平成29年度秋期 情報処理安全確保支援士 午前Ⅱ 問6

午前II 問06：DNSの偽応答を当てにくくするには？

Kaminsky攻撃は、DNSキャッシュサーバに『これが正しい答えだよ！』という偽の返事をうまく混ぜ込もうとする攻撃だよ。だから対策としては、再帰問合せをするときの送信元ポート番号を毎回ランダムにして、攻撃者が偽応答を当て込むための“当たり番号”を予測しにくくしよう。くじ引きの番号が毎回バラバラになるほど、当てるのが一気に難しくなるイメージだね。

この問題で問われていること

この問題で見抜きたいポイントは、MX認証やSQLエスケープの話ではなく、DNSの応答が本物かどうかを照合する値を、攻撃者に予測されにくくする対策を選べるかどうかだよ。

Kaminsky 対策

攻撃者は問い合わせに対応するポート番号やトランザクション ID を当てて偽応答を注入しようとする。ランダム化はその成功確率を下げる。

送信元ポートをランダム化\n-> 偽応答注入が当たりにくい

確認ポイント

• DNS 冗長化は過負荷対策であり本問の本筋ではありません。
• SPF や SQL エスケープは関係ない。
• 送信元ポート番号ランダム化を選ぶ。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは間違いだよ。DNSキャッシュサーバと権威DNSサーバは役割が違う窓口みたいなものだから、2台置いただけでは冗長化にならないんだ。例えば、受付係と倉庫係を1人ずつ置いても、受付係が倒れたら受付は止まるよね。過負荷対策なら、同じ役割のサーバを複数台にしたり、負荷分散したりする必要があるよ。

選択肢イ

これは間違いだよ。SPFは、メールを送ってきたサーバがそのドメインの正規の送信係かどうかを確認する仕組みだよ。たとえるなら、配達員が本当にその会社から来た人かを名簿で確認する感じ。MXレコードを認証する仕組みではないので、この説明はポイントがずれているよ。

選択肢ウ（正解）

これは正解だよ。DNSキャッシュポイズニングでは、攻撃者が“偽の返事”を本物より先に届けようとするんだ。送信元ポート番号をランダムにすると、返事を受け取るための合言葉が毎回変わるようなものだから、攻撃者が当てにくくなるよ。その結果、偽情報をキャッシュさせられる確率を大きく下げられるんだ。

選択肢エ

これは間違いだよ。プレースホルダはSQLインジェクション対策で、データベースに変な命令を混ぜ込まれないようにする仕組みだよ。料理の注文票に勝手な指示を書き足されないよう、入力欄をきちんと分ける感じだね。ただし、DNSキャッシュに偽情報を入れられる攻撃への直接の対策ではないよ。