EDNS クライアントサブネット

EDNS クライアントサブネット( ECS ) は、DNS の拡張メカニズムのオプションであり、再帰 DNS リゾルバが、DNSクエリを実行するホストまたはクライアントのサブネットを指定できるようにします。これは通常、クライアントコンピュータが必ずしも再帰リゾルバの近くにない場合に、DNS ベースの負荷分散をより有効に活用してクライアントに近いサービスアドレスを選択できるようにすることで、コンテンツ配信ネットワーク(CDN)からのデータ配信を高速化することを目的としています。^[1]^[2]

権威ネームサーバーがDNS クエリを受信すると、ECS DNS 拡張機能を利用して、ホスト名をクライアントIPのサブネットに地理的に近いCDN に解決します。これにより、クライアントは近くの CDN にさらにリクエストを送信し、レイテンシを削減します。EDNS クライアントサブネットメカニズムは、RFC 7871 で指定されています。

プライバシーとセキュリティへの影響

ECS は上流の権威 DNS サーバーにクライアントネットワーク情報を提供するため、この拡張機能により、権威 DNS サーバーが推測できないクライアントの場所に関する情報が明らかになります。同じクライアントネットワーク情報は、クライアントの再帰サーバーとドメインの権威サーバー間のトランジットネットワークにも利用できるようになります。^{[3]セキュリティ研究者は、ECS を使用して}インターネット監視を行うことができると示唆しています。^[3]また、ECS は、特定のクライアントのみを汚染された DNS レコードに再ルーティングすることを目的とした選択的DNS キャッシュポイズニング攻撃を実行するために悪用される可能性もあります。 ^[3]

サポート不足をめぐる論争

セルフサービスWebアーカイブツールArchive.todayの所有者は、 Cloudflare 1.1.1.1がこのフィールドの内容をArchive.todayの権威DNSサーバーに渡さないことに懸念を表明し、それに応じてサイトの権威DNSサーバーを設定して、Cloudflare DNSリクエストを無効と見なすようにしました。これにより、1.1.1.1がWebサイトのDNSレコードを解決できなくなるという事態が実質的に回避されました。^[4]

サイトの所有者は、1.1.1.1 では再帰 DNS 要求が地理的に最適でない方法でルーティングされることが多く、この機能が常に利用可能であった場合よりも接続性が低下すると考えています。^[4]

CloudflareのCEOであるMatthew Princeは、 1.1.1.1がECSをサポートしない理由としてプライバシーの懸念を挙げた。^[5]

参考文献

^ 「仕組み」。より高速なインターネット。2018年3月28日時点のオリジナルよりアーカイブ。2018年3月27日閲覧。{{cite web}}: CS1 メンテナンス: 不適切 URL (リンク)
^ 「EDNS クライアントサブネット (ECS) ガイドライン | パブリック DNS | Google Developers」。Google Developers。2018年 4 月 2 日閲覧。
^ abc Kintis P、Nadji Y、Dagon D、Farrell M、Antonakakis M (2016 年 6 月)。「ECS のプライバシーへの影響の理解」(PDF)。侵入とマルウェアの検出、および脆弱性評価。コンピュータサイエンスの講義ノート。第 9721 巻。Springer。pp. 343–353。doi : 10.1007 /978-3-319-40667-1_17。ISBN 978-3-319-40667-1。
^ ab @archiveis (2018 年 7 月 16 日)。「"しなければならない" というのは、ここではそれほど直接的ではない」(ツイート) – Twitter経由。EDNSが存在せず、DNS および関連する HTTP リクエストの送信元が (AS/国だけでなく大陸レベルでも) 大きく不一致なため、多くの問題が発生するため、Cloudflare からの EDNS なしのリクエストは無効であると考えています。
^ マシュー・プリンス (2019年5月4日). 「マシュー・プリンスによるHacker Newsへのコメント」. Hacker News . 2021年10月4日閲覧。私たちは、archive.isやその他のドメインを1.1.1.1経由でブロックしていません。そうすることは、DNSの整合性と、サービスを開始したときにユーザーに対して行ったプライバシーとセキュリティの約束に違反すると考えています。Archive.isの権威DNSサーバーは、クエリを実行すると1.1.1.1に悪い結果を返します。私たち側で修正することを提案しましたが、私たちのチームは、当然のことながら、それもDNSの整合性と、サービスを開始したときにユーザーに対して行ったプライバシーとセキュリティの約束に違反すると述べました。archive.isの所有者は、私たちがEDNSサブネット情報を渡さないため、私たちに悪い結果を返すと説明しました。この情報は、要求者のIPに関する情報を漏らし、ユーザーのプライバシーを犠牲にします。これは、リゾルバから権威 DNS へのリクエストは通常暗号化されていないため、より多くの DNS トラフィックを暗号化する作業を行う際に特に問題となります。国家レベルのアクターが個人を追跡するために EDNS サブネット情報を監視した実例を私たちは認識しており、これが 1.1.1.1 のプライバシーおよびセキュリティポリシーの動機の一部でした。EDNS IP サブセットを使用すると、DNS ベースの負荷分散を使用するサービスの応答をより正確に地理的に特定できます。ただし、1.1.1.1 は、現在 180 都市にまたがる Cloudflare のネットワーク全体で配信されています。私たちは、クエリ元の IP の地理的位置情報を公開しています。これにより、私たちよりも密度の低いネットワークでも、DNS を対象とした結果を適切に返すことができます。archive.is のような比較的小規模なオペレーターの場合、EDNS IP サブネットの代わりに Cloudflare PoP の場所に依存しても、地理的な負荷分散の忠実度が損なわれることはありません。私たちは、Cloudflare よりもネットワーク/ISP 密度が高い少数のネットワーク (Netflix、Facebook、Google/YouTube など) と協力して、ユーザーのプライバシーとセキュリティを危険にさらすことなく、地理位置情報ターゲティングに必要な情報を取得できる EDNS IP サブネットの代替手段を考案しています。これらの話し合いは実り多いものであり、現在も継続中です。archive.is からこの方向での提案があれば、喜んで検討させていただきます。

