## page was renamed from DNS/毒盛/tweet/2 DNS/毒盛/tweet/2について、ここに記述してください。 {{{ DNSSEC を何にも理解していないだろ 世界的にみても話題にするひとが稀なのはどういうことなのでしょうね。(危険性を理解できていないと思いたい。) あるいは、分っていても対応する気がないのか。(DNSSEC頼み) 悪いやつらに理解させないままそっとしておくくらい? ライト、ついてますか：RIGHT/Complexさんが追加 浸透いうな/伝播いうな/反映いうな @tss_ontap_o DNS 温泉 番外編 (第一フラグメント便乗攻撃の理解のために) http://www.e-ontap.com/blog/20190117.html … 1件の返信 2件のリツイート 3 いいね このスレッドを表示 ライト、ついてますか：RIGHT/Complex ‏ @beyondDNS 2016年9月20日 dns.jp ゾーンは現在もDNSSEC対応していないという理解であっていますか。 0件の返信 0件のリツイート 0 いいね ライト、ついてますか：RIGHT/Complex ‏ @beyondDNS 2018年11月7日 否定返答でNSレコードを紛れこませる以外の攻撃も解説されているので、この論文をきちんと理解しておくことが重要だと思った。(精読中)　DNSSECによる返答の巨大化は恐れるべきだ。(KSKロールオーバーなどはとるに足らず) 0件の返信 0件のリツイート 1 いいね このスレッドを表示 Aha! ‏認証済みアカウント @aha_io 2月13日 Your product manager will love this. Start a free trial today. 0件の返信 1件のリツイート 2 いいね プロモーション ライト、ついてますか：RIGHT/Complex ‏ @beyondDNS 2017年8月19日 DNSSECを使うのであれば、EDNS関連の理解は必須です。 （KSKロールオーバーの話は問題発覚のきっかけになる可能性がなくもない、という程度） その上で、TCP/53を使う。それだけでは問題解決とはいかない。😱UDPサイズを小さく設定すること。 0件の返信 2件のリツイート 0 いいね ライト、ついてますか：RIGHT/Complex ‏ @beyondDNS 2015年1月16日 「逆引きに有害なDNSSEC」： どう理解したらいいのか、わからない。　正引きに有害なDNSSECもありそうだが。 0件の返信 1件のリツイート 0 いいね ライト、ついてますか：RIGHT/Complex ‏ @beyondDNS 2018年4月13日 authority sectionによる毒盛を排除しないBINDはDNSSECの普及度が低いことを理解しているのだろうか。 1件の返信 0件のリツイート 1 いいね このスレッドを表示 ライト、ついてますか：RIGHT/Complex ‏ @beyondDNS 2017年9月16日 返信先: @kotatuさん ルートゾーンKSK更新のせいでDNS(SEC)返答が大きくなるのですから、DNSSECを使っていなければ、関係ないという理解をしています。（DNSSECを使っていなくても、今回の件に関係なく大きな返答がくるかもしれないが、まったく別の話です。） 0件の返信 0件のリツイート 0 いいね ライト、ついてますか：RIGHT/Complex ‏ @beyondDNS 2014年6月7日 それでDNSSECは安全なんでしょうか。どうやったら、それを簡単に理解できるのでしょうか。 0件の返信 1件のリツイート 0 いいね ライト、ついてますか：RIGHT/Complex ‏ @beyondDNS 2017年8月26日 ライト、ついてますか：RIGHT/ComplexさんがJoji Maenoをリツイートしました 総務省もおかしな報道資料を作るくらいなら、 まずは省内でDNSSEC対応を義務化してみればいい。 そうすれば、どれだけ理不尽なことを言ったか、少しは理解できる可能性がなくもない。😱 ライト、ついてますか：RIGHT/Complexさんが追加 Joji Maeno @joji 返信先: @tss_ontapさん そのようなリスク評価をしているだけのことだろうと…米連邦部局はDNSSECが義務付けられているにも関わらずですので、この温度差は何でしょうね。表面温度だけかも… 0件の返信 3件のリツイート 2 いいね ライト、ついてますか：RIGHT/Complex ‏ @beyondDNS 2012年10月2日 いまの状態では末端ドメインにはDNSSECは普及しそうもないと理解したのかも。 