インターネットの根幹「DNS」に根本的欠陥が見つかる

今月に入り、インターネット上の通信の暗号化を行うOpenSSLの脆弱性が存在し、ユーザーIDやパスワード等の暗号化されている情報が外部から見えてしまう「ハートブリード」問題が明らかになりました。

山本 一郎 :OpenSSLの件がやばすぎてどう対応すればいいのかイマイチよく分かりません
INTERNET.Watch：OpenSSLの脆弱性を標的としたアクセスが増加、警察庁が注意喚起

このハートブリードだけでも大問題ですが、今度はインターネットの仕組みの根幹に重大な欠陥があると判明しました。

インターネットでの国別コード、「.jp」ドメインを管理する日本レジストリサービス（JPRS)は15日、DNSサーバへの攻撃の危険性が高まっているとして、DNSサーバの設定を確認するように緊急呼びかけを行いました。

日本レジストリサービス：■（緊急）キャッシュポイズニング攻撃の危険性増加に伴うDNSサーバーの設定再確認について（2014年4月15日公開）

このJPRSの発表に対し、この欠陥を発見した中京大学の鈴木常彦教授、前野年紀氏は「危険性をよく理解して対策をとるにあたって十分な情報が含まれているとはいえません」を懸念し、下記のブログ記事等でこの問題の危険性を訴えています。

キャッシュポイズニングの開いたパンドラの箱

インターノット崩壊論者の独り言「 開いたパンドラの箱　長年放置されてきた DNS の恐るべき欠陥が明らかに」

この問題はインターネットの根幹に関わるものですが、どんな問題を孕んでいるのでしょうか。それを理解するために、まずはDNSの仕組みから見て行きましょう。

DNSの仕組みとDNSキャッシュサーバ

DNSとはインターネットの根幹に関わる仕組みで、目的 のサーバにアクセスする為の重要な役割を持ちます。簡単に説明すると、"http://www.example.jp"というURLのサイトを見たい場 合、それを管理するサーバのインターネット上の住所（IPアドレス）が必要になります。そこで、DNSサーバに上記URLのラベル（ドメイン）に相当す る"www.example.jp"を管理するサーバのIPアドレスを問い合わせ、DNSサーバは持っているリストと照合してIPアドレスを教えるか、リ ストに無かった場合は別のDNSサーバに問い合せてIPアドレスを入手して教えます。普段、ブラウザでインターネットを閲覧していてもほとんど意識する事 の無いDNSですが、目的のサーバに辿り着く為には無くてはならない存在です。

インターネットに接続するサーバは膨大な数に上り、そのIPアドレスやドメインも日々変わっており、中央で一括してリストを管理する事は現 実的ではありません。その為、DNSはインターネット上に分散された階層構造をしており、上位のDNSサーバに問い合わせが集中しないよう、下位のDNS サーバが過去の問い合わせ結果を一定期間保存（キャッシュ）し、他のDNSサーバに再度問い合わせをしないような仕組みになっています。このように問い合 わせ結果をキャッシュするサーバをDNSキャッシュサーバと呼び、今回問題になっているのはこのDNSキャッシュサーバを攻撃する、DNSキャッシュポイ ズニングと呼ばれる攻撃手法です。

キャッシュが改竄されると、悪意のあるサイトに誘導される恐れ

DNSキャッシュポイズニングと は、攻撃者がDNSキャッシュサーバからの問い合わせに対して偽のIPアドレスを通知し、"www.example.jp"ドメインのサイトに行こうとし た利用者を、誤ったリストによって悪意のあるサーバに誘導しようとする攻撃の事です。本物そっくりな偽サイトに誘導されてしまった場合、気付かずにログイ ンIDやパスワードを入力してしまうと、攻撃者にIDとパスが筒抜けになってしまいます。

従来、DNSの仕組みでこの攻撃は実効性が低いのではないかと考えられていました。というのも、先に述べた通り、DNSキャッシュサーバは 問い合わせ結果を得ると一定期間リストに保存します。この保存期間を長くすると、次に偽のIPアドレスを吹き込むチャンスが攻撃者に巡ってくるのは大分先 の話になり、攻撃手法としては実用的でないと考えられていました。

