Identity Theft Hits the Root Name Servers
商売で routeviews みたいに経路情報の蓄積・解析とかをしてる Renesys による記事。
Identity Theft Hits the Root Name Servers
http://www.renesys.com/blog/2008/05/identity_theft_hits_the_root_n_1.shtml
というわけで，DNSSEC や安全な(認証された)経路広告が必要だよね！っていう結論。
ちなみに、Identity Theft ってタイトルにあるから、何かユーザ情報が盗まれているように思えるけど、恐らく L の identity が盗られたっていう意味なんじゃないだろうか。(とはいえ、DNS の query を記録することで、どのIPアドレスのノードがどのサイトへ通信をしようとしてるかが丸分かりになるから、IPアドレスと組織を結び付けることで、組織同士の通信がどれくらい行なわれてるか、とか筒抜けになる。そういう意味ではエンドユーザの Identity Theft と言ってもいいのかもしれない。)
追記
ここに本人かは分からないけど Bill Manning からのコメントがある。曰く「ICANN が L の運用を始めた時にリナンバリングをすべきだったのにしなかっただけ。しかも私自身のブロック(古いLのアドレス)をアナウンスしないように法律に訴えた。悲しいね。」
さらになぜアドレスを変えたかについてはここでコメントしている。曰く「古いアドレスにどれくらいのアクセスがあるかを検証するため。」えー！研究のため？(追記：いわゆる critical infrastructure ブロックへ移行するためだったらしい。)
ついでに David Conrad (と名乗ってる人)が、DNSSEC はあくまでデータの真正性を保証するだけで、サーバの真正性は保証してくれない、と突っ込んでる。たしかに。
追記
ICANN Blog » Blog Archive » Ghosts of Root Servers Past
http://blog.icann.org/?p=309
ICANN からのアナウンスもすでに出てた。
それからこれも。
Uprooting of the DNS Root · Security to the Core
http://asert.arbornetworks.com/2008/05/uprooting-of-the-dns-root/
Identity Theft Hits the Root Name Servers
http://www.renesys.com/blog/2008/05/identity_theft_hits_the_root_n_1.shtml
- l.root-servers.net の IP アドレスが変更された (周知期間が1週間かよ！)
(ちなみに L のアドレスは Bill Manning の持ち物で、新しいアドレスは ICANN 自身のもの。それにしてもなぜ突然の変更が起こったのかは不明。) - なんかしらんが、複数の組織が同じ、古いブロックを広告し始めてた
- ICANN (AS20144)は古いアドレスブロック(198.32.64.0/24)を 2008/05/02 まで広告していた
- Community DNS (AS42909) が 2007/12/15 から広告開始
- Bill Manning の ep.net (AS4555) が 2008/03/18 から広告開始
- Diyixian.com (AS 9584) が 2008/04/01 から広告開始
- というわけで、この期間(これらの組織が広告を止めるまで。Renesys のグラフによると 2008/05/15 過ぎくらいまで。)、L の古いアドレスにアクセスすると ICANN じゃないどこか謎の組織に吸い込まれる可能性が十分にあった。しかも、これらの組織は L 相当の DNS の機能を提供していたので、ユーザとしては何かおかしなことが起こっていても気づけなかった。(しかも、resolver サーバの hint ファイルを更新せずに、古いアドレスにアクセスしてる可能性はわりと高い)
- 結局これらの組織がなぜ L 相当の DNS の機能をわざわざ提供していたのか？
- そもそもどうして IP アドレスの変更を行なわなければならなかったのか？
というわけで，DNSSEC や安全な(認証された)経路広告が必要だよね！っていう結論。
ちなみに、Identity Theft ってタイトルにあるから、何かユーザ情報が盗まれているように思えるけど、恐らく L の identity が盗られたっていう意味なんじゃないだろうか。(とはいえ、DNS の query を記録することで、どのIPアドレスのノードがどのサイトへ通信をしようとしてるかが丸分かりになるから、IPアドレスと組織を結び付けることで、組織同士の通信がどれくらい行なわれてるか、とか筒抜けになる。そういう意味ではエンドユーザの Identity Theft と言ってもいいのかもしれない。)
追記
ここに本人かは分からないけど Bill Manning からのコメントがある。曰く「ICANN が L の運用を始めた時にリナンバリングをすべきだったのにしなかっただけ。しかも私自身のブロック(古いLのアドレス)をアナウンスしないように法律に訴えた。悲しいね。」
さらになぜアドレスを変えたかについてはここでコメントしている。曰く「古いアドレスにどれくらいのアクセスがあるかを検証するため。」えー！研究のため？(追記：いわゆる critical infrastructure ブロックへ移行するためだったらしい。)
ついでに David Conrad (と名乗ってる人)が、DNSSEC はあくまでデータの真正性を保証するだけで、サーバの真正性は保証してくれない、と突っ込んでる。たしかに。
追記
ICANN Blog » Blog Archive » Ghosts of Root Servers Past
http://blog.icann.org/?p=309
ICANN からのアナウンスもすでに出てた。
それからこれも。
Uprooting of the DNS Root · Security to the Core
http://asert.arbornetworks.com/2008/05/uprooting-of-the-dns-root/