「正しい認識」。(JPRS) 0件の返信 0件のリツイート 0 いいね ライト、ついてますか：RIGHT/Complex ‏ @beyondDNS 2018年12月15日 RFC 2181 (1997) はその名のとおり、Clarifications であり、 「毒盛脆弱性があっても仕方ない」とするものではない。 現時点ではDNSとはその程度のものだという理解は必要ではあるが、DNSSECのような手間をかけることなく、より安全を目指すことも必要だ。 1件の返信 0件のリツイート 0 いいね このスレッドを表示 浸透いうな/伝播いうな/反映いうな ‏ @tss_ontap_o 12時間12時間前 第一フラグメント便乗攻撃を理解していない人に DNSSEC を何にも理解していないだろって言われてもなぁ。 0件の返信 1件のリツイート 1 いいね ふみやす＠シェルまおう(自称でない) .JSON ‏ @satoh_fumiyasu 2月16日 この理解であってる? 1. DNSSEC の応答はサイズが大きくフラグメント発生しやすい。 2. NSEC3 RR はランダム名(不在名)問合せのキャッシュが効かないので毎回権威に問合せが必要。 3. 委任応答の NS はランクが高いので偽装応答内の NS をキャッシュが採用してしまう。 #dnsonsen 1件の返信 0件のリツイート 1 いいね このスレッドを表示 Manabu Sonoda ‏ @mimuret 2月15日 DNSSECがいらない、危険とほざいてるやつは、結局何も理解できてないのさ。 0件の返信 0件のリツイート 0 いいね ゴッチ@(・∀・)落ち着いて!! ‏ @sakuratrang 2018年12月24日 暗号化(信頼の連鎖)だけでも読んでみては？このサイトを読んで、電子署名についてやっと理解ができました。 JPNIC DNSSECの仕組みの詳細 https://www.nic.ad.jp/ja/newsletter/No43/0800.html … 0件の返信 0件のリツイート 2 いいね どらやき ‏ @ttyjp 2018年5月20日 DNSSECの署名とか鍵更新とかを、自動化するスクリプトをbashで書いたのはいいけど、３ヶ月前のコードが理解できない。 0件の返信 2件のリツイート 2 いいね 浸透いうな/伝播いうな/反映いうな ‏ @tss_ontap_o 2018年1月14日 結局3次回まで行き東京で泊まってしまいました。昨日はみなさんありがとうございました。DNSSEC の困った状況を皆様に理解いただけたようで何よりです。うちの学生たちも可愛がって頂き感謝いたします。(ハントしてないで大学院に進むよう進言してあげてください w) #dnsonsen 0件の返信 2件のリツイート 6 いいね ふぁんている ‏ @fan_tail 2017年10月4日 RFC3833が絶望感たっぷりでおもしろいですよ。/使えるならそりゃDNSSec使いたいわ…orz / “ioドメイン障害を理解するため、DNSの仕組みについて勉強した - $shibayu36->blog;” http://htn.to/QmgjFz6 #DNS 0件の返信 4件のリツイート 3 いいね ひよこ大佐 🐣 ‏ @hiyoko_taisa 2017年9月16日 まずDNSSECをちゃんと理解できていないので、勉強不足を痛感してる 0件の返信 0件のリツイート 1 いいね Tetsuo Sakaguchi ‏ @tsaka1 2017年8月7日 返信先: @beyondDNSさん 直観的にはDNSSECに対応するつもりがなくても、組織内LAN運用(DNSリゾルバの提供方式に関わらず)する立場の人はある程度は理解できないとまずいとは思います。私自身は組織のLAN運用の矢面に立つ立場ではないので、一利用者として、「大丈夫かなぁ？」と色々確認している状況ですが。 1件の返信 0件のリツイート 1 いいね 浸透いうな/伝播いうな/反映いうな ‏ @tss_ontap_o 2017年8月7日 返信先: @beyondDNSさん DNSSEC を理解していない人たちだけが推進しているようにみえます。 1件の返信 0件のリツイート 1 いいね Aki ‏ @nekoruri 2017年8月1日 DNSSECについては是非を議論できるには理解が足りないけど、DNS層で解決するよりは4層以上で解決した方が良いのではないかとなんとなく思っている派 1件の返信 2件のリツイート 3 いいね 浸透いうな/伝播いうな/反映いうな ‏ @tss_ontap_o 2017年4月5日 返信先: @beyondDNSさん もっと早く理解して、Kaminsky からしばらくの間 JPRS 周辺が DNSSEC、DNSSEC と騒いでいた頃に全貌を明らかにしていたら流れはもっと違っていたかもしれないと思っています。