ところが、2008年8月にカミンスキーアタックと呼ばれる新たな攻撃手法が発見されました。この手法では、DNSキャッシュサーバの問い 合わせを攻撃者が意図したタイミングで行わせる事ができる為、以前の手法と比べて実用的な攻撃となりました。ここ最近、大手インターネットサービスプロバ イダーに対して、このカミンスキーアタックによると見られるアクセスが増大しており、その為にJPRSは緊急呼びかけを行ったとされていますが、前述の通 り、鈴木氏、前野氏らが発見した欠陥はさらに危険な結果を招くとして、DNSの「仕様、実装、運用をすべて見直す必要がある」とまで警告しています。

今回明らかになったDNSの欠陥はキャッシュの優先順位に関連するもので、上位の信頼できるDNSサーバから応答された情報のキャッシュ を、下位の偽装された情報が優先されて上書きされます。これにより、攻撃対象のDNSキャッシュサーバのco.jp、ne.jpのような”.jp”ドメイ ン、地域ドメインそのものへのキャッシュポイズニングを可能とします。つまり、これまでの攻撃では"www.example.jp"の"example" 部のドメインの偽装に留まっていたものが、".jp"等の地域を示すドメインに対してまで偽装が可能になりました。攻撃が成功したDNSキャッシュサーバ を参照すると、".jp"が付くURLは全て悪意のあるサーバに誘導される可能性が出てくるということです。

先に明らかとなったハートブリードも深刻な問題ですが、脆弱性は既に修正されている為、各Webサービスや機器が適用さえ行えば解決できる ものです。しかし、今回の問題はDNSの仕様そのものに根ざした欠陥で、欠陥の修正やその適用は相当の時間がかかるものと思われます。現状取れる対策等に ついてはサーバ管理者側でないと取れないものばかりですが、参考となる鈴木教授のサイト、Twitter等を下記に示しますので、是非ご覧になって下さい。

【鈴木教授のブログ】

インターノット崩壊論者の独り言「 開いたパンドラの箱　長年放置されてきた DNS の恐るべき欠陥が明らかに」

【鈴木教授のTwitterアカウント】

https://twitter.com/tss_ontap_o

【平易な解説】

Geekなぺーじ「強烈なDNSキャッシュポイズニング手法が公開される」

【関連する本たち】

防衛省技術研究本部と情報通信研究機構が研究協力

3月26日、自衛隊の装備品の研究開発を行う防衛省技術研究本部（TRDI）と、総務省所管の独立法人で情報通信技術の研究開発を行う情報通信研究機構（NICT）が、電子情報通信分野における互いの研究を推進するための協定を締結しました。

独立行政法人情報通信研究機構（理事長：坂内正夫、以下「NICT」）と防衛省技術研究本部（本部長：渡辺秀明、以下「TRDI」）は、平成26年3月26日（水）に、電子情報通信分野における双方の研究開発を一層推進するため、研究協力に係る包括協定を締結しました。

情報通信研究機構と防衛省技術研究本部との研究協力の推進に係る包括協定の締結について

NICTが発表したプレスリリースでは、NICTの持つサイバーセキュリティ技術を用いて自衛隊のサイバー演習環境構築技術の研究や、Software-Defined Network（SDN：ソフトウェアにより動的に構成を変更可能なネットワーク）等の先進的なネットワーク仮想化技術を利用し、抗堪性の高い通信の研究等を行うとされています。

また、TRDIの発表でも「高分解能映像レーダ（合成開口レーダ）に関する技術情報交換等」を行うとしており、観測衛星や監視レーダー等への波及効果が期待されます。

この提携の背景として、今後の伸びが期待できない国の研究開発予算の効率化と、必要性が高まっているサイバー防衛への備えという側面があると見られます。近年はサイバー空間上での攻防は益々激しくなっており、2010年にはイランの核施設がウィルス攻撃を受け、8,400台の遠心分離器が感染し、イランの核開発が数年遅れたとも言われるなど、国家に深刻なダメージを与える事態も起きています。爆弾1つ使わずに、一国を危機に陥れる事が可能になったのです。

イランの核施設があるナタンツの対空陣地。ウィルス攻撃には無力だった（Hamed Saber撮影）

NICTとTRDIの提携が発表された同日、自衛隊内にサイバー防衛隊が発足しました。今後、NICTとTRDIの提携はNICTが持つ情報セキュリティ技術を、実際のサイバー防衛にあたる自衛隊装備に応用する点で有用と見られます。サイバー空間は国家と民間、集団と個人が近しく存在している場所で、官民を挙げた対策が今後も求められます。防衛省だけでなく、様々な機関・団体にも成果の恩恵があればと思います。


