「分かりそう」で「分からない」でも「分かった」気になれるIT用語辞典

順番に見ていきましょう。
まずは予備知識として

・IPアドレス
・ドメイン名
・DNS
・DNSサーバ
・フルサービスリゾルバ

について説明します。
「そんなの説明されなくても知ってるよ！」な人は適当に読み飛ばしてください。

IPアドレスは「コンピュータさん向けのネットワーク上の住所」です。
インターネットっぽい通信において、送信先を特定するときとかに使う情報です。
「198.51.100.2」のような形式になっています。



ドメイン名は「IPアドレスに付けた人間様向けの名前」です。
インターネットやメールなどで使われる住所です。
「i-3-i.info」のような形式になっています。



DNSは「IPアドレスとドメイン名を紐付けしまっせシステム」です。



パソコンさんはIPアドレスしか分かりません。
ドメイン名を見せられても「う～ん、どこの住所だろう」と困ってしまいます。



一方、人間様はIPアドレスがピンときません。
「198.51.100.1」と「198.51.100.10」と「198.51.100.11」の違いなんて、パッと見で分かりませんよね。
うっかりミスも増えそうです。



そのため、コンピュータさんはコンピュータさんが分かりやすい形式の住所