まあ今更な話ですが。 2件の返信 0件のリツイート 1 いいね OFFICE DE YASAI ‏ @OFFICE_DE_YASAI 2018年12月25日 ＼✨９００社以上導入✨／ 90%以上の方が野菜不足！？ 働き方改革でビジネスマンの健康を 最大限バックアップ！！ まずは無料試食から！♪ 3件の返信 16件のリツイート 197 いいね プロモーション 浸透いうな/伝播いうな/反映いうな ‏ @tss_ontap_o 2016年10月6日 返信先: @tss_ontap_oさん DNS温泉3 のライトニングトークで取り上げたネタをより詳しく解説いたします。OARC 25 https://indico.dns-oarc.net/event/25/session/4/contribution/4 … の発表に先立ち、DNSSEC NSEC3 の欠陥を理解しましょう。 0件の返信 2件のリツイート 1 いいね ぱぴろんちゃん 🎧 ‏ @papiron 2016年10月4日 んんんdigコマンドの使い方理解しとかなきゃ。+norecurseとか+traceとか、逆引き時とか。+dnssecは使う環境が無い・・ http://www.geocities.jp/yasasikukaitou/dig.html … 0件の返信 0件のリツイート 1 いいね 浸透いうな/伝播いうな/反映いうな ‏ @tss_ontap_o 2016年6月9日 ゼミの最中に「わお」と声をあげてしまった。彼ら 2年かかってやっと理解したらしい。@OrangeMorishita @beyondDNS % dig txt gouv\.fr @d\.nic\.fr. +dnssec +short 2件の返信 3件のリツイート 3 いいね Yukihiro Kikuchi ‏ @yukihirokikuchi 2015年1月15日 中京大学 鈴木さん： 可用性、完全性 でも両方守れない。DNSSECでも毒入れ可能。問題になったことで理解深まったがNSに毒が入れられる。NSのTTLがDoSになる。毒は入る、一方で可用性が下がるという問題 議論がなぜなされないか疑問 #janog 0件の返信 0件のリツイート 1 いいね Yusuke MURAMATSU ‏ @muranet 2014年4月17日 返信先: @tss_ontapさん @tss_ontap TXT 追加して不在証明なんて意図がバレるような怪しいことせずに(DNSSEC は理解怪しいので突っ込まないで...)、別サーバを用意して co\.jp のゾーンを分ける、ってなんでしなかったんですかねぇ…。 2件の返信 0件のリツイート 1 いいね 加納智之 ‏ @tomyuk 2013年8月1日 これ説明できれば DNSSEC はある程度理解していることになるそうです。　http://dnssec.jp/?page_id=595 へぇー、そうですか。お幸せに 0件の返信 1件のリツイート 2 いいね 加納智之 ‏ @tomyuk 2013年7月29日 Sな先生、かく語りれり RT @tss_ontap: DNSSEC に苦しめられ、親子同居で危険な目にあい、ゾーン転送に失敗し、オープンリゾルバだと揶揄され踏み台になり、DNS の理解に苦しみ、夏祭りに参加したいなら BIND という手もありかもですね。 0件の返信 3件のリツイート 0 いいね Tomoharu Sato ‏ @higetomo 2012年11月1日 返信先: @shigeyasさん @shigeyas @OrangeMorishita DNSSECって、そこまで冷たい...いや、そうなるか（何となく）。やっぱり鍵整理の勉強会必要そうです＞某Ｍさーん　ホスティング事業者、利用者は、少なくとも、DNSSEC、DKIM、Webの電子署名の３つは整理理解対応が必要 1件の返信 3件のリツイート 1 いいね Tomoharu Sato ‏ @higetomo 2012年7月6日 返信先: @jj1bdxさん さすが。理解と説明が適格です。 RT @kenji_rikitake IP fragmentsの可能性を減らすという意味では意義のある技術だと思います。DNSSECに限らず、UDPでのVoIP/SIP/ストリーミングなども。 