DNS温泉番外編 in 大阪vol.4にオンライン参加してみた

先日ふとしたきっかけで、DNS温泉なる会に出会いました。
DNS自体は基本情報とか学校で習う程度の理解はしているつもりですが、昨今のトレンドや実務レベルで理解しているか、と言われると怪しいです。
情シスとして、SPF/DKIM/DMARCなど、メール関係部分はざっくりと、という程度でしょうか。

ということで、せっかくなので、一体どんな話をするのだろうか？という興味本位でオンライン参加をしてみましたので、ちょっとずつ感想をまぜつつレポしてみます。

登壇者のお話は4本立てでした。一部家庭の都合できけませんでしたが、聞けた範囲で、参加してみてのまとめと感想です。(資料は公開していいか不明でしたので、リンクを張っていません）

1. DNS設定調査方法のいろいろ

知らないことばかりでした。
ところどころ聞いたことのある言葉やなるほどーといこともありましたが、おそらくさわり以上のことがわかってないんだな、私は、ということがわかりました。
細かい点はまだまだ勉強不足なので、どんな内容だったかAgendaレベルで書き出します。

digコマンド（WindowsではDig Gateway）を使おう、そしてhistoryを残そう

すみません、nslookup使ってました。
（dig：Domain Information Grouperの略）
そこまでトラブルシュートすることもなかった、というのも正直な所です。

DNS健全チェッカーでLame Delegationを検査

先月閉鎖された某大阪イベント関連のドメインを使ってサンプルを見せていただきました。

隠れオープンリゾルバの検査

アクセス制限されてないオープンリゾルバ。
日本のISPは送信時の送信元パケット詐称に対する制限はしているため、海外を経由してチェックしているとのこと。

TTLの挙動チェックと権威サーバの引っ越し実験

いろいろな設定がされたドメインでの挙動と解説でした。
途中NWトラブルがあって、DNS専門の方でも、NWでトラブルでるんだなあと新鮮でした。（Disってるわけではないです。親近感です）

その他印象的なアジェンダ

• 移転インジェクションの脆弱性確認

• 奇妙なDNS設定例

  • DNS的に存在していないはずのドメインが1.1.1.1では引けてしまうパターンがある（Cloudflareには数年前に報告済み）

  • DNSVizでのDNSゾーン可視化

  • Who is では検索方法によっては対象のJPNICハンドルが登録担当者になっている他のドメイン名も見れる（Who isがメンテされてない）

2. Web開発者がしっておくべきDNSの知識

基本的な内容のおさらいからで、うんうん、この辺は知ってる、この辺は弱い、という自分の理解を振り返るのに最適でした。

基礎知識

• ドメイン名は買ってるんじゃない！利用・管理権利を得ただけ。

• 携帯の電話番号と同じ。

• レジストラとレジストリは違う（→どっちがどっちだったかよく混乱する人）

• フルサービスリゾルバは通常ISPのリゾルバ

• ゾーンの仕組みは大企業の階層組織構造みたいなもの

理解を深めるために

• DNSサーバと一口に言っても種類があるので、正しく理解して言葉を使う

• DNSSEC：普通のユーザーは知らなくてもいい。

• DNSは浸透しないが、事業者がそういう説明をした事が発端

• ただしPropagationという用語はあるが、いわゆる浸透しない問題で使われることはではない。

  • Propagation：プライマリのゾーンサーバからセカンダリにゾーン情報を転送する処理のことをさす。

• DNSのセキュリティ（この辺はよく聞く話）

• ドメイン名は、プロダクト名ではなくブランド名にすべし。サブドメインを活用する。

• digコマンドを理解して活用する

  • digコマンドは非再帰問い合わせができるコマンド。

Webサーバのワイルドカード証明書を発行する方法

以下の仕組みを利用すると、自分のWebサーバで管理しているドメイン名（頂点ドメイン名と直下のすべてのサブドメイン）に対して有効なWebサーバ証明書を発行できる。

1. certbotコマンドでワイルドカードのドメイン名に証明書を発行

2. dns-01 challengeで所有権確認

3. certbotコマンドのオプションを利用して、dns-01 challengeのトークンを権威DNSサーバのTXTレコードへ登録

4. certbotコマンドの実行をcronで定期実行

ドメイン名を浸透させよ＆Google Cloud Spammerの状況

最近の事例を用いて、何がやばいのかを解説していただきました。
なんとなくXのTLなどで見ていた話を具体的に聞くことができました。
資料はSpeaker Deckにあがるかも？ということでリンク張っておきます。

過去事例

• 神奈川県高校出願システムでGmailだけメール届かない問題

  • メールサーバの構築に問題あり

    • MXレコードがIPアドレス（IPアドレスかけるのはAレコードかAAAAレコードだけですよね）

    • 脆弱性がある古い暗号化が生きている

  • 実行された対策は、「ドメイン名を増やす」だった

    • なぜサブドメインを利用しないのか

• NHK OneのGmailに届かない問題

  • ユーザーが移行作業できるのは、NHK Oneへの移行日から。事前にできなかった。

  • 神奈川県は、県内の受験生だけだったが今度は全国が対象であった

そもそも、それまで利用されていなかったドメイン名いきなり利用したことが問題であって、メールログを見ていないのではないか、ということでした。
秀逸な例えだなとおもったのは、こちら。

Google Cloud Spammer

最近はGoogle Cloudからのspam IPが増えてるとか。

• 夏頃は1か月で500個→5000個

• 12月には25000個超え

• 過去他でもあり対策はされているが、いたちごっことのこと。

• Gmail送信ガイドラインは厳しくなっているが、Google Cloudはスパム配信し放題

• Google Cloudが厳しくなけば、ジプシーのごとく別のところからまた現れる

4. メールアドレスの見間違えから見る傾向と対策

最初のほうは家庭の都合で席を外してしまったので聞けませんでした。
帰ってきたエラーメールをGASで収集して原因を検証しているお話でした。
興味深い。

• よく間違われる文字

  • o p . a e i - s m j

• サンプル数をもっと増やさないと何とも言えないが、母音が多いのは日本ぽい

• フリック入力ではまた原因が違うため謎の文字がある。推測して調査するしかない。

• ヨルダンのTLDはjoのため、jpをタイプミスすると実在するTLDになってしまう

ヨルダンのTLDって初めて知りました。

感想

基礎知識＋αから、細かいDNS（というかNW）の応用まで幅広く聞けて大変有意義でした。
ドメインレコードの操作やメール対策に目が行きがちですが、もっと正しい知識と中身を読むための勉強をしないといけないな～～と実感した温泉でした。
泊まり込みは難しいかもですが、次回があったらまた参加してみたいです。
それまでには、もう少し理解できてるようにしたいなあ。（手を動かしていきたい）

ということでよわよわ情シスがDNS温泉番外編へ参加したレポでした。
よわよわ仲間のみなさん、一緒に勉強しましょう！！！