ソースポートランダマイゼーションとは？

ソースポートランダマイゼーションの意味

キャッシュサーバが権威サーバへ問い合わせる際の送信元ポート番号を毎回無作為に選ぶ対策。攻撃者が偽の応答を先回りして送り込むには、16ビットの識別子に加えてポート番号も当てる必要が生じ、成功確率を数万分の1以下へ下げられる。

ソースポートランダマイゼーションの具体例

固定ポートで運用していると、識別子だけを総当たりされ、短時間で偽の応答が受理される。無作為化するとポート空間との積になるため現実的な時間では当たらない。ただしNAT装置がポートを規則的に振り直すと、この効果が打ち消される点に注意が要る。

ソースポートランダマイゼーションは試験でどう引っ掛けられる？

「偽応答を完全に防げる」わけではなく、成功確率を下げる確率的な対策である。根本的な検証はDNSSECの署名検証が担う。またNAT越しの構成では対策が無効化されうるため、キャッシュサーバの外向き通信の扱いを設計時に確認する必要がある。

ソースポートランダマイゼーションと関連する用語

• DNS水責め攻撃（ランダムサブドメイン攻撃）
• スプリットDNS（内部・外部DNSの分離）
• DoH／DoT