0件の返信 0件のリツイート 1 いいね 誠実・石油減耗時代さんがリツイートしました Yasuhiro Morishita ‏ @OrangeMorishita 2012年2月10日 【5つのまとめ少し訂正】1)BIND限定ではなくDNSプロトコルの実装に起因する脆弱性 2)対象はBIND以外にも色々 3)使用中のドメイン名には影響がないので焦らないこと 4)キャッシュDNSサーバーにDNSSECを適用しても防げない 5)今回は拙速な対応よりも正しい理解が大切 0件の返信 12件のリツイート 4 いいね Masaki Komagata ‏ @komagata 2010年7月31日 なるほど！DNSSECって初めて知った・・・。RT @milkcocoa: ようやく理解できた。元の記事は意味不明すぎた。 > Webを再起動する７人？んな馬鹿な話があるかいｗ - おっホイ別館　－　はてな村の物語 http://bit.ly/b8VvAG 0件の返信 0件のリツイート 2 いいね たくゎだ。（神戸） ‏ @tak_wada 2010年6月22日 DNSSECってBINDのセキュリティを向上する新機能らしいんで、そのうち使えないと困るんだろうけどなあ。 Fedoraのバグレポートを読んでもほとんど理解できん。http://tinyurl.com/2dq4zlw 0件の返信 0件のリツイート 1 いいね Yuichi Uemura ‏ @u1 2010年1月20日 bindの脆弱性、DNSSECを有効にしている時のみ発動か。理解。 0件の返信 0件のリツイート 1 いいね ライト、ついてますか：RIGHT/Complex ‏ @beyondDNS 2017年4月5日 「JPRS もそれなりに説明している委任インジェクション」： まあ、あの説明だけで理解しろというのは無理な話だと思う。 きちんと注意喚起を出しているものがどれくらい理解されているかと比較検証すれば、おもしろそう。😍 @tss_ontap_o 1件の返信 0件のリツイート 0 いいね ライト、ついてますか：RIGHT/Complex ‏ @beyondDNS 2017年4月5日 委任だけを理解しているひとと、移転まで理解しているひととがほぼ同数いるという理解でいいですね。委任を理解していながら、移転が理解できていないというのは、考えづらいので、単に知らないだけだと思ったのですが、どうでしょう。 3件の返信 0件のリツイート 0 いいね ライト、ついてますか：RIGHT/Complex ‏ @beyondDNS 2017年4月5日 JPRSの説明では「移転通知インジェクション攻撃」とあるので、 別物だと思われた可能性は十分あります。 1件の返信 0件のリツイート 0 いいね 浸透いうな/伝播いうな/反映いうな ‏ @tss_ontap_o 2017年4月5日 JPRS の説明スライドには両方用語が出て来ますからわかる人はわかっているしわかっていない人はどちらにしろわかっていないでしょう。 1件の返信 0件のリツイート 0 いいね ライト、ついてますか：RIGHT/Complex ‏ @beyondDNS 2017年4月5日 両方でてくるのを見ているとは限らない。どう説明したか、にもよる。多数でてくるのは「移転通知」らしい。 その他の可能性としては、キャッシュを上書きするということが理解されていないこともありそう。まあ、違いの認識を知るためには別途アンケートが必要だけど...😜 2件の返信 0件のリツイート 0 いいね 浸透いうな/伝播いうな/反映いうな ‏ @tss_ontap_o 2017年4月5日 キャッシュの上書きの話が難しいのだと思いますよ。 1件の返信 0件のリツイート 0 いいね ライト、ついてますか：RIGHT/Complex ‏ @beyondDNS 2017年4月5日 間違った動作だから、まともな頭であれば、理解できないでしょう。（私も最初はまさか、と思っていました。）😍 1件の返信 0件のリツイート 1 いいね ライト、ついてますか：RIGHT/Complex ‏ @beyondDNS 2017年4月5日 それもあって、Muellerを持ち出す機会を待っていたのです。ｗ 1件の返信 0件のリツイート 0 いいね 浸透いうな/伝播いうな/反映いうな ‏ @tss_ontap_o 2017年4月5日 それはいつ頃の話でしょうか > Muellerを持ち出す機会を待っていた 1件の返信 0件のリツイート 0 いいね ライト、ついてますか：RIGHT/Complex ‏ @beyondDNS 2017年4月5日 多分、2011年ころからです。 1件の返信 0件のリツイート 0 いいね ライト、ついてますか：RIGHT/Complex ‏ @beyondDNS 2017年4月5日 Muellerで毒盛できるという話はそのころに何度かしていますね。危ないので手法は表にははっきりとは書かないということ にしてました。