[arc_one-1] 「仕組み」。より高速なインターネット。2018年3月28日時点のオリジナルよりアーカイブ。2018年3月27日閲覧。{{cite web}}: CS1 メンテナンス: 不適切 URL (リンク)

[arc_two-2] 「EDNS クライアントサブネット (ECS) ガイドライン | パブリック DNS | Google Developers」。Google Developers。2018年 4 月 2 日閲覧。

[ecsprivacy-3] Kintis P、Nadji Y、Dagon D、Farrell M、Antonakakis M (2016 年 6 月)。「ECS のプライバシーへの影響の理解」(PDF)。侵入とマルウェアの検出、および脆弱性評価。コンピュータサイエンスの講義ノート。第 9721 巻。Springer。pp. 343–353。doi : 10.1007 /978-3-319-40667-1_17。ISBN 978-3-319-40667-1。

[archiveis-4] @archiveis (2018 年 7 月 16 日)。「"しなければならない" というのは、ここではそれほど直接的ではない」(ツイート) – Twitter経由。EDNSが存在せず、DNS および関連する HTTP リクエストの送信元が (AS/国だけでなく大陸レベルでも) 大きく不一致なため、多くの問題が発生するため、Cloudflare からの EDNS なしのリクエストは無効であると考えています。

[5] マシュー・プリンス (2019年5月4日). 「マシュー・プリンスによるHacker Newsへのコメント」. Hacker News . 2021年10月4日閲覧。私たちは、archive.isやその他のドメインを1.1.1.1経由でブロックしていません。そうすることは、DNSの整合性と、サービスを開始したときにユーザーに対して行ったプライバシーとセキュリティの約束に違反すると考えています。Archive.isの権威DNSサーバーは、クエリを実行すると1.1.1.1に悪い結果を返します。私たち側で修正することを提案しましたが、私たちのチームは、当然のことながら、それもDNSの整合性と、サービスを開始したときにユーザーに対して行ったプライバシーとセキュリティの約束に違反すると述べました。archive.isの所有者は、私たちがEDNSサブネット情報を渡さないため、私たちに悪い結果を返すと説明しました。この情報は、要求者のIPに関する情報を漏らし、ユーザーのプライバシーを犠牲にします。これは、リゾルバから権威 DNS へのリクエストは通常暗号化されていないため、より多くの DNS トラフィックを暗号化する作業を行う際に特に問題となります。国家レベルのアクターが個人を追跡するために EDNS サブネット情報を監視した実例を私たちは認識しており、これが 1.1.1.1 のプライバシーおよびセキュリティポリシーの動機の一部でした。EDNS IP サブセットを使用すると、DNS ベースの負荷分散を使用するサービスの応答をより正確に地理的に特定できます。ただし、1.1.1.1 は、現在 180 都市にまたがる Cloudflare のネットワーク全体で配信されています。私たちは、クエリ元の IP の地理的位置情報を公開しています。これにより、私たちよりも密度の低いネットワークでも、DNS を対象とした結果を適切に返すことができます。archive.is のような比較的小規模なオペレーターの場合、EDNS IP サブネットの代わりに Cloudflare PoP の場所に依存しても、地理的な負荷分散の忠実度が損なわれることはありません。私たちは、Cloudflare よりもネットワーク/ISP 密度が高い少数のネットワーク (Netflix、Facebook、Google/YouTube など) と協力して、ユーザーのプライバシーとセキュリティを危険にさらすことなく、地理位置情報ターゲティングに必要な情報を取得できる EDNS IP サブネットの代替手段を考案しています。これらの話し合いは実り多いものであり、現在も継続中です。archive.is からこの方向での提案があれば、喜んで検討させていただきます。