ソースポートランダマイゼーションとは？

ソースポートランダマイゼーションの意味

キャッシュDNSサーバが外部へ問い合わせる際、送信元ポート番号を毎回無作為に選ぶ実装。偽の応答を成立させるには識別子と宛先ポートの両方を当てる必要が生じ、攻撃者が総当たりで当てる難度が桁違いに上がる。

ソースポートランダマイゼーションの具体例

識別子16ビットだけが可変なら6万通り強で当たり得るが、ポートも1万数千通りから選べば組合せは数億通りになる。ただし送信元ポートを固定するNAT機器が前段にあると効果が失われるため、経路上の変換仕様まで確認する。

ソースポートランダマイゼーションは試験でどう引っ掛けられる？

これだけで偽装応答を完全に防げると考える誤り。確率を下げているにすぎず、攻撃を大量に繰り返せば成立し得る。根本的な検証は署名による正当性確認で行う。

ソースポートランダマイゼーションと関連する用語

• DNSキャッシュポイズニング
• Response Rate Limiting
• DNSSEC

ソースポートランダマイゼーションが出た過去問

• DNSキャッシュポイズニング攻撃に対して有効な対策はどれか。

  正解：DNS問合せに使用するDNSヘッダ内のIDを固定せずにランダムに変更する。

  要点：IDと送信元ポートのランダム化が偽応答の的中を防ぐ

  DNSキャッシュポイズニングは、キャッシュサーバの問合せに対して正規の応答より早く偽の応答を返し、偽情報をキャッシュさせる攻撃である。攻撃を成立させるには問合せのトランザクションIDと送信元ポート番号を的中させる必要があるため、これらを予測困難にランダム化することが有効な対策となる（ソースポートランダマイゼーション）。

  出典：令和1年度 春期 情報処理安全確保支援士試験 am2 問11（IPA）

• DNSに対するカミンスキー攻撃(Kaminsky's attack)への対策はどれか。

  正解：問合せ時の送信元ポート番号をランダム化することによって,DNSキャッシュサーバに偽の情報がキャッシュされる確率を大幅に低減させる。

  要点：カミンスキー攻撃対策は問合せ元ポートのランダム化で推測を困難にすること

  カミンスキー攻撃は、存在しないサブドメインへの問合せを大量に起こさせ、権威DNSサーバの応答より先に偽装応答を送り込んでキャッシュを汚染する攻撃である。偽装応答を成立させるにはトランザクションIDと問合せ元ポート番号を当てる必要があるため、送信元ポート番号をランダム化(ソースポートランダマイゼーション)して当てにくくするウが対策となる。根本的な対策としてはDNSSECによる応答の真正性検証がある。

  出典：令和5年度 春期 情報処理安全確保支援士試験 am2 問5（IPA）

• DNSに対するカミンスキー攻撃への対策はどれか。

  正解：問合せ時の送信元ポート番号をランダム化することによって、DNSキャッシュサーバに偽の情報がキャッシュされる確率を大幅に低減させる。

  要点：カミンスキー攻撃の緩和は送信元ポートのランダム化

  カミンスキー攻撃は、存在しないサブドメインを大量に問い合わせさせて権威DNSサーバへの問合せを誘発し、その応答が返る前に偽の応答を大量に送り込んでキャッシュを汚染する手法です。偽応答が受け入れられるにはトランザクションIDと送信元ポート番号の両方が一致する必要があるため、送信元ポートをランダム化すれば当てるべき組合せが桁違いに増え、成功確率を大幅に下げられます（ソースポートランダマイゼーション）。根本的な対策はDNSSECによる応答の署名検証です。

  出典：令和7年度 春期 情報処理安全確保支援士試験 am2 問4（IPA）