「DNSキャッシュポイズニング攻撃を可能にする、SAD DNSと呼ばれる攻撃手法が公表される」記事へのコメント

プロトコル拡張して

[Anonymous Coward]

それこそ公開鍵暗号とか使ってIPアドレスとドメイン名から作るハッシュで認証すればなりすまし防止できるのでは？
もしくは通信まるごと全部暗号化しちゃうとか(ICMPsになるのかな？)

Re:プロトコル拡張して

[Anonymous Coward]

いちばんリーズナブルな対策はDNSクエリにTCPを使う方法だとおもいます
これだけでもほとんどの攻撃を無効化できるんじゃないでしょうか

UDPは発信ホストの情報が偽装し放題というところが
大昔からずっと問題になっておるのでございます

Re:プロトコル拡張して

[Anonymous Coward]

RFC 1123にはゾーン転送を除いてまずUDPクエリーから投げなければならないと書かれていましたが、RFC 7766で緩和されて、理論上はいきなりTCPクエリーを投げてもいいことになりましたね。