
POOR
GREAT

>>45
eoって61.122.241.179だよね
昨日やったときはpoorだったけどパッチ当てたか

全部GREAT
さすがYBBや

>>4はDNSサーバ一つに対して2つのテストしかやってないからな。
4つ表示されるのは2つのDNSサーバを対象としてテストされてるから

プロバイダのDNS使わずに自前でDNS引いてるおれは問題なし
テストしたらGREAT

DNSくらい自前で引けよ
ttp://ranobe.com/up/src/up286293.png

DNS Resolver(s) Tested:
210.xxx.xxx.xxx (xxxx.xxxxxxxxx.xxx.ne.jp) appears to have GREAT source port randomness and GREAT transaction ID randomness.
--------------------------------------------------------------------------------
210.xxx.xxx.xxx Source Port Randomness: GREAT
Number of samples: 26
Unique ports: 26
Range: 2759 - 65367
Modified Standard Deviation: 20058
Bits of Randomness: 16
Values Seen: 11665 46834 57770 18874 3986 23829 17760 48345 5865 43694 58065 52762 41468 27425 34768 59304 55135 21592 10418 2759 46206 22867 65367 3262 15144 30533

210.xxx.xxx.xxx Transaction ID Randomness: GREAT
Number of samples: 26
Unique txids: 26
Range: 170 - 62998
Modified Standard Deviation: 19920
Bits of Randomness: 16
Values Seen: 38755 27789 170 26322 10231 5514 32879 33048 62998 32150 13124 55089 59187 3252 12929 50016 18378 42236 59238 11022 21590 55946 9457 30467 12822 56448
--------------------------------------------------------------------------------

ぷららそもそも測定すらできねーよ、poor以下ってことか

>>4
メーターが一番右まで行ってるGREATだった

名前サーバーって言うな

ぷららダブルルート、全部GREAT

ＰＯＯＲ
ＧＲＥＡＴ
ＰＯＯＲ
ＧＲＥＡＴ
の奴ってＯＣＮだろ

Source Port Randomness: GREAT
Transaction ID Randomness: GREAT
Source Port Randomness: GREAT
Transaction ID Randomness: GREAT

poor greatだったわ

>>4
Greatだった

OCN

POOR
GREAT

ＰＯＯＲ
ＧＲＥＡＴ
ＰＯＯＲ
ＧＲＥＡＴ

Source Port Randomnessが全部poor で
Transaction ID Randomnessは全部greatなんだが
これってどういうこと？

ページを表示できません　になる〜
あれか　DNS設定してないからなのか

asahi-net
202.224.32.5 (eagle1.asahi-net.or.jp) appears to have POOR source port randomness and GREAT transaction ID randomness.
202.224.32.6 (eagle2.asahi-net.or.jp) appears to have POOR source port randomness and GREAT transaction ID randomness.

フリビ
210.143.144.11 (NS1.FreeBit.NET) appears to have POOR source port randomness and GREAT transaction ID randomness.

どこもだめぽ

SANNET最強伝説

IIJ4U
GREAT二つでした。

みんななに太鼓の達人やってんだよ、、ｗ
しかも下手糞

DIONでやってみた

210.196.5.106 (cns02.dion.ne.jp) appears to have POOR source port randomness and GREAT transaction ID randomness.
210.196.5.107 (cns01.dion.ne.jp) appears to have POOR source port randomness and GREAT transaction ID randomness.

>>48
いや
60.56.0.135と218.251.89.134

>>4
Source Port はPOORだったけど
Transaction ID はGREATだった。
これはどう解釈すれば良いんだ？

駄目ISP晒しスレになりました

ubuntu入れればいい

>>62
説明よく読んでないアホ担当が作業したからパッチだけ当てて設定変え忘れてるんじゃね？
昔のBINDの設定ファイルそのまま使ってるとquery-source port 53;って書いてあるから
それでPOOR出てんだと思う。

１つでもPOORがあれば残念ながら「もうだめぽ」という事です
ASAHIネットさっさと対策してちょうだい！！！

一番やばいのはどこかな

そねっともだめぽ

ucom
POOR
GREAT
POOR
GREAT

俺も>>29見たいになる

全部GREATだたよ。

禿
POOR
GREAT
POOR
GREAT

まあ言うまでもなく永遠に対策されないネームサーバーが過半数を越えるわけですが

GREATとかGOODとかPOORとかIIDXかよ！って思ってしまった

BIGLOBE

GREAT
GREAT
GREAT
GREAT

やった！パフェコンだ！

>>69
そっか
ども

今切り替えて試したけど61.122.241.179のほうはまだ駄目だったわ

>>4
poor
great
poor
great

@so-net

Source Port Randomness: GREAT
Transaction ID Randomness: GREAT
Transaction ID Randomness: GREAT
Transaction ID Randomness: GREAT

Nifty
２つしかでなかったけど

Great
Great
だった

>>4
こいつ何年前のしゃべりかただよ・・・きもいわ

dion

POOR
GREAT

プア多いな

流石eoだ全部Greatだぜ

俺

POOR
NEET
POOR
NEET

>>4
POOR
GREAT
POOR
GREAT

ぷらら

あ、ちなみに@nifty

とりあえず当面の間は個人情報が必要になるサービスをネット上で使うな
メルアドとかパスワードとか入れてる最中に送信先が中華鯖に変わるかもしれんぞ。

>>94
OpenDNS使えばよくね？

>>4
全部グレイトだった＠nifty

ざっく
poor
great
poor
great

>>4
dion軍

Source Port Randomness: POOR
Transaction ID Randomness: GREAT

>>4
全てGREAT
usen

>>95
それでもおｋだろうけど、この状況下で流すの怖くね？

>>1
朝霞こいよー

>>94 >>95
プロバイダのDNS使わずに、自分のマシンにBINDでも入れとけ
http://ring.nict.go.jp/pub/net/bind/9.4.2-P1/BIND9.4.2-P1.zip
DNS引きに行く先を127.0.0.1に設定すればいい

DTI
GREAT
GREAT

>>4
POORだった(´;ω;`)

>>99
>>77
どっちだよ？
今出先だから確かめられねえ

でも正直GREATだからって、
実感がないから大してうれしくもなく。。。

BBｴｷｻｲﾄ問題なし
ふぅ

具体的にはなにをどうされちゃうの？

>>4のtestMyDNSってのにつながらねーんだけどなんでよ
他にtestサイトとかねーの？

>>102
横から頂いた。
が、どう使うかわからんｗ

>>4
appears to have GREAT source port randomness and GREAT transaction ID randomness.
appears to have GREAT source port randomness and GREAT transaction ID randomness.
appears to have POOR source port randomness and GREAT transaction ID randomness
appears to have POOR source port randomness and GREAT transaction ID randomness.
appears to have GREAT source port randomness and GREAT transaction ID randomness

ハゲＢＢダメじゃねーか

2ch.net開こうとしたらhellowork.go.jpが突然見えるレベルって事か

DNSなんてインターネットの親分だろ？
俺に関係あんの？

>>73
なるほど
so-net駄目だな

www.hellowork.go.jp
↓
www hell o work go jp
↓
ｗｗｗ　地獄　お　仕事　行け　日本
↓
日本の地獄の仕事に行けおｗｗｗ

DTI

DNS Resolver(s) Tested:
1.. 202.216.224.12 (nsc02.dti.ad.jp) appears to have GREAT source port
randomness and GREAT transaction ID randomness.
2.. 202.216.229.11 (nsc11.dti.ad.jp) appears to have GREAT source port
randomness and GREAT transaction ID randomness.

