NSEC3-Encloser-Attack ゾーンファイル生成

このプロジェクトは、カスタム NSEC3 パラメータを持つ DNS ゾーンファイルを生成し、CVE-2023-50868 の攻撃を再現・評価するためのものです。

要件

Python3（Python3.10 でテスト済み）

インストール済みの Python 依存パッケージ:

• cryptography 42.0.5
• dnspython 2.6.1

構成要素

• lib: Python ユーティリティ。以下を含みます:
  • keys.py: 鍵のファイルへの保存・読み込みを行うラッパー関数
  • nsec.py: DNSSEC NSEC ハッシュの実装
  • dnssec.py: NSEC3 対応に変更・パッチ適用済みの dnspython 関数
  • config.py: 設定読み込みユーティリティ
• keys: 事前生成された鍵を含む PEM ファイル（gen_keys.py で生成）
• zones: ゾーンファイル（gen_zones.py で生成）
• config.json: 設定例

セットアップ

• どの NSEC3 ゾーンを作成するかは、config.json を編集して設定します（設定 を参照）

• 鍵を生成: $ ./gen_keys.py

  各ゾーンについて、KSK と ZSK が生成されます。 ゾーン名が設定内で変更されていない限り、設定を変更しても鍵は再利用されます。

• ゾーンファイルを生成: $ ./gen_zones.py -c

  オプション -c は設定ファイルのエクスポートを有効にします（現時点では BIND9 のみ対応）

詳細なオプションは --help を参照してください。

設定

設定構造には2つの要素があります:

• default: ゾーンのデフォルトパラメータ（現時点では一部のみ対応）
• zones: エクスポートするすべてのゾーンのリスト

ゾーン

ゾーンには以下が含まれます:

• name (必須): ゾーンを参照する際の名前。エクスポート時のファイル名にも使用されます
• origin (必須): 正規のゾーンオリジンのドメイン名
• parent: このゾーンの NS、A、DS、NSEC3PARAM レコードが追加される親ゾーン名（origin ではありません）
• keysize (必須): RSA 鍵のサイズ（現時点では RSA のみ対応）
• nsec3: NSEC3 パラメータ:
  • iterations: デフォルトは 0
  • salt: デフォルトは ''
  • algorithm: 整数値。現時点では SHA-1 (1) のみサポート
  • tight: 特別なブール値。origin の直後、および .origin の前後に NSEC3 レコードを追加するかどうかを制御します。たとえば、.origin が NSEC3 レコード 1d..ua.origin. を持つ場合、1d..u0.origin. と 1d..ub.origin. のレコードもゾーンファイルに追加されます。これにより、origin のサブドメイン（例: a.origin.）に対するすべての NXDOMAIN 証明が3つの NSEC3 レコードを必要とするようになります。これは、origin とワイルドカードをカバーする NSEC3 レコードが next_hash に対して非常に狭い範囲を持つためです

攻撃の再現

NSEC3 攻撃を再現するために、このセクションでは、DNS ネームサーバーと被害者リゾルバからなるカスタム環境の一例を示します。 続行する前に、攻撃用ゾーンファイルに対して公開サーバーが露出しないよう、システム環境のファイアウォールが適切に設定されていることを確認してください。

1. NSD ネームサーバー（現行バージョン）をインストール

   インストール手順については、NLnetLabs のウェブサイト（https://nsd.docs.nlnetlabs.nl/en/latest/installation.html）を参照してください。

   ネームサーバーは VM またはコンテナにデプロイすることを推奨します。出発点として、docker/nsd に小さな Dockerfile があります。

   docker build -t <tag> <path_to_dockerfile> でコンテナをビルドします。例: cd docker/nsd && docker build -t nsd .

   docker run -it --name <name> nsd bash でコンテナを実行し、コンテナ内でコンソールを開きます。

   次に、攻撃用ゾーンファイルをホストするようにネームサーバーを設定する必要があります。 これには、生成するゾーンファイルの正しい設定（最も重要なのは、NS レコードに指定する IP アドレスがコンテナの IP アドレスと一致すること）が必要です。 ネットワークを設定していない場合、コンテナの IP アドレスは次のコマンドで確認できます: docker container inspect <name> | grep IPAddress

   設定出力付きでゾーンを生成し（./gen_zones.py -c、上記参照）、リポジトリディレクトリからゾーン出力フォルダを docker コンテナにコピーします: docker cp ./zones <name>:/etc/nsd

   コンテナのコンソールで、コンテナ内の NSD 設定 /etc/nsd/nsd.conf に次の行を追加する必要があります:

   root@kitploit:~

   verify:
       enable: no
   remote-control:
       control-enable: no
   
   include: "/etc/nsd/zones/nsd.conf"
   

このガイドに関して問題が発生した場合は、お気軽にご連絡ください。さらなるサポートを提供します。