DNSプライバシ問題に関するInternet Draft

11月10日付けでGoogle Public DNSに関する計測記事(参考)が、ヨーロッパ・中東・中央アジア地域の地域レジストリ(RIR/Regional Internet Registry)であるRIPE NCCで公表されましたが、その次の日付でフランスのAFNICに所属する著者によってDNSにおけるプライバシ問題をまとめたInternet Draftが公開されました。

• DNS privacy problem statement

このドラフトを書いているのは、DNSデータをJSON形式でやり取りするドラフト(draft-bortzmeyer-dns-json)を提案していた人ですね。 まだ、個人ドラフトですし、バージョンも00の段階なのですが、Acknowledgmentsを見ると業界な方々のお名前が記載されているようなので、もしかしたらwg draftになるかも知れないと思えましたが、実際のところは知りません。

ドラフトに書いてある内容

以下、ドラフトに書いてある内容をいくつかピックアップしています。 今後、このドラフトが続くようであれば、議論を経て中身が変わって行くものと思われます。

• インターネットにおけるほとんどの通信はDNSへの問い合わせから開始されることもあり、DNSはインターネットを構成する非常に大事な要素である
• DNSに対して問い合わせを送信した送信元IPアドレスと問い合わせ内容を記載したQuestionセクションがプライバシに関連する情報を含むことがある。たとえば、特定のMXレコードを問い合わせたらメールを送信する意思があると推測できるし、攻撃的な思想や違法情報を含むサイトのIPv4アドレスを問い合わせるAレコード（ドラフト中には記載されていないけどIPv6用のAAAAレコードも同様）の名前解決を行った事実がユーザをトラブルに巻き込む可能性があるし、Bittorentクライアントには特定のSRVレコードを問い合わせるものがあるのでそれによってユーザが利用しているアプリケーションを知ることも可能。
• DNSパケットは暗号化されず、途中経路上の第三者がパケットの内容を読み取ることが可能
• DNSサーバでの情報を集めたり解析するツールが色々ある。PRISMのような監視システムの一部であったり、そういったシステムにデータが提供されることも考えられる。DNSサーバ（権威サーバおよびリゾルバ）のログが長期間保存され続けることもある。
• リゾルバは直接ユーザからの問い合わせを多数受け取るので、権威サーバよりも大量のデータが集まる。大きなISPのリゾルバや、大きな公開リゾルバは多くのユーザの情報を集めることができる。公開リゾルバのプライバシポリシを読んでみると良いかも。
• リゾルバがキャッシュを行うため、権威サーバが受け取るパケットは制限されている
• 怪しいDHCPサーバが怪しいリゾルバ情報を吹き込んでくる場合がある
• 多くのマルウェア防御手法がリゾルバで怪しい活動を検知するが、視点を変えると、同じような手法がプライバシへの攻撃にもなり得る
• DNSデータに関しては、プライバシを保護するための法律がなさそう。EUにおけるプライバシ保護の法律のような一般的なものをDNSトラフィックにあてはめて考えるのは難しそうで、現時点では判例も存在してなさそう。
• DNSを全く異なる新しいプロトコルで置き換えるといった方法によって技術的に解決するようなことは興味深くはあるが、このドキュメントは課題をまとめることである。
• 第三者による経路上での盗聴を防ぐ手法として現時点で採用可能なのは、ESPモードでのIPsecだけである。
• DNSへの問い合わせをTLSで暗号化されたTCPで行うという方法も考えられる。
• リゾルバに情報漏洩の問題がある場合は、防ぐ手段がなさそう。
• リゾルバがゾーンカットの位置を正確に把握しつつ、権威DNSサーバに送る質問に記載する内容を削れば良さそう。

この他にも色々書いてあるので、興味のある方は是非原文をご覧下さい。

最後の部分

00番のドラフトなどに良くあることだとは思いますが、Security considerationsの部分がお茶目でした。

RFCはSecurity Considerationsの章が必須(RFC3552参照)ということもあり、章の項目は作ったものの、いまのところはとりあえずの文章を入れているという感じです。

Hey, man, the entire document is about security!

まあ、そうですよね（笑

最近のエントリ

• Interop 2023のShowNetバックボーン詳解
• Interop Tokyo 2023 ShowNet取材動画
• 「ピアリング戦記 - 日本のインターネットを繋ぐ技術者たち」を書きました！
• 1.02Tbpsの対外線！400GbE相互接続も - Interop ShowNet 2022
• Alaxala AX-3D-ViewerとAX-Sensor - Interop 2022
• SRv6を活用し、リンクローカルIPv6アドレスだけでバックボーンのルーティング - Interop ShowNet 2022

過去記事

過去記事一覧