>>112
それ大問題じゃねーか

>>29
オレもだ
ぷらら？

そういやいつもいく海外のサイト
いつものURLなのに表示される前に変なページが最初開くんだよな
あれもHPが感染してるのかウチのPCが感染してるのか
最近ややこしくてわけわかんね

>>4
セフセフ!

ちなみにUSEN

なんだよこれわけわかんね死ね

DION軍はダメみたいだな。さっさとメール送るんだ！

> 「もうだめぽ」「モルァ」
失笑

>>4
駄目じゃんdion
dionオワタ

Source Port Randomness: POOR
Transaction ID Randomness: GREAT

何回かやってたら繋がった
振り切れんばかりのグレートだった

久々にデスクトップPC動かしたら
お暑さで5分と持たなかった

あぶねえな
IP直打で繋ぐか、自前のDNS立てるか

>>4を、InterQのプロバイダーに加入してる人に試してもらいたいんだけど？

hi-ho(IIJ系)はGREATが2つでした
安心しました

>>4
全部グレイトだったOCN

POOR
GREAT
POOR
GREAT

ってのはどうなの？意味ﾜｶﾝﾈ

>>132
POORが１つでもあれば、もうだめぽ！

なんかよく分かんないから見なかったことにするわ

>>133
あー、ﾌﾟﾛﾊﾞに連絡したらいいのかな
ＢＩＮＤとか意味分かんないしな･･･

>>4
余裕でPOORだった
プロパイダにパッチ当てろって言えばいいんだよな

えー　おせんにキャラメルう〜

>>130
おれと結果が違うな
1個POORだったぞ

BIGLOBE東

GREAT
GREAT
GREAT
GREAT

マジでいい加減にしてくれよ

レオパレスは糞ですってことですね。わかりました。

地方のマイナーCATVなのに全部GREATだ…

さすがぷららだテストもできんぜ

ODNだけど全部GREATだったわ
化石化が進んでるADSL8Mだけど

>>4
IIJはGREATでした！

OCN

GREAT 
GREAT 
POOR
GREAT 

おいICS BINDのデーモンっていうかサービスが全然開始にできないんですけど。

>>4を開いてからどうしたらいいんだよ

ocnだが1つpoorがある。連絡先が分からんからabuseにでもメールを送るか。

グレートだぜ

とりあえずﾌﾟﾛﾊﾞにメールしたわ

>>4
これ自宅鯖でやってpoorってでたらおわり？

>>148
「Test My DNS」をクリック

>>153
サンクス

そういやDNS自鯖だった
IIJにしたらセーフだった
でも自鯖やべえ

eoでテスト

POOR
GREAT
POOR
GREAT


eo　ｵﾜﾀ＼(^o^)／

ocnｵﾜﾀ
つーか作業中だろうけど、早くしろｗ

C:\WINDOWS\system32\dns\etcに適当に設定ファイル置いても動かんぞー。
っていうかうちはあるけど
固定IPがない人はBINDってダメなの？

>>158
ダイジョブでしょ

>>4
禿だけど二つともGREATだった

POOR
GREAT

もうねーnamed.confから意味がわからん。
こんなの最初に適当なダイアログ開いて会話形式で自動作成してくれよー。

wakwak東
GREATだた

ＮＥＥＴ
ＰＯＯＲ
ＤＥＡＤ

GREAT
GREAT
GREAT
GREAT


うはｗおｋｗｗｗｗｗ

一応usenは大丈夫そうだった
自鯖DNS作るかな

ぷららはテスト参加不可かｗ

appears to have POOR source port randomness and GREAT transaction ID randomness.
appears to have GREAT source port randomness and GREAT transaction ID randomness.
appears to have GREAT source port randomness and GREAT transaction ID randomness.
appears to have GREAT source port randomness and GREAT transaction ID randomness.
appears to have GREAT source port randomness and GREAT transaction ID randomness.
appears to have GREAT source port randomness and GREAT transaction ID randomness.

意味わかんねーよｗ

OCNｵﾜﾀ

>>167
出来たぞ

>>4
AOLだがPOORとGREATだった

GREAT
GREAT
だったよびｇぉべ

>>170
10回くらいやってやっと繋がったわ

>>168
POORが１つでもあればOUT

＞Kaminsky氏は、公に数秒間で攻撃を成功させることも可能だと述べている。

http://blog.wired.com/.shared/image.html?/photos/uncategorized/2008/07/22/kaminsky_by_quinn.jpg

ocn脂肪

OpenBSD最強伝説

zaq死亡

どういうタイミングで感染するの？

>>4
GREAT
GREAT
GREAT
GREAT

だった。

すべてグレート

>>180
@BBIQ

>>4
ODN全部GREATだった

202.224.32.7 (eagle3.asahi-net.or.jp) appears to have GREAT source port randomness and GREAT transaction ID randomness.

アサヒ直った

おお、ASAHIネット対応早い！　GREAT！！！

うおマジで？と思ったら
202.224.32.5
はまだダメじゃねーか。
ｱｶﾋ

まだだったか、ぬか喜びした・・・

BINDいじってて思ったのだがwindowsのDNS Clientって仕事してるのか？
(BINDも)切っても問題なくDNSにつながるじゃん。

ほんとだ。eagle1出てきたらダメだった。
鯖毎に別の設定入れてんのかよ

ひさびさのmake instalｌ

>>4
BBIQ全部Greatでした

appears to have GREAT source port randomness and GREAT transaction ID randomness.
appears to have GREAT source port randomness and GREAT transaction ID randomness.
appears to have GREAT source port randomness and GREAT transaction ID randomness.

自分も振り切れんばかりの ALL GREATでしたヽ(*´∀｀*)ﾉ ｷｬｯｷｬ@ちんちんぷらら

Number of samples: 12
Unique ports: 1
Range: 58110 - 58110
Modified Standard Deviation: 0
Bits of Randomness: 0
Values Seen: 58110 58110 58110 58110 58110 58110 58110 58110 58110 58110 58110 58110

（`ω´；）

1. 218.176.253.106 (dns-b08.bbtec.net) appears to have GREAT source port randomness and GREAT transaction ID randomness.
2. 218.176.253.105 (dns-b07.bbtec.net) appears to have GREAT source port randomness and GREAT transaction ID randomness.
3. 218.176.253.103 (dns-b05.bbtec.net) appears to have GREAT source port randomness and GREAT transaction ID randomness.
4. 218.176.253.100 (dns-b02.bbtec.net) appears to have GREAT source port randomness and GREAT transaction ID randomness.


どうなんだか

1. 218.176.253.102 (dns-b04.bbtec.net) appears to have GREAT source port randomness and GREAT transaction ID randomness.
2. 218.176.253.105 (dns-b07.bbtec.net) appears to have GREAT source port randomness and GREAT transaction ID randomness.
3. 218.176.253.67 (dns-a01.bbtec.net) appears to have POOR source port randomness and GREAT transaction ID randomness.
4. 218.176.253.103 (dns-b05.bbtec.net) appears to have GREAT source port randomness and GREAT transaction ID randomness.
5. 218.176.253.104 (dns-b06.bbtec.net) appears to have GREAT source port randomness and GREAT transaction ID randomness.
6. 218.176.253.69 (dns-a03.bbtec.net) appears to have POOR source port randomness and GREAT transaction ID randomness.
7. 218.176.253.107 (dns-b09.bbtec.net) appears to have GREAT source port randomness and GREAT transaction ID randomness.
8. 218.176.253.100 (dns-b02.bbtec.net) appears to have GREAT source port randomness and GREAT transaction ID randomness.
9. 218.176.253.70 (dns-a04.bbtec.net) appears to have GREAT source port randomness and GREAT transaction ID randomness.



