DNS Summer Day 2020 #dnsops

Yasuhiro Morishita @OrangeMorishita

誰に会うわけでもないけど、今日はこれを着ることにする。 #dnsops pic.twitter.com/8XVsYvGdB4

拡大

夏目葉太🍃なつよさん @infragirl755

#dnsops 待機ちう

かなか @jp_kanaka

参加するのは7年ぶりくらいかもしれな #dnsops

ふぉっくす(0x1E)@Δチカト @fate_fox

オレンジさんのCM #dnsops

rxy @rxy

youtube.com/watch?v=3YMdLE… もう配信してる！ #dnsops #DNSSummerDay2020

拡大

堂前@IIJ @IIJ_doumae

本日開催されるDNS Summer Day 2020にて、IIJのDNSエンジニアが講演します。 開催はオンライン、YouTubeで視聴可能です。 #dnsops dnsops.jp/event20200626.… twitter.com/IIJ_ITS/status…

IIJ_ITS @IIJ_ITS

インターネット基盤技術の一つのDNS。DNSエンジニアたちの意見交換の場である「DNS Summer Day 2020」が明日オンラインで開催されます。IIJはDNSサービスの開発・運用にも力を入れており、其田、山口、島村の三名が現場で得た知見を発表いたします(続く) dnsops.jp/event20200626.… #dns

2020-06-25 18:28:11

浸透いうな (浸透待ちは時に危険) @tss_ontap_o

おはようございます #dnsops

かなか @jp_kanaka

#dnsops わいわい

Tetsuya @_tamitom

DNS Summer Day 2020始まった。 初のオンライン開催。 #dnsops

ふぉっくす(0x1E)@Δチカト @fate_fox

#dnsops はじまりはじまり

debiru / くぁーる @debiru_R

「この場限りのお話をされることもありますのでYouTube Liveは録画をオフにしています。」もったいない。そういうセッション以外のアーカイブを残すことは考えなかったのかな。それともほぼ全てのセッションがこの場限りなのか。 #dnsops

マーカス🇨🇦 @cam_i8

間に合った(間に合った) #dnsops

Yoshikazu GOTO @goto_ipv6

「NXNSAttackの概要」です。 #dnsops

Yoshikazu GOTO @goto_ipv6

ドメイン名空間と委任： ・ドメイン名はツリー構造 →インターネット内で1つのドメイン名空間を構成する →ドットで区切られたラベルで構成されている #dnsops

Yoshikazu GOTO @goto_ipv6

・サブツリーを別のゾーンとして切り出せる(委任) →ただし、「.」の区切りで必ず委任されるとは限らない →→例えば co\.jp は jp と同一のゾーン #dnsops

Yoshikazu GOTO @goto_ipv6

referral 応答： ・権威DNSサーバーから、委任に関する情報を伝える →ゾーンの階層構造をたどる(反復検索)過程で現れる →→Authority Sectionに委任先の権威DNSサーバーの「ドメイン名」が含まれる #dnsops

nullnull @d_yasutsuna

動画アーカイブなしか・・・ 後日見れると良いんだけど、オフラインであれば動画なんてないし、普段のsummer dayと同じと言えば同じか？ #dnsops

Yoshikazu GOTO @goto_ipv6

・応答に含まれるNSレコードは権威DNSサーバーのドメイン名を指す →内部名であればAdditional SectionにIPアドレスが含まれるので、それを使って委任先の権威DNSサーバーに問い合わせる #dnsops

浸透いうな (浸透待ちは時に危険) @tss_ontap_o

内部名とは #dnsops

Yoshikazu GOTO @goto_ipv6

水責め攻撃の概要： ・フルリゾルバーに、攻撃対象ドメイン名の権威DNSサーバーへ大量クエリを送るように仕向ける →ランダムなラベルを攻撃対象ドメイン名の左側に付けたクエリ →キャッシュにヒットしない #dnsops

Yoshikazu GOTO @goto_ipv6

→対象ドメイン名の権威DNSサーバーのNWや処理能力が飽和 →フルリゾルバも #dnsops

Yoshikazu GOTO @goto_ipv6

NXNSAttackの概要： ・前準備として、攻撃用のドメイン名を用意する →ドメイン名を登録し、権威DNSサーバーを設定 →ゾーンの頂点以外のドメイン名として、攻撃対象ドメイン名に委任する NSレコードを多数作る #dnsops

Yoshikazu GOTO @goto_ipv6

・このドメイン名を、踏み台に名前解決させる →途中の委任先が外部名の権威DNSサーバーなので、フルリゾルバの内部処理として別途、名前解決が必要になる #dnsops

Yoshikazu GOTO @goto_ipv6

→委任先として指定されている権威DNSサーバーのドメイン名に対して、踏み台となるフルリゾルバーから大量に問い合わせが送られる #dnsops

Yoshikazu GOTO @goto_ipv6

・多くの実装で、委任先である権威DNSサーバーの名前解決を並列に、かつ回数の上限がゆるい設定で行っていた →結果、フルリゾルバーが高倍率の増幅器として作用してしまった #dnsops