【プレスリリース】

独立行政法人 情報通信研究機構「情報通信研究機構と防衛省技術研究本部との研究協力の推進に係る包括協定の締結について」 


【参考になりそうな文献】

防衛用ITのすべて (防衛技術選書―兵器と防衛技術シリーズ)

防衛技術協会から刊行されている「防衛用ITのすべて」は、防衛におけるレーダーやコンピュータ等のIT技術がどう使われているか、物理の基礎から紹介しています。


電子戦の技術 基礎編

「電子戦の技術　基礎編」は、米空軍で電子戦の教科書を邦訳したもので、その第一弾の基礎編です。電子戦用語の解説から、概念、実際までをカバーした書で、ITというよりも無線に注力していますが、お勧めです。

電子戦の技術 拡充編

また、4月10日は続編の「電子戦の技術　拡充編」も発刊されます。

軍事とIT　空の巻

テクニカルライターの井上孝司氏のマイナビニュース連載を電子書籍としてまとめたもので、F-35やイージス艦にITがどう関わっているか等、実際の兵器にどうITが生かされているか解説されています。値段も手頃でお勧めです。

戦うコンピュータ2011

同じく井上孝司氏の著書で、軍事とIT、兵器とITといったことから、市民生活にサイバー防衛がどう関わってくるまで解説されております。入手が難しいですが、これもお勧めです。

【書評】井上孝司「軍事とIT 空の巻」

ツイッターの方で既に呟いていますが、テクニカルライターの井上孝司氏がマイナビニュースに連載している「軍事とIT」が、空関係の記事をまとめて電子書籍化されました。




ところが、Amazonで初っ端からトンチンカンな星1レビューが付いており、これは酷い風評被害だと私の方でレビューを書きました。その転載です。


＜以下転載＞

著者の井上氏は元日本マイクロソフトのITエンジニアで、現在はテクニカルライターとして、OSからネットワーク、仮想化等の幅広いIT領域についての著述活動をされている。近年の兵器開発では特に電子装備において、商用の既成品を用いる所謂”COTS"が行われるようになり、軍事技術と民生用ITの境界が曖昧になりつつあるが、そのような軍事技術とITの切っても切れない関係を、ITに造詣の深い井上氏が解説するのだから、これ以上の人選は無いだろう。


本書はマイナビニュースに連載されていた記事のうち、空関係の記事をまとめた電子書籍で、F-35戦闘機、イージス艦によるミサイル防衛、無人機の3章で構成されている。これらの兵器システムにITがどのように関与し、従来兵器からどのように進歩したかがわかりやすく解説されており、また全ての章で要となるネットワークの解説にも多くを割いている点も見逃せない。兵器単体だけでなく、それがネットワークの中でどのような意味を持つのか、ネットワークをどう利用するのかといった事は、現代戦の勝敗を決定づける重要な要素だが、ネットワークの専門家でもある著者だけに、そこもしっかりとカバーされていて安心して読める。


軍事とITはややこしい分野で理解が難しいが、初学者向けのIT関連テキストも数多く執筆されている著者だけあって、初心者が躓くワードに対しては噛み砕いた解説を行うなどの気配りが行き届いている。逆に言えば、ある程度軍事やITに詳しい人には冗長にも思えるかもしれないが、改めて平易な言葉で解説されると、自分が知っていたつもりになっていた事柄が、とんでもない誤解をしていたと気付かされる事もある。変化のスピードが早い領域なだけに、知識のリフレッシュを図る上でも目を通したい。


日本に軍事関連雑誌は多々あるが、そこで連載されているコラムや解説記事は、雑誌掲載されただけで単行本化される事はほとんど無かった。今回のように、連載が電子書籍化という形で低コストでまとめて読めるのは大変嬉しいし、この流れが軍事雑誌界隈にも浸透する事を望みたい。著者にとっても、出版社にとっても、なにより読者にとってもメリットは大きいと思うのだけど……。


＜転載終わり＞


これはぜひ読んで頂きたいですね。マイナビニュースでまだ読めるけど、社会人ならマストバイ。安いし、場所取らないんだから。