・・・。

俺のブラウザだめぽ＼(^o^)／

TEST　MY　DNS　って書いてる画像まっくろくろすけｗｗｗｗｗｗ

>>194-195

ybb(DNS1st) 218.176.253.65 POOR
ybb(DNS2nd) 218.176.253.97 GREAT


プライマリ消そう・・。

うかつにリンク踏めないな

どういうことかさっぱりわからん、めちゃくちゃわかりやすくどうすればいいか説明してくれ

>>4から「Test My DNS」踏んで一つでも「Poor」って出たらｵﾜﾀ

あのqmailの作者のDNSサーバプログラムはどうなの？
キャッシュと分かれてるから安全とか言うの？

>>199
DNSは2ch.netなど人間がわかりやすいホスト名を実際のIPアドレスに変換
してくれるサーバー。で、この脆弱性をつつくと、2ch.netにつなごうとしたつもりが
そっくりに偽装されたサーバーに接続されたりするってこと
DNSレベルでこんなことされると銀行のオンライン取引でパスワードいれるのも心配

>>202
こええええええええええええええ
うかつにイーバンとかのネットバンクも使えないってことかよ

ネット使ってる俺らユーザーは対策とか何かしなくていいのか？

>>203
脆弱性の無い(正確には小さい)プロバのDNSを勝手に使う
これは無料だし合法のはず

もしくはネットバンク使うときはhttp://202.218.223.135/index.htmみたいにアドレス直打ちする
でも常にアドレス欄を見てDNSを使ったアドレスに変わらないかチェックする
(この場合たとえばデジカメに移るとimpressになるからまた直で打ち直さないと駄目だし
もちろん正確なIPを先に知っておかないと駄目)

>>204
IP直だとVirtualHost使ってる所は無理なんだよな

よくわからんが>>4を踏んだらプライマリとセカンダリDNSが検査されたようだが
1番と3番がPOOR表示だった　つまり脆弱性あるってことだよね
うちは上記のプロバイダのDNSではなくて、LAN内にあるDNSサーバー使ってるんだけどこの場合でも影響受けるの？

よく読んだら影響なさげだ
よかったぜ

全部GREAT
さすが孫さんや

>>206
外部からアクセスできないようになってるんなら、
よほどのガチムチに狙われない限り大丈夫なんじゃないの

>>4
Source Port Randomness: POOR
Transaction ID Randomness: GREAT

OCN

>>4やってみた

POOR
GREAT
POOR
GREAT

ちなみについ最近値上げしたくせに一日30G規制するとかほざいてるボッタクリOCN
もうすぐ縛り消えるし別のとこに変えんぞコラ、このクズ

BBexciteは何の問題も無くGREAT
さすがIIJの回線をそっくりそのまま提供しているだけのことはある

>>4
全部ぐれいとぉおおおおおおおおおおおおおお@Nifty

OCN終わりすぎｗ

なんかポートがやばいって言われてるんだけど
どうしよーーーーーーーーーーーーー


；；


Source Port Randomness: POOR


ちなみにヤフーｂｂ

so-net
POOR
GREAT
ｵﾜﾀ ｵﾜﾀﾖ

>>4
BIGLOBE
greatgreat

OCN氏ね　愛撫先氏ね

CDの時代にレコードってｗ

>>4
ウィルコムおわた

>>215
そういうとこ多いからｗ
でも、あきらめないで「さっさとパッチあてんかい！ｺﾞﾗｧ」すれば、よくなるかも

おでんだが

全部グレートだったぜ

>>221
メール送ったが無しのつぶて

＼(^o^)／

この件もっと騒がれてもいいと思うんだけどな
DNSクライアントにも脆弱性あるんだからサポート期限切れのWin9x系完全にアウトだろ
少なくとも、ネットバンキングで対応OSに9x系入れてる銀行とかはアナウンスしとけと思う

POOR
GREAT
POOR
GREAT

DION＼(＾o＾)／

POOR
GREAT
のふたつだけasahi
ここのDNSは昔からダメって言われてたからしょうがない

>>218ってセーフ?アウト?
今後の書き込みの参考にしたいから教えてほしいでおじゃるぅ

ゆとり@so-netはあきらめますね

ベッコアメは？ベッコアメは大丈夫なの？

インターネットとかしない俺には関係ない話題だな

acca.tokyo.ocn.ne.jp

GREAT
GREAT
だったよ
ちなみにwillcomのadslね

ＰＯＯＲ
ＧＲＥＡＴ
ＰＯＯＲ
ＧＲＥＡＴ

俺のＰＣオワタ

DNSポイズニングって始終聞くが
DNSの仕様自体の脆弱性なのかbindが脆いのかどっちなんだ

GREAT
GREAT
GREAT
GREAT

ぐーれいと！！！！！！！！１

YBB ADSL 8M 東京
全てGREAT

やるじゃない禿のくせに

SANNETーADSL

GREAT
GREAT
GREAT
GREAT

こんなのサンネットじゃね〜
どうやったらPOORにできるんだ？

>>201
導入してDNS解決用のポートをランダムに設定できるなら今回の件では安全
設定できるかどうか調べてみるといい
ただしDNSを引きに行くサーバが汚染されてたら無意味だよ

BINDは既にデフォ設定でポートをランダム化したので、ポートの面では安心
OpenDNSと組み合わせれば安心だし、並行解決プラグインを入れると鉄壁

>>233
今回のキモは、DNSサーバが他と通信する為のポートを固定仕様にしているかどうかの問題が大きい
ツールでは固定されたポートを探しだし、同じポートに信頼を持ってるフリをした偽情報を送りつける事でキャッシュを汚染させる事に成功している
この攻撃方法が騒がれ始めたのは1年以上も前なので、何を今更と言う感じだが、ツールが公開された事が大きかったんだと思う

逆に言うと、ポートを固定させないDNSサーバの場合は、ツールは同じポートを指定して偽情報を送りつける事が不可能になる
ここでは不可能と書いているが実際には数十万〜数百万分の一の可能性で同じポートにアクセスできる可能性が残されている
ただし、ポートを変更する時間をデフォルトより短くすると、効率をそれほど落とさなくても確率を更に下げる事が出来る

もう一つはキャッシュの正当性検査の方法が存在するかどうか
1つのDNSサーバからしか情報を得ていない場合、そのサーバが汚染されれば汚染された情報しか得られなくなってしまう
同時に複数箇所のDNSサーバで名前解決を行い、差異のある場合は再更新を行う等の仕組みが重要
攻撃者側に世界各地に点在する無数のDNSサーバーを全て攻撃出来るリソースが無い以上、数カ所のDNSサーバを汚染しても即座に訂正され汚染は難しくなる

今の所BINDではポートのランダム化は最優先で導入され、今回の脆弱性に対応している
外部DNSサーバーには自動的な汚染除去システムを備えたOpenDNSを利用する事により、汚染された情報を掴まされる可能性はかなり下がる
自前でDNSサーバーを起てている場合は既に対策済みの環境を得る事が可能なので、忘れずに更新しておきたい所だ

>>4
表示できねぇ〜

ルートサーバーってのと違うの？
よくわからない。

YBB ADSL さっきは1つだけPOORだったけど
今やったら全部GREATになってた

ＰＯＯＲ
ＧＲＥＡＴ
ＰＯＯＲ
ＧＲＥＡＴ
＼(^o^)／ｵﾜﾀ
OpenDNSを使うか自前でBind使った方がいんだろうか・・・・

usenもオワタｗ

おっさん！
おっさん！

AmericanOnLine(FreeBit)
FLET'S ADSL 8M

POOR
GREAT

...orz...

