注目★★★★★Lobsters
DNS スプーフィング対策を無視すると MITM 攻撃に晒される理由
30秒で把握
- 1DNSSEC 未導入時、 攻撃者が DNS 応答を偽造しメールクライアントを詐称サーバに誘導可能
- 2ARP ポイズニングで DNS 横取り後、 詐称サーバの TLS 証明書検証に成功しユーザに気づかれない
- 3メールサーバの DNS レコード DNSSEC 対応状況を確認し、 未対応なら導入検討を推奨
要約
DNSSEC を導入しないと、 攻撃者が DNS 応答を偽造し、 メールクライアントを詐称サーバに誘導できる。 メールクライアントが自動解決する IMAP/SMTP サーバアドレスに対し、 ARP ポイズニングなどで DNS 応答を横取りされると、 正規サーバと区別がつきにくい詐称サーバ (smtp.evilattacker.com など) に接続させられる。 TLS ハンドシェイク自体は詐称サーバの証明書で成功し、 ユーザが気づかないまま認証情報が盗聴される可能性がある。 HTTPS 導入当初の「複雑・オーバーヘッド」論と同じ議論が DNSSEC でも繰り返されているが、 MITM リスク低減には必須の対策である。
あなたへの影響
自社メールサーバの DNS レコードを外部公開している場合。
推奨：DNSSEC 未導入なら組織内メール利用者の認証情報が傍受される可能性があるため、DNS 設定の DNSSEC 対応状況を今月中に確認し、未対応なら導入を検討すべき。