複数DNSキャッシュサーバへの並行名前解決によるDNSキャッシュポイズニング対策手法

情報処理学会

説明

インターネットを運用するうえで DNS (Domain Name System) は重要な部分を担っており，悪意ある攻撃の対象とされる場合がある．攻撃の一種である DNS キャッシュポイズニングは DNS キャッシュサーバに偽の DNS 情報を登録させるというものである．クライアントが偽の DNS 情報を受け取ると意図せず悪意あるサイトに接続してしまい，フィッシング詐欺などの実害が発生する可能性がある．この攻撃への対応策としてDNSSEC (Domain Name System Security Extensions) という DNS 応答の検証システムが存在する．しかし DNSSEC は様々な問題を抱えており，DNS 応答の厳密な検証が行われていない場合が多い．そこで本研究では複数の DNS キャッシュサーバに対し並行に DNS 問い合わせを行い，各 DNS 応答を用いて信頼性の高いリソースレコードを抽出する手法を提案する．DNS キャッシュポイズニングを複数のサーバへ同時に成功させる困難さを利用し，各応答に共通して存在するリソースレコードを信頼できるものとして扱う．こうすることでクライアントは DNSSEC を用いずに信頼性の高い DNS 応答を扱うことができる．また複数 DNS キャッシュサーバへの問い合わせをマルチスレッド化し，並行に行うことで通常の名前解決と変わらない速度を維持することができる．本論文では提案手法のシステムを実装し，様々なドメインの名前解決を行うことで実環境での本システムの可用性を検証する．また本システムを運用するうえでの注意点や問題点をクライアント・DNS サーバの両者の観点から述べ，改善策を考察する．

収録刊行物

キーワード

詳細情報 詳細情報について

問題の指摘

ページトップへ