ほう

GREAT x6個
OCN
上の方見ると、昨日の午後に首都圏から順に作業していったみたいだな

お、禿全部greatになってた
安心していいのか

禿BBでGREAT

わーい
全部GREATだったー

OCNだめじゃん

Source Port Randomness: POOR なんだけどどういう意味＞＜

ODNのはGREAT。
自鯖はひとまずapache止めた。。。

Source Port Randomness: POOR

apacheじゃねえBINDだあああ

所詮yournetなんてこんなもんだ

信頼性の担保って難しい問題だな。
DNSもどこかの認証局が発行した証明書みたいなものが必要になるかもな。

>>252
ポートが固定されていて攻撃するのが超楽ですよ、と言う意味
例えて言えば、何度間違えてもチャレンジできる現金自動支払機のような物で、攻撃者が自動化していると時間の問題となってしまう
しかもその時間はカップラーメンが出来る時間より短くて済む

ポートがランダムだと1つのDNSを攻略するのに人生丸々費やしても難しくなる
しかも書き換えた直後に修正される可能性も高いので、やるだけ無駄だから攻撃者は攻撃自体を諦める

Source Port Randomness: GREAT
Transaction ID Randomness: GREAT
Source Port Randomness: GREAT
Transaction ID Randomness: GREAT

さすがはIIJ

さすが我がOCN
期待を裏切らないクォリティだ

ぷららGREAT

Windowsだったらパッチ当てればおkなんでしょ？

>>255
BINDのバージョンアップしたら対応済みだったよ
ポートが無茶苦茶ランダムになってて使用済みが即ポイされてる感じ
範囲も1024から上全部を使うのがデフォになってる

設定さえマヌケじゃなければ大丈夫じゃない？

>262
どうかなーWindowsのDNSクライアントってキャッシュもまともに効かないオマケ機能だからねー
レジストリいじらないと問い合わせ先からの返答かどうかもチェックしないし
ちょっと慣れてる人なら高速化とセキュリティー向上を兼ねてWindows版のBIND使ってる気がする

ってかこれって大変なことじゃないの？なんで全然ニュースとかになってないの

202.224.32.5 (eagle1.asahi-net.or.jp) appears to have POOR source port randomness and GREAT transaction ID randomness.

ASAHIネットまだかよ！

1000円しか払ってないのにtikitikは
greatだった

asahiはDNS反映遅いしこの際他のに変えた方がいいかもね

ieのアドレスバーで直接数字をたたいてもだめなのか？

>>269
それなら大丈夫でしょ

↑名前解決はしないみたいですね　ありがとう

>>237
そうそう。ルートDNSが安全ならこっちも安全だろ。

>>4
これ、真ん中の黒い四角を押せばいいんだろうけど、ボタンならもうちょっとボタンらしい
デザインにして欲しいよなー
最初は、どこクリックすればいいのか迷ったぜ

とっとと対策しろOCN

すまん、あほなこと聞いていいか？
これってケータイはどうなるの？

218.40.229.16 (c-dns011.bbiq.jp) appears to have GREAT source port randomness and GREAT transaction ID randomness.

おｋおｋ

OCNだけど、ずーっとsource port randomnessは全部POOR

これ、ネットでカード使うのは、やめた方がいいってこと?

>>277
>>35のOpenDNS使えば無問題

いざという時はしっかりしていると思って使ってたのにOCN糞じゃん
この期に乗り換えるわ

全部グレートだったけど安心していいの？

全然繋がらないがbiglobeは全部GREATぽいから安心した
ﾔｯﾃｸﾚﾙ

1 appears to have POOR source port randomness and GREAT transaction ID randomness.
2 appears to have POOR source port randomness and GREAT transaction ID randomness.
3 appears to have POOR source port randomness and GREAT transaction ID randomness.

さすが顧客不満足度ナンバーワンのOCN。

それで別のページに飛ばされたって実例はあるの？

OCN（メイン）…>>282と同じ
BBexcite（サブ）…全部GREAT

これってhttpsでブラウザに打ち込んでも、実際のIPアドレスと異なった偽装されたサイトに繋がってる事もあるんだよね。
https//ebank打ち込み→yahooの表示なら実害はないけど

https//ebank打ち込み→ウイルスサイト
https//ebank打ち込み→ebank(偽装サイト)→ログイン打ち込み→ログイン情報ゲット　が問題なんだよね。

接続後、ブラウザのアドレスが正常に表示されている事を確認しても、
ブラウザで右下に表示されるhttpsの鍵マークを確認しても大丈夫かどうかは解らないの？

https//ebank→ebank(本物）でも　ログイン打ち込み→ログイン情報送付先のアドレスが汚染済みの場合では
暗号化された情報or暗号化される前の情報ゲットとかされるのかな。
httpsの通信だと暗号化されているから通信データを抜かれても大丈夫だと思ったんだけど。

えーと、一回計測しただけの場合はGREATだったから安心って訳ではないよ
殆どのDNSサーバーはは負荷分散してるから、仮にPrimary-AとSecondary-Bを使っていても、実際には別のDNSから引っ張ってきてる事が多い
多分今回のチェックで全然知らないIPが出てる人はそう言う負荷分散システムが使われている
特に大所帯のプロバイダの場合は間違いなくそうなっている

その場合、たまたまそのDNSサーバーが安全だっただけで、そこが忙しかったり停止している場合は他に回されるから、今度はそこの強度が問題になったりする
なので、今回たまたまって可能性もあるから非常に確認し辛い

>>285
httpsを使用した場合、そもそもyahooのサーバがhttpsのポートでサービスを提供して無いだろうから、繋がらない気がする。
仮に偽装サイトに誘導されたとしても、証明書を要求するようなhttpsの接続ならば偽装した証明書も必要になるから、セッションが
確立できないんじゃないかな。まあ、一時鍵を利用して通信する場合にはアウトだろけど。

>>286
>>35のOpenDNSの設定したら大丈夫なの？

>>288
大丈夫だよ

以前から問題になっていた、DNSキャッシュポイズニングの脆弱性に対して
個人的にチェックをかけてみたところ
ポートが固定されていてとても脆弱だという結果が出ました。
この場合、DNSサーバーを他社の物に個人的に変更したり個人でポートランダム化をしなければならないのでしょうか？
インターネット上で個人情報などを取り扱うことがあるので非常に困惑しております。

