2020年10月中旬、ある国の、あまり知られていないもののインターネット空間に対して決定的に重要なドメイン名の期限が切れた。
このドメイン「scpt-network.com」は、コンゴ民主共和国に割り当てられたカントリーコードトップレベルドメイン「.cd」に対応する、2つのネームサーバーのうちの1つだった。もしそれが間違った輩の手に落ちた場合、攻撃者は膨大な数の無知なインターネットユーザーたちを、選択した不正なウェブサイトにリダイレクトすることができる。
明らかに、そのような重要なドメインは期限切れになるはずがなかったのだが、コンゴ民主共和国政府の誰かが、その更新費用を支払うのを忘れていたのだろう。幸いなことに、期限切れのドメインがすぐに消えることはない。その代わりに、所有者である政府が、他の誰かに売却される前にドメインを買い戻すための猶予期間が開始されていた。
偶然にもそのとき、セキュリティ研究者であり、サイバーセキュリティのスタートアップDetectify（デテクティファイ）の共同創設者であるFredrik Almroth（フレドリック・アルムロス）氏が、カントリーコードトップレベルドメイン（ccTLD）用のネームサーバーをすでに調べている最中だった。カントリーコードトップレベルドメインとは地域ウェブアドレスの末尾に付与される2文字の接尾辞で、たとえばフランスなら「.fr」、英国なら「.uk」といったものが使われている。この重要なドメイン名が期限切れを迎えようとしていることに気づいたアルムロス氏は、コンゴ政府の誰かがドメインを取り戻すために支払いを行うだろうと想定しながら、このドメイン名の監視を始めた。
だが誰もそうしなかった。
2020年12月の終わりには、猶予期間が終わり、ドメインはインターネットからまさに消えようとしていた。ドメインの期限が切れ第三者が取得可能になってから数分以内に、アルムロス氏は他の誰にも引き継がれないように、すぐにそのドメインを取得した。なぜなら彼がTechCrunchに語ったように「その意味合いは計り知れないほど大きかった」からだ。
トップレベルのドメインが期限切れになるのは珍しいことではあるものの、前例がまったくなかったわけではない。
たとえば2017年には、セキュリティ研究者のMatthew Bryant（マシュー・ブライアント）氏は、英国領インド洋地域に割り当てられた「.io」トップレベルドメインのネームサーバーを引き継いだ。だが、悪意のあるハッカーたちは、カントリーベースのドメイン接尾辞を使用している企業や政府へのトップレベルドメインへのハッキングをターゲットにすることにも関心を示している。
ネームサーバーはインターネットの機能の根幹に関わる重要な部分であるため、ネームサーバーを引き継ぐことは簡単なことではない。
あるウェブサイトにアクセスするたびに、デバイスはネームサーバーを利用して、ブラウザ内のウェブアドレスを機械読み取り可能なアドレスに変換し、探しているサイトがインターネット上のどこにあるのかを、デバイスは知ることになる。ネームサーバーをインターネットの電話帳にたとえる人もいる。ブラウザーは自分のキャッシュから答を得ることができることもあれば、最も近いネームサーバーに答えを聞く必要があることもある。しかし、トップレベルのドメインを制御するネームサーバーたちには権威があり、別のネームサーバーに尋ねることなくどこを見ればいいのかを知っていると考えられている。
こうした権威あるネームサーバーを制御することで、悪意のあるハッカーは中間者攻撃を実行し、正しいサイトに行こうとするインターネットユーザーの通信を気づかれることなく傍受し、悪意のあるウェブページにリダイレクトさせることができる。
この種の攻撃は、たとえばハッカーが企業ネットワークにアクセスして情報を盗むために利用するパスワードを、偽ウェブサイトを作って被害者からかすめ取るといった、高度なスパイ活動に利用されている。
アルムロス氏によれば、さらに悪いことに、ネームサーバを制御することができれば、有効なSSL（HTTPS）証明書を取得することが可能になり、任意の「.cd」ドメイン向けの、暗号化されたウェブトラフィックやメールボックスの内容を傍受することが可能になっていただろうという。素人目には、すご腕のハッカーが犠牲者をなりすましウェブサイトに導けたように見えるだろうが、別に難しいことをやってのけたわけではない。
「証明書を発行するために使用される検証スキームを悪用することができれば、同様に『.cd』の下の任意のドメインのSSLを弱体化することができます」とアルムロス氏は語る。「そんな特権的な立場になれる能力は恐ろしいものです」。
アルムロス氏は、ドメインを返還する方法を発見しようとしているうちに、1週間ほどドメインを所有し続けることになった。現時点ではドメインはすでに2カ月間活動しておらず、何かが壊滅的に破壊されたわけでもなかった。せいぜい「.cd」のドメインを持つウェブサイトが、ロードするためにわずかに時間がかかったかもしれない程度だ。
残っていたもう1つのネームサーバーは正常に動作していたので、アルムロス氏は取得したドメインをオフラインにして、インターネットユーザーが彼の管理下にあるネームサーバーに依存しているドメインにアクセスしようとした場合には、自動的にタイムアウトが起こりもう1つのネームサーバーにリクエストを渡すようにしていた。
結局、コンゴ政府はドメインの返還を求めてはこなかった。現在アルムロス氏が所有しているドメインの代わりに、まったく新しいしかし似たような名前のドメイン「scpt-network.net」を立ち上げたのだ。
私たちはコンゴ当局にコメントを求めたが、返事得られていない。
インターネットアドレスの割り当てを担当する国際的な非営利団体であるICANNによれば、カントリーコードトップレベルドメインは各国が運営しており、ICANN自身の役割は「非常に限られている」と広報担当者は述べている。
ICANNはその限られた自身の役割の一環として、各国に対して、ベストプラクティスに従うことと、なりすましウェブサイトを提供することをほぼ不可能にするために、暗号技術の安全性を高めるDNSSECの使用を奨励している。だがあるネットワークセキュリティエンジニア（メディアに話す権限を与えられていないため、名前を伏せるように求めた）は、トップレベルのドメインハイジャックに対してDNSSECが有効かどうかに疑問を呈した。
とはいえ少なくとも今回のケースでは、カレンダーのリマインダーを使えば解決できない筈はなかっただろう。
カテゴリー：セキュリティ
タグ：DNS、コンゴ
画像クレジット：Bryce Durbin / TechCrunch
［原文へ］
（翻訳：sako）
