記事個別表示 (5674)
これは「水無月ばけらのえび日記 : docomoケータイのDNS Rebinding問題、全国紙で報道」に関連するコメントです。
[5674] Re:「docomoケータイのDNS Rebinding問題、全国紙で報道」
徳丸浩 (2010年1月19日 7時26分)
DNS Rebindingを携帯電話端末ないし事業社のゲートウェイの側で対策するのは難しいのではないでしょうか。
まず、現在の携帯電話は、かならずゲートウェイ(Proxy)経由でインターネットアクセスするので、DNSの名前解決はゲートウェイ上で行われます。
一方、DNS Pinningを行うには、端末側のページ単位で行われなければならないのに対して、一台のゲートウェイで多数の端末を処理するので、ページ単位の処理を行うのはゲートウェイ側では難しいように思います。端末からProxyへの要求に、どのページに紐ついたリクエストかどうかを区別する識別子はないと思われるからです。
したがって、ゲートウェイ側でできることは、DNSのTTLの最低時間を長くすることくらいですが、いつかは必ずIPアドレスを切り替えなければならないため、たまたまそのタイミングにアクセスしていたユーザが攻撃の被害にあうことになります。
つまり、キャリアの端末ないし設備では、攻撃を受ける確率を低減することはできても、完全にリスクをゼロにすることはできないように思えます。特殊なProxyをプロトコルまで含めて設計すれば対策できるでしょうが、コストが掛かりすぎて現実的ではないのではないでしょうか。
これは「水無月ばけらのえび日記 : docomoケータイのDNS Rebinding問題、全国紙で報道」に関連するコメントです。
全読: [5674]Re:「docomoケータイのDNS Rebinding問題、全国紙で報道」からのスレッド(36件)]