DNSキャッシュポイズニングの脆弱性に関して、パッチを当てるなどの対策、もしくは対応の方お願いいたします。


プロバイダに文句言うメールはこれでおｋ？

>>289
ありがとう、ネット通販しようとしてたから困ってた。

初心者な俺は下手に設定をいじるのが怖くて
>>35をやる勇気もないのだけど
とりあえずカード番号とか入れなければ安全ということでおｋ？

帰省中だ！どんな名前で表示されるのかwktk

>>290
何て書いたらいいかわかんないから、脆弱性情報のURLと
>>4のURLとPOORの結果をメールしたら、さっきプロバイダで対応してくれたよ。

>>4
JCOMｵﾜﾀ

JCOMがこの程度のことで対応するなんて思うなよ

>>35の手順通りにやってもOPENDNSに振り変わらないんだけどなんで？
最後のチェックで必ず×になる。
ちなみにOCNです。

>>4
全greatとはbiglobeやるじゃん

>>298変態新聞テラかわいそすｗｗ

ZA志望のやつか

dion軍は当然のようにぷあーです！

biglobeで良かった

> 作成には|)ruidの研究者
何コレ

>>2
DNSっていう、ドメイン名からIPを導いたり、IPからドメインを導いたりするサーバーがある。
そのサーバーは検索されたドメイン-IPとの対応をキャッシュ（１時保存）しておいて、同じドメインのIPが要求された時に
高速に返答する、キャッシュ機能がある。

そのキャッシュ機能に偽の情報等をしくんで攻撃するキャッシュポイズニング攻撃に対する脆弱性が新たに確認されて
早急に対処してほしい

ってことだそうだ

OCNは今日も問題無くGREAT
上の方で駄目って言っている奴は何処に繋いでいるのかな？

対応したんだろ？

だめなのは、
福島県,宮城県,神奈川県,東京都,大阪府,岩手県,山梨県,群馬県,秋田県,青森県,北海道

神奈川県,東京都は一部かな。
とうほぐはだめみたい。

poor
great

dion

あ、大阪が・・・

>>307
俺の所はhodogayaに収容されてるから、丸の内とかデカイ所から順に作業してるのかな？
わざわざthx

どこのocnだよ
60.37.13.167 appears to have POOR source port randomness and GREAT transaction ID randomness.
60.37.14.167 appears to have POOR source port randomness and GREAT transaction ID randomness.

ＰＯＯＲ

プア
グレ
プア
グレ

>>311
京都も駄目か
203.139.160.104 (ns-tk022.ocn.ad.jp) appears to have GREAT source port randomness and GREAT transaction ID randomness.
211.129.12.218 appears to have GREAT source port randomness and GREAT transaction ID randomness.
203.139.160.105 (ns-tk023.ocn.ad.jp) appears to have GREAT source port randomness and GREAT transaction ID randomness.

dionにメールしたよ。

> 貴社のADSLサービスを約3年間利用させて頂いております、XXXXと申します。
>
> ご存知のことと思われますが、DNS実装の脆弱性を利用し効率的にキャッシュポイズニングを行う手法が非常に大きな問題となっています。（詳細は下記を参照してください）
> http://jvn.jp/cert/JVNVU800113/index.html
>
> 私の方で調査しましたところ、貴社提供のDNSサーバはprimary/secondary共にPortの使用パターンが均一であり、セキュリティ上の問題があるようです。
>
> 【調査元】
> https://www.dns-oarc.net/oarc/services/dnsentropy
>
> >210.196.5.106 (cns02.dion.ne.jp) appears to have POOR source port randomness and GREAT transaction ID randomness.
> >210.196.5.107 (cns01.dion.ne.jp) appears to have POOR source port randomness and GREAT transaction ID randomness.
>
>
> 本問題の影響範囲を鑑みると、上記のセキュリティ上の問題が解決されるまでは、信頼性を必要とするウェブサイトを利用することは非常に危険であると考えます。
>
>
> つきましては、下記についてご回答頂けますでしょうか？
>
> １．貴社提供のDNSサーバの本問題に関するセキュリティ上の脆弱性について、対応される予定はありますでしょうか？
> ２．（１．で予定されている場合）それはいつでしょうか？また、対応されるまでの回避策についてご教授下さい。
> ３．（１．で予定されていない場合）対応されない理由についてご教授下さい。
>
>
> 以上、何卒よろしくお願いいたします。

>>290
普通のプロバイダならそんな事いちいち指摘されなくても百も承知。
近日中に対応されるはず。
そもそもそんな簡単に攻撃が成功するとは思えん。
そんなヤバイ状態ならすぐにサービス止めてメンテするのでは？

まあ一般ユーザーが心配してもしょーが無いよって事。

BIND9でフォワーダーは設定してない。
125.173.255.108 (p5108-ipad113fukuokachu.fukuoka.ocn.ne.jp) appears to have POOR source port randomness and GREAT transaction ID randomness.

あんまり伸びないね、みんな怖くないのかな

>>318
金曜くらいに別スレが1000まで行ったし、今はスレが重複してるからじゃね？

>>4
ﾌｧｲｱﾌｫｯｸｿだとエラー返されるな。
やっぱデファクトスタンダードであるIEさん最高や！

うち、YBBだから不安だわ。
対策も遅れると思うし、むしろ、内部から悪用されそうでな。

BBIQ全てGREATでした
オールGREATなら特に対策しなくておｋ？

>>4踏んだけど2つしか出なかった。poorとgreat
みんな4つ書いてんのはなんでなんだ

これISPじゃなくルータが悪いのか？

とりあえずOpenDNSに切り替えた。
してこれはどの程度信用できるんだ？

>>318
ここの連中何言ってるのかワカンネ
半分は工作員ぽいし・・

金曜にやったときは3つ目がPOORだったけれど
今やったらすべてGREATになった
おでんGJ

オールグレート
どマイナープロバイダなのにがんばっとる

DION軍
ぷあ
グゥレイトォ
ぷあ
グゥレイトォ

よく分からないから、回線切手吊ってくる。

ビグローブはグレイトか、よかったよかった

>>4
だいたいＰＯＯＲﾜﾛﾀ

つまり俺は何をすればいいんだよ

>>321
ちったぁスレ嫁
YBBは解決済み

>>323
DNSの登録欄にプライマリーとセカンダリーが無いかな？
その両方に対して2つずつ検証するから表示が4つになる
プライマリー1つしか登録していない場合は2つしか表示されないだろうね

うちは、Primary・Secondary・Tertiary・Quaternary・Quinary・Senary の6つを登録してあるが、どうも二カ所までしか計測してくれないようで4つしか出ない

>>318
みんな知らないだけ
ニュースを見て内容が書かれていても、自分にとってどう危険なのかって部分と頭の中で繋がらない場合は脳みその一時記憶野に保存されておしまいなんじゃないかな？

>>316
どうだろ・・・
危険性があると報告されたのが数年前、実際に確認されたのが1〜2年前、各種DNSサーバー用の対策版が出たのはその直後
なのに一年以上放置ってプロバイダもざらにあるからね
何故更新に乗り出さないかというと、キャッシュの生存時間が短くて、正しいデータだろうが不正なデータだろうが時間が来たら捨てられちゃうから被害が広がり難いというのがある
つまり被害者が出たとしても瞬間的なものだから放置って事だね
因みに攻撃自体は十数秒〜数分で終了するよ、ツール使って穴付きの自鯖DNSに使用して成功した
対策済みの場合は永久に近い時間が必要になるね

>>317
forwarders を設定してないとRootに聞きに行くよね？
効率の関係からどうかなと言う気もする
キャッシュとしての最大効率を考えたら forwarders に安全なDNSを登録して forward only だと思うけど・・・
閉じてる系なら別に良いけどね

