「ICANN、大規模かつ継続的なDNS攻撃が発生しているとして警告」記事へのコメント

欺瞞

[Anonymous Coward]

今問題になっているレジストラのアカウント乗っ取りやブロードバンドルータのリゾルバ設定の改竄などに DNSSEC は役に立ちません。火事場泥棒のような DNSSEC プロバガンダです。

Re:

[Anonymous Coward]

> 火事場泥棒のような DNSSEC プロバガンダです

結局DNSSECでも毒入れされたことが検知できるだけで、アクセス不能にされてしまうことを防ぐことはできないんですよねえ。
で、毒入れ検知だけなら TLS でもできるわけで、かなり微妙。

リフレクション攻撃は DNSSEC 使うとむしろ攻撃効果を増大させるし。

Re:

[Anonymous Coward]

キャッシュサーバに毒が入るパターンがメインで、その場合、毒入れ検知はTLSだと無理。
キャッシュサーバとコンテンツサーバの間で全部TLSなら問題ないけどそんなパターンはほぼないし。
# 今回のパターンでDNSSECが意味ないというのは変わりないが

Re:

[Anonymous Coward]

> キャッシュサーバに毒が入るパターンがメインで、その場合、毒入れ検知はTLSだと無理。

あれれ？
ネットの利用って DNS だけに閉じた話じゃないわけで、
毒入れされた名前に https なり smtp + TLS なりでアクセスしにいった段階で検知が可能なのでは？

Re:

[Anonymous Coward]

https なり smtp + TLS なりでアクセスしにいった段階で攻撃達成している場合もあるのでは？

Re:欺瞞

[Anonymous Coward]

> https なり smtp + TLS なりでアクセスしにいった段階で攻撃達成している場合もあるのでは？

まあごくごく稀にはそういうケースもあるのかもしれないけど、ほとんど存在しないし、
もしもあったとしても他の脆弱性との合わせ技を使わない限り実害はないんじゃないかな。

もし実際にあるっていうのなら過去にあった攻撃の具体例を挙げてみてほしい。

Re:欺瞞

[Anonymous Coward]

ツリーの流れからするとオフトピなのは承知だけど、もう少しクライアント側だけでなくサーバ側のことも気にしてあげてもいいと思うの。

Re:

[Anonymous Coward]

> サーバ側のことも気にしてあげてもいいと思うの。

それがサーバーに対する DDoS 攻撃のことであれば、DNSSEC の導入自体がその危険を高めるので、
DNSSEC がビミョーな技術だという論旨を補強するだけですよ。

Re:

[Anonymous Coward]

CDNのキャッシュサーバー(TLSはここで終端される)が本来のコンテンツサーバーではないところからコンテンツを引っ張ってしまう話でしょ