[論文レビュー] Unilateral Antidotes to DNS Cache Poisoning

Amir Herzberg, Haya Shulman|arXiv (Cornell University)|Sep 7, 2012

Internet Traffic Analysis and Secure E-voting被引用数 3

ひとこと要約

本稿では、DNSリゾルバの変更を要せず、DNSキャッシュポイズニングを防止する2つの単独防御策—「サンドイッチアンチドート」および「NATアンチドート」—を提案する。サンドイッチアンチドートは2段階のプロセスでポイズニング試行を検知・ブロックする。NATアンチドートは、リゾルバのソースIPアドレスをローテーションさせることでエントロピーを向上させる。両者ともゲートウェイに導入可能であり、最小限のオーバーヘッドでスプーフィング攻撃に対して強力な保護を提供する。

ABSTRACT

We investigate defenses against DNS cache poisoning focusing on mechanisms that can be readily deployed unilaterally by the resolving organisation, preferably in a single gateway or a proxy. DNS poisoning is (still) a major threat to Internet security; determined spoofing attackers are often able to circumvent currently deployed antidotes such as port randomisation. The adoption of DNSSEC, which would foil DNS poisoning, remains a long-term challenge. We discuss limitations of the prominent resolver-only defenses, mainly port and IP randomisation, 0x20 encoding and birthday protection. We then present two new (unilateral) defenses: the sandwich antidote and the NAT antidote. The defenses are simple, effective and efficient, and can be implemented in a gateway connecting the resolver to the Internet. The sandwich antidote is composed of two phases: poisoning-attack detection and then prevention. The NAT antidote adds entropy to DNS requests by switching the resolver's IP address to a random address (belonging to the same autonomous system). Finally, we show how to implement the birthday protection mechanism in the gateway, thus allowing to restrict the number of DNS requests with the same query to 1 even when the resolver does not support this.

研究の動機と目的

• ポートランダム化や0x20エンコードといった既存の防御にもかかわらず、DNSキャッシュポイズニングの脅威が継続的に存在するという事実に対処すること。
• DNSリゾルバの変更やDNSSECの広範な導入を必要としない、実用的で導入可能な防御策を提供すること。
• ネットワークゲートウェイレベルでポイズニング試行を検知し、エントロピーを向上させることで、セキュリティを強化すること。
• 標準のリゾルバ防御を回避できる意図的な攻撃者に対しても、即座で効果的な保護を提供すること。

提案手法

• サンドイッチアンチドートは2段階で動作する：まず応答の検証によりポイズニング試行を検知し、その後同じクエリに対する悪意ある応答をブロックする。
• NATアンチドートは、同じ自律システム内に属するアドレスプールからリゾルバにランダムなIPアドレスを割り当てることで、ソースIPのエントロピーを向上させる。
• 誕生日保護はゲートウェイで実装され、同じリソースレコードの重複するDNSリクエストを1つに制限する。
• ゲートウェイは送出されたDNSリクエストのテーブルを維持し、各クエリに対しては最初の応答のみを転送し、以降の重複応答は破棄する。
• ファイアウォールルールを用いてポート53のDNSパケットをキャプチャ・キューイングし、リアルタイム処理と応答の生成を可能にする。
• プロトタイプ実装により、ゲートウェイが保留中のすべてのリクエストに対して一致する応答を生成・転送できることを示し、一貫性のある解決を保証する。

実験結果

リサーチクエスチョン

• RQ1 DNSリゾルバの変更やDNSSECの導入に依存せずに、効果的で単独のDNSキャッシュポイズニング防御を実装できるか？
• RQ2 リゾルバレベルの保護が回避された場合、ゲートウェイレベルのメカニズムはどのようにしてポイズニング攻撃を検知・防止できるか？
• RQ3 ゲートウェイでソースIPランダム化を実施した場合、どの程度のエントロピー向上が達成可能であり、攻撃の可能性にどのような影響を与えるか？
• RQ4 ゲートウェイで誕生日保護を効果的に実装できるか？ これにより、誕生日パラドックスに基づく攻撃ベクトルは無効化されるか？
• RQ5 低遅延と高スループットを維持しながら、ゲートウェイは正当な応答と偽造応答をどのように区別できるか？

主な発見

• サンドイッチアンチドートは、応答フィールドの検証と、同じクエリに対する後続応答の破棄により、DNSキャッシュポイズニング試行を効果的に検知・ブロックする。
• NATアンチドートは、アドレスプールからリゾルバのソースIPアドレスをローテーションさせることで、DNSリクエストの有効エントロピーを最大2^11倍に向上させる。
• ゲートウェイで誕生日保護を実装することで、同じリソースレコードの重複リクエストが処理されなくなり、誕生日パラドックス攻撃ベクトルが効果的に無効化される。
• リゾルバがこの機能をサポートしていなくても、ゲートウェイベースの誕生日保護機構により、同じリソースレコードに対する同時リクエストを1つに制限できる。
• 提案された防御策は単純で効率的であり、DNSリゾルバの変更や広範なDNSSECの導入を必要とせず、既存のネットワークインfraに容易に導入可能である。
• プロトタイプコードにより、ゲートウェイが保留中のすべてのリクエストに対して一致する応答を生成・転送できることを実証し、一貫性があり安全なDNS解決を保証する。