理想
ttp://up2.viploader.net/pic/src/viploader719896.jpg

>>102
自分のマシンのdnsサーバが汚染される可能性もあるぞ

>>325
かなり信用できる
と言うか、信用できるように作られたという方が近いかな
基本は各メーカーのDNSの信頼性を向上させるために、嘘をつかないDNSを作り上げ、ついでに世界各地からの応答速度も向上させようというのが狙い
大企業になると自前の設備では世界規模のDNSを自力解決出来なくなっているという背景もある

だからOpenDNSのIPは2つしかないけど、世界各地に負荷分散されて恐ろしい数の非公開サーバが存在している
そのサーバ間でデータの検証を常に繰り返しているので、同時に複数のサーバに対して攻撃成功しないとキャッシュを書き換える事は不可能になっている

>>326
危機感を煽るつもりもないけど大丈夫だよと嘘も言えないからね
知ってる人の場合は数年以上前から分かってた穴だから、やっと噛み砕かれて普通の人の目に見える形の危険になったと言うだけなんだよ
ここに書かれてる事はBIND等に代表されるDNSサーバーの設定ページには必ず書かれてる教科書的な物

DNSキャッシュサーバーを起てるとネットの表示速度が激速になるので無料のBINDを使ってる人も多い
そう言う人は既に対策済みなので、今回のニュースも「うわ、やっとニュースかよ」みたいな感じになってる

言い方を変えると、マニアの間では当然の事実なのに、お昼の主婦向け番組で一年後ぐらいに特集が組まれました、みたいな？
思わず「やっとかよ！」みたいな裏手ツッコミ入れて、後は「どれどれ間違った事言ってやしないかな？」と確認する程度の気持ち

>>328
マイナーなプロバイダだと夜中にこっそり再起動するのも楽だし、DNSサーバーも普通は2つしかないから作業も楽
サーバープログラムその物は無料だったり安価だったりなので、作業者の知識と危機感があれば最高レベルもありうるね
知識と危機感があっても大手だと申請やら報告やら止めるタイミングやら費用やらで遅々として進まない方が多い

>>337
詳しい解説サンクス
これならOpenDNSがマンセーされるのも当然の気がする

>>102
BIND入れてLAN内だけで済ますならともかく、外に出るなら必ずどこかからネタを仕入れなきゃならない
そのネタ元が汚染されていると自前のBINDのキャッシュも汚染されてしまうよ
特に個人の場合は高効率化を狙ってキャッシュの生存時間を延ばしてる事が多いから、一度汚染されるとプロバイダのDNSより長期間被害を被りやすい

だからネタ元のDNSサーバーが安全かどうかは非常に大事

ctt.ne.jp（富山ケーブルテレビ）なのだが、
>>4のTest My DNSのサイト先が、
Slepnir:「サーバーが見つかりまっせん」
Firefox:「アドレスが見つかりません」って言われる。
どうしたよい？

ルーターのDNSをOpenDNSにしときゃーいいのかなあ？

>>340
プロキシ使ってるか、単に名前解決で失敗してるか
後者の場合はプロバイダが選択消去してると言うのも含まれる

そう言えばOpenDNSにはフィッシングサイトの名前解決をしないという機能も付加されている
非常に悪意に満ちたサイトのアドレスは解決しない事になってるので、ウイルスてんこ盛りのアダルトサイトなんかはアクセスできなかったりする
ある意味検閲でもあるので歓迎はしないけど、普通の人には被害が無くて便利な機能

>>341
ルーターのNAT経由で接続しているんだけど、ipconfigで見たら、
DNSがルーターのアドレスになっとる。
このせいかな？

great greatでひとあんしん？

これでいいのかTTL　短いDNS TTLのリスクを考える
ttp://www.janog.gr.jp/meeting/janog19/files/DNS_Minda.pdf
によると

・キャッシュのTTL（生存時間）を長くすると
　攻撃者が単位時間当たりにキャッシュサーバに対してかけられる攻撃の回数に
　制限をかけることができる

・キャッシュサーバが外部のネームサーバに情報を問い合わせるときの
　発信元のポート番号を毎回ランダムに変えると
　攻撃者がキャッシュサーバ-ネームサーバ間の通信に横から割り込む可能性を
　小さくできる

DNS Cache Poisoningの概要と対処 (Dan KaminskyによるDNS脆弱性指摘に関して)
ttp://www.nttv6.net/files/DKA-20080723.pdf
によると

・今回の脆弱性は，TTL=0になったようなもの
・キャッシュサーバの設定で問い合わせの発信元ポート番号が固定になっていると，パッチを当てても効果無し
・さらに，キャッシュサーバがNATの内側にあって，
　NATから外への発信元ポート番号がきれいに連番で整列してたりすると，これもパッチの効果無し

ローカルで確認した後、ルーターのをOpenDNSに変えてみたら、>>4の見られました。
greatで阪神。

ナンシーより緊急連絡

ID:27BM70u20
誰だよコイツ

内容が正しいかどうかが重要
それさえOKなら誰でもいいよ

>>87
warota

>>4
こういう所はniftyGREATだな

>>316
承知してても対処してないなら同じこと。

誰か教えてくれ
http://iii.s297.xrea.com/src/up1103.png

ルータの設定欄のここにOpenDNSのIP(?)入れて適用させて保存したんだけど
POORがでて、適用されてないみたいなんだが、これじゃだめなの？

>>35のやり方だと適用されたみたいでGREATになるけど
うちパソコン5台もあるから全部やるのめんどくさい。

ルータに入れれば一括で出来るんじゃないの？

ZAQｵﾜﾀ

>>352誰か教えてくれIP入れるところここじゃないのか？

LAN側と書いてある
インターネットまで出ていかない社内ネットワークなどの問い合わせ用のDNSじゃないか？

>>355
そうか、違うのか…
ずっと探してるけど他だったらどこなのかわからんなー
DNS設定って項目だからここしかないと思ったんだが

ルータが簡易DNS機能を持っているなら
ルータの設定はそのままに、パソ側のDNS先をルータのIPに変えればダメか？

ビッググローブは大丈夫でした。

>>357
>>352の所そのままでPCのDNS先に
192.168.1.1みたいにルータのアドレスにするってことか？
難しくて何言ってるのか俺には理解できないから諦めるわさんくす

ぷららはテストすら出来ないのか

>>4
Test my DNSを押しても、別ウィンドウが開いてページを表示できませんって出る　なぜだ？

>>4
全部GREATだったよ
プロバイダ名は伏せる

おしんで1個目と3個目がPOORだった

≫三六一
Firefoxだとエラー返される。IEでやれ。

IEでもダメっぽい…
接続環境が悪いのか

つかルータの簡易DNS機能は平気なの？

J:COM・・・。

うちのP-DNSはBINDなんで心配です
古いマシンなんで、パッチも提供されません
どうすれば、よいですか

>>368
ISC BINDの最新版を入れれ

>>352
そもそもルータのDNS設定はあってるけど
LAN内のPCが参照する先がどこになってるのかが問題だぞ
ルータのIPに向いてなければ当然適用されない

OCNうんこだったのでOpenDNSに変えたら問題無くなったんだけど
DNSキャッシュクリアとかしといた方がいいの？
よく分からんけど

>>365
何回もリロードすれば逝ける

ぷららの俺はどうすれば

IEで何回もリロードしたら逝けたわありがとう

nLiteでipconfig削ってしまったせいでキャッシュがクリアできない件
ttp://www.uploda.org/uporg1570173.png

>>375
セットアップCDから入れればよくね？

>>4行ってみたけど、GREATとかPOORとかなんも表示されないんだけど

>>377
Test my DNSってバナーをクリック

>>378
ないからLogoってなってる画像クリックしたが、英文が出て来るだけでそれらしい結果は出てこなかった

Opera使えばいいのに
快適にチェックできるよ

光禿
GREAT
GREAT
GREAT
GREAT

二つ表示されてるんだが
上がPOOR　下がGREAT

ちなみに　T-COM

DNS Resolver(s) Tested:

1. 133.205.66.13 (bsab45046.tk.mesh.ad.jp) appears to have GREAT source port randomness and GREAT transaction ID randomness.

Test time: 2008-07-27 05:58:14 UTC

>>373
全部GREATだったぞ。

>>4
t-com┗(^o^)┛POOR

>>385
同じだｗ

>>4
eoは大丈夫みたいだな

イット土方は夏休み無しやで、さっさと仕事しとけよｗ

ぷららだけど表示できません

ぷらら更新押しまくったら出た
全部GREAT

この問題を遊戯王に例えてくれ

ocn
porr
great
poor
great

どうすればいいんだ？PC初心者だからわかんね

OCNクソすぎる…とりあえずOpenDNSにルータの設定変えた

>>393
でも、ルータも対策とらないと脆弱なままなんだぜ。

>>364
Firefoxで普通にテストできていますが

そもそも自網外からの自ゾーン以外の問い合わせは拒否すれば解決って話ではなくて?

>>394
そうなの？
クライアントで直接DNSの設定をしていると、ルータの設定関係無しだから危険という意味？

>>397
ルータによるけど、DNSサーバと同じように攻撃を受けるとキャッシュが汚染されて、
それをクライアントが参照するので、脆弱なままになると言う意味。
YAMAHAのRTシリーズは、回避方法を解説してる。
ttp://www.rtpro.yamaha.co.jp/RT/FAQ/Security/VU800113.html

Windowsは7/9のパッチで対応してるから、ルータの対応が終わるまでは、OpenDNSの
アドレスをルータでなく直に設定すればいいかと。

元々丸の内OCNだけど最近のｷﾁｶﾞｲｺﾃ（既に強制退会）による
永久規制中に契約したサブISPが全部GREATだったのでそっち使ってる

>>393
心配しなくても大丈夫
普通外部からのアクセスを受け付けない個人のPCには攻撃者は来ない
仮に個人のルータを攻撃したとして・・・

・キャッシュを汚染させても飛ばしたいURLへアクセスするかどうかが不明
・全て成功しても被害を受けるのは個人か少数のユーザーに限られる
・再起動されたら終わり

この状況下で個人を、しかもステルスの効いた誰とも分からん奴のルータを攻める気力のある奴はいない
攻撃する対象とは・・・

・外部からのDNS要求に応えられるようポートを開放している
・内部でDNSサーバが稼働している事が分かっている
・不特定多数のユーザーが利用しており、汚染させたURLへ誘導できる可能性が高い
・被害を与えられるユーザー数が多い
・再起動されない、キャッシュがクリアされない事が予想できている

つまり、DNSサーバーを公開している一部の個人や企業、プロバイダ等のDNSサーバーでないと攻撃する価値が薄い
そこを攻略すればそこから引いている個人も巻き込めるので、普通は大手から攻める

>>396
外部からの問い合わせに乗って攻撃されるのではなく、外部への問い合わせに正規のDNSサーバのフリをして嘘の情報を流し込まれる
なのでインターネットに出る構成のDNSサーバの場合は汚染される可能性がある
特に外部への問い合わせを同じポートで行っていると、次に通信が発生した時に狙って攻撃出来るようになるので攻撃しやすい、と言う話
ポートを短い時間でランダムにしておけば狙えなくなる

>>397
ルータのDNS問い合わせポートが固定だったりするとルータのDNS機能でもクライアントからでも危険性は同じ
ルータが毎回ポートを変えてくれる場合はクライアント直でもルータのDNS利用でも安全性は高い

>>400
PC詳しくない俺には天才に見える

よくわからないままBINDを導入して
forwarderにOpenDNSのアドレス2個入れてforward onlyにした。
うまく動いてるようなのでこれで俺は無敵っていうことでいいの？

>>400
つまりOpenDNSを使わなくても大丈夫……って事ではない？

そっちなのか。情報が錯綜しててようわからん。
サンプルコード見たらIP偽装してるようで、そんなパケットを
インターネットに送信出来る奴って結構限られてない?
つか、無関係な Addtional record を信用しちゃうの?
一番簡単な解決方法がソースポートのランダム化?

>>4を開いてもアドレスが見つかりませんとでる…
不安だわ
ちなみにOCNです

>>402
use-v4-udp-ports { range 1024 65535; };
//use-v6-udp-ports { range 1024 65535; }; ←もしIPv6使用なら有効にする

上記は書かなくてもデフォで有効だが、書くとこんな感じとなり、1024 65535 の部分でどの範囲をランダムに使用するかを指定できる
範囲が不用意に狭いと予想されやすくなってセキュリティー度は下がる

ファイルとしては最低限以下の物が必要かも(名前は好きに決められるけどね)
これはキャッシュサーバーとしてだけの動作用で、検索すれば中身は分かる
コピペで大丈夫だが、DNSサーバ名は懲りたければ好きなものに変えることが出来る

localdomain.zone
localhost.zone
named.broadcast
named.ca
named.conf
named.ip6.local
named.key
named.local
named.private
named.rfc1912.zones
named.rfc3330.zones ←プライベートIPを外部に問い合わさないようにするための設定、速度も向上する
named.zero

詳しくは検索よろしく

>>403
プロバイダのDNSがグレートなら安心だと思う
でもプロバイダのDNSが止まった時なんかの為に予備で登録しておくと安心
BINDの場合は負荷分散時に勝手に暇なDNSに問い合わせてくれるので、登録数が多い程名前解決の速度が速くなる

>>398,400
なるほど…ありがとう
ヤマハルータみたく、ポートをランダムにしてくれるようなステキ機能は
うちのには無いので、クライアント側のDNS設定も変えておくよ

>>404
今の所一番簡単で確実なのがポートのランダム化
これなら直撃されても耐えることが出来る

本来は途中の経路が変な出所のパケを通さないほうが良いんだけど、所詮経路の管理は赤の他人の仕事
見た事もない他人のセキュリティーを信じるぐらいなら、自分で最大限努力するほうがマシ

BuffalloのWHR-G54Sだけど、これは大丈夫なのかな？

とりあえずよく分からんがルータ置いて、DNSをルータにしている中小企業が一番ヤバイ。
実際のところ問い合わせの発生を検知してタイミング良く偽情報を返さなきゃならんので
大規模な（多数のDNSリクエストが発生する）ネームサーバ以外にはそうそう簡単に攻撃は出来んとは思うが。

プロバイダで名前解決を引くと分かるけど、残りキャッシュ時間も丁寧に教えてくれる事になっている
例えばBINDではこんな感じ

(略)
;; QUESTION SECTION:
;www.asahi.com. IN A

;; ANSWER SECTION:
www.asahi.com. 753 IN CNAME www.gslb.asahi.com.
www.gslb.asahi.com. 20 IN A 210.173.169.216

;; Query time: 0 msec
;; SERVER: 127.0.0.1#53(127.0.0.1)
;; WHEN: Sun Jul 27 19:36:09 2008
;; MSG SIZE rcvd: 70
(略)
Query time がゼロなのはローカルでキャッシュされていて一瞬で名前解決されているから
当然ページも即座に表示される

上記の 735 や 20 と言うのが問い合わせ先のサーバでの残りキャッシュ時間で、何度も繰り返すと順次減っていく
つまり、DNSサーバーに名前解決を行える者なら誰でもキャッシュの生存時間は知る事が出来ると言う事

となると、あとはキャッシュがクリアされる瞬間に www.asahi.com の解決を出して、プロバイダのDNSが外部に問い合わせるタイミングで偽装した情報を飲ませるだけになる
自分で要求して自分で罠を用意するので「いつだか分からないけど連続アタック」と言う方法を使わなくても良い
(いくつか技術的な難関はあるだろうけど)

多分狙い目は中程度のプロバイダのDNSサーバーだと思う
本当に忙しいDNSサーバーだと時間切れと同時に誰かの要求で正規の情報が差キャッシュされる事多く、偽情報を飲ませるタイミングがシビアになってしまう
ある程度暇な地方のCATVクラスの場合、有名サイトでも常にキャッシュされているとは限らなくなるので、工作に余裕も出るだろう

>>411
俺のプロバイダが危ないということか

>>405
TCP/IPのプロパティでDNSのアドレスを指定していないんじゃ？

>>413
してないと思う
それなら問題なし？

>>400
でも個人でも利用者が高いGoogleやMicrosoft Update、Yahoo!とかが偽
造対象にされる可能性は高いよな。
それに、個人ユーザーでも（今更ながら）P2Pを使っている人や、ハイバ
ネーションでPCを切ったりするユーザーは再起動しないと思う。

>>414
いや、それだと>>4のページでテスト出来なかった筈
DNSのアドレス指定してやってみ？

>>416
ゆとりですまんけど、やり方は…？

>>4
wakwakさんは本当優秀だな(・ω・*)

>>415
前提条件として、キャッシュの切れる時間を知らなきゃならないからなぁ
個人のルーター相手にDNS解決要求投げても無視されるだけで、キャッシュの存在や生存時間が外からでは分からないよ
となると「連続アタックでたまたまGoogleのキャッシュ切れを狙う」と言う戦術しか残されていない
最近のルーターにそれをやると確実にアク禁喰らって無視されるしね
ちと・・・と言うか、かなり難しいと思う

P2Pの人は危険度は高そうだね
昔より常時接続の率が高くなってるから、危険度自体はすごく高くなってるんだろうけど

ところでハイバネーションって時計進むよね？
ハイバネ抜けた頃にはキャッシュが消えてる・・・なんて事は無いか
(ハイバネ使うPCがDNSサーバー起ててるって言うのも無い気がするけど)

JCOM駄目じゃん・・・

>>419
>キャッシュの存在や生存時間が外からでは分からないよ
そうなのか。
あとキャッシュには有効期間があるの忘れていた。下一行はなしで頼む。

>>417
TCP/IPのプロパティ下段にDNSのアドレス入れる所があるから
そこにDNSのアドレスを入れればOK
DNSのアドレスはOCNからの書類に載っているでしょ

>>35
�d　greatになったよ　助かった。
so-netがpoorで困ってたんだ

>>422
やってみるよ
ありがとう

今さらですが>>4のテストってプロバイダーのサーバーをチェックするみたいですが、
不正アクセスにはならないのでしょうか？

NTT光プレミアム
CTU内のDNS設定が反映されないな・・・
バグってんのか

関係ないかもしれないけど教えてほしい
janeで取って来いと命令する
なぜかUDP255.255.255.255でリモートポート53ローカルポート65535を許可しないと
TCP80が発射しない
XPhome設定は何も変えてないルーターありで工場出荷状態kasperskyのfirewall
firefoxは始めにUDPを飛ばしていないと思うのですがどうなんでしょうか？

>>411
なるほど、Cache TTLが0秒になったのと同じ攻撃が可能になった、ってのはこれの事か

>>427
>UDP255.255.255.255 リモートポート53 ローカルポート65535

肝心のリモートIP(または接続先でもいいけど)が書かれてないけど、どこ宛てか分かりますか？
あとPCのプライベートIPとルータのプライベートIPは何かな？

>firefoxは始めにUDPを飛ばしていないと思うのですがどうなんでしょうか？

飛ばさないと先に進めないはずです
どこ宛てかは設定次第ですが、先ずはUDPでDNSサーバーに問い合わせるはずです
その後名前解決を受けてからTCPでの通信に入ります

ただし、普通は255.255.255.255は範囲指定時に使われるだけで、実際にプライベートIPとして使われる事は極希なはずです
思うに255.255.255.255の前に192.160.X.X等の範囲開始IPが書かれていませんでしたか？
65535の方もその前に1024等のレンジポートが書かれていませんでしたか？

あと、デフォでは無いと思うのですが、ルータのIPが255.255.255.255だったりしますか？

なんでこんなに質問攻めにするかというと、それら必要な情報が全く書かれていないからです

1. 60.37.14.166 appears to have POOR source port randomness and GREAT transaction ID randomness.
2. 60.37.13.165 appears to have POOR source port randomness and GREAT transaction ID randomness.
3. 60.37.13.167 appears to have POOR source port randomness and GREAT transaction ID randomness.
4. 60.37.14.165 appears to have POOR source port randomness and GREAT transaction ID randomness.
5. 60.37.14.168 appears to have POOR source port randomness and GREAT transaction ID randomness.








OCN糞すぎﾜﾛｴﾅｲｗｗｗｗｗｗｗｗ

会社のもやらんといかんのだが、上司に説明するのがめんどい。
つーか、説明してもわからんだろうし。

>>431
わからん癖にしつこく理由を聞かれるんで面倒くせぇ

>>431
「当社の社員が被害にあったり、重要な情報が外部から見られてしまう可能性があります」
と切り出して、実際に想定される被害の例を出せばいいかと

仕組みを説明すると向こうも「分からない事を聞かされている」となる可能性が高いですし、管理職は基本的に「危険が避けられればそれで良い」と言う事が多いので
変更によって防ぐ事が出来る危険を見せれば納得も得られやすいはずです

または
「既に多くの企業が対策済みであり、対策が遅れる程攻撃を受ける可能性が高まります」
(会社としてのメンツと横並び精神に訴える作戦)

「当社のサーバーが汚染された場合、当社が不正なアクセスを行ってしまう可能性があります」
(管理職は責任という言葉に弱いのでそこを狙う)

もし会議でもあるのなら「誰にでも出来る！DNSサーバ超簡単防御レッスン とってもセキュリティーしちゃうぞ編」でも書いて提出するしかないですね

>>425
バカですか？

402だけど神奈川ありがとう
BIND導入に疲れ果てて書きこんだあとねてた
もうちょっといじってみる

なんか知らんけどロックマンエグゼ3思い出した

誰かハイホー試せ

俺のAterm WD632GVは大丈夫みたいだな

>>92
あーぷららだめか

>>434
すいません、まさかと思いまして。
とりあえず自分のISPはだめだったのでログにある対策とって見ます。