アカウント名:
パスワード:
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
計算機科学者とは、壊れていないものを修理する人々のことである
ポートのランダムだけでは単なる軽減ですよ (スコア:0)
Re: (スコア:3, 参考になる)
どのくらい軽減かが問題ではないでしょうか。
いままで 16bit の ID で識別していたのを、さらに port をランダムにすることにより 16bit の識別できる情報が付加されたことになります。16bit であれば 65535通りで、これがまぐれ当たりする確率は誕生日のパラドックス [wikipedia.org]のために以外に高いということですが、さらに 16bit あれば実用上はなんとかなると思います。
たとえば、(サーバ攻略成功の確率50%を超えるのに)いままで 1時間かかるところが 16bit 増えることにより 60,000時間=6.8年になれば、単なる軽減ではなく当面は十分な軽減だと思
Re: (スコア:0)
ですので従来手法の何千・何万倍も効率良く攻撃できるので,
「今まで1時間かかるところが」の部分が「いままで数十秒かかるところが」に変わってしまったのが
現状なのだと思います。
なので,サーバへのパッチ当てが行われない場合,ポートの分散だけでは
軽減として十分とは言えないかもしれません。
Re:ポートのランダムだけでは単なる軽減ですよ (スコア:5, 参考になる)
[基本]
・汚染に成功させるためには ID と ポートを的中させる必要がある
・また本物のサーバからの応答との競争に勝つ必要がある
・本物のサーバとの競争に勝つ可能性が 1/2 と仮定すると、防御方法が
ポート固定で ID だけがランダムの場合には16ビットなので
65536 * 2 / 2 となり平均65536回の試行で汚染に成功する
[従来]
・今までのバースデイアタックでは一度失敗すると TTL が切れるまで
再攻撃が成功しなかった。
・よって従来方式で TTL 300秒ならば 300 * 65535秒 = 平均 227日の
かかる計算になる。
[今回]
・今回の方法では TTL に関係がなくサーバマシンの性能限りの速度で
攻撃が可能。最近の高速環境だと 10000 query/sec くらいは軽い。
・よって防御方法が ID だけだと 65536 / 10000 で平均6.5秒もあれば
汚染に成功する
[対策]
・サーバに今回の対策パッチを当てるとポートがランダムになる。
・ポートは16ビットあるが、さすがに全部は使えないので半分の
32768種類を使うとすると、攻撃に必要な時間は
6.5 * 32768 ≒ 213000秒 ≒ 平均2.5日になる。
[結論]
・パッチを当ててない状態だと、もはや致命的。
・パッチを当てたからといって安全確実ではないが、当てないよりマシ。
・firewall とかでDNSパケットの流量制限してれば、もう少し安全かもしれない
・根本的な対策は DNSSEC ということになるけど、普及には時間がかかりそう