（そちらのKaminsky bugのページにもあったはず） 2件の返信 0件のリツイート 0 いいね ライト、ついてますか：RIGHT/Complex ‏ @beyondDNS 2017年4月5日 google\.comとかだったら、大丈夫そうだし、個別のAなら手間もかかるので、まあ警告は急がないでいいか。と思っていた。 でも、go.jp や co.jp NSということだと、レベルが違いすぎると 思い直して、連絡したのが2014年ですか。 2件の返信 0件のリツイート 0 いいね 浸透いうな/伝播いうな/反映いうな ‏ @tss_ontap_o 返信先: @beyondDNSさん もっと早く理解して、Kaminsky からしばらくの間 JPRS 周辺が DNSSEC、DNSSEC と騒いでいた頃に全貌を明らかにしていたら流れはもっと違っていたかもしれないと思っています。まあ今更な話ですが。 22:04 - 2017年4月5日 1件のいいね ライト、ついてますか：RIGHT/Complex 2件の返信 0件のリツイート 1 いいね ライト、ついてますか：RIGHT/Complex ツイート内 テキスト 新しい会話 ライト、ついてますか：RIGHT/Complex ‏ @beyondDNS 2017年4月5日 返信先: @tss_ontap_oさん Kaminsky（2008)のころは世間の目はport randomizationに向いていたので、どういう毒が入るかには目を向けなかっただろうと思います。（Muellerが注目されなかった理由もそれかもしれない。） 我々はなぜ毒が入るのだろうというレベルだったし。 1件の返信 0件のリツイート 0 いいね 浸透いうな/伝播いうな/反映いうな ‏ @tss_ontap_o 2017年4月5日 そもそもあれで毒が入ることをおかしいと思わない人たちばかりでしたからねぇ。 2件の返信 0件のリツイート 0 いいね ライト、ついてますか：RIGHT/Complex ‏ @beyondDNS 2017年4月5日 はい。我々以外には。それを民田が認めたのはだいぶ後の話ですね。（BINDの不良だなんて、BINDユーザでも気づくひとは稀でしょうし。） 1件の返信 0件のリツイート 0 いいね ライト、ついてますか：RIGHT/Complex ‏ @beyondDNS 2017年4月5日 Authority Sectionを受け入れないようにというdraftが2008年にでてましたが、これもなぜかexpireしている。（小説ネタｗ） DNSSECで全て解決という風潮に勝てなかったのかも。 1件の返信 0件のリツイート 0 いいね 浸透いうな/伝播いうな/反映いうな ‏ @tss_ontap_o 2017年4月5日 あの頃からずっと変わっていませんね。解決策は DNSSEC しかないという言説がずっと幅を利かせています。藤原氏が海外に出かけて行っても相手にされないのはそのせいらしいですね。 2件の返信 0件のリツイート 1 いいね ライト、ついてますか：RIGHT/Complex ‏ @beyondDNS 2017年4月5日 ありそうですね。Knot resolverの開発者のひとりもそんな感じです。私がひな形を作るしかないかと思っているのもDNSSEC派の頭の硬さです。でも、TCPとか、経路暗号化とか、少しずつ変化しています。 1件の返信 0件のリツイート 0 いいね 浸透いうな/伝播いうな/反映いうな ‏ @tss_ontap_o 2017年4月5日 藤原氏は移転インジェクションをちゃんと説明していませんからそれもいけないのだとは思いますが、まあちゃんと説明しても同じでしょうね。違う方面からのアプローチには変化があるようですが、普及はあまり期待していません。 2件の返信 0件のリツイート 0 いいね ライト、ついてますか：RIGHT/Complex ‏ @beyondDNS 2017年4月5日 BINDの不良はいずれこっそり修正されます。（どういう形になるかは分からない。）　普及は期待できないので、自作するのが一番早い。ｗ　危険性が大きくないものを誰が作るかというのが悩ましいので、暇人に期待するしかなさそう。 0件の返信 0件のリツイート 0 いいね 会話の終了 ライト、ついてますか：RIGHT/Complex ‏ @beyondDNS 2017年4月5日 返信先: @tss_ontap_oさん 「2008年にNS毒の話を持ちだしていれば」はセキュリティ+SF小説くらいにはなるかもしれませんね。（誰が書いて、誰が読むか、という問題は棚上げにして） 0件の返信 0件のリツイート 0 いいね ページの準備ができました: DNSSEC 理解 - Twitter検索 }}}