IPAが対策方法をまとめた資料を公開

DNSキャッシュポイズニングへの対策、済ませましたか？

2009/01/14

　情報処理推進機構（IPA）は1月14日、DNSキャッシュポイズニングの脆弱性への対策方法をまとめた資料を公開した。DNSキャッシュポイズニングの脆弱性への対策促進を狙ったものだ。

　攻撃者にDNSキャッシュポイズニングの脆弱性を悪用されると、DNSキャッシュサーバに偽の情報が登録されてしまう。この結果ユーザーは正しい接続先に接続できず、それと知らないうちに悪意あるサイトに誘導されて情報を盗み取られたり、メールを盗聴されたりする恐れがある。仮に被害を受けて偽のホストに誘導されたとしても、エンドユーザーには見分けが付かないため、注意が必要だ。

　2008年7月に公表された問題だが、すでにその脆弱性を悪用した攻撃コードが公開されている。また多くのDNSサーバ製品にこの脆弱性が存在しており、影響は広範囲にわたるにも関わらず、IPAによると「実際にインターネット上で運用されているDNSサーバで対策が実施されていないのではないか」という旨の届出がいまも継続しているという。

　DNSキャッシュポイズニングの脆弱性を修正するには、パッチ適用や設定変更といった対策が必要だ。IPAが公開した文書では、DNSの仕組みそのものの解説にはじまり、脆弱性の詳細や適切な設定などを解説している。また、DNS Operations, Analysis, and Research Center（DNS-OARC）が提供している「txidtest.dns-oarc.net」「Cross-Pollination Scan」というツールを用いて、自組織で運用しているDNSサーバにこの脆弱性が存在するかどうかを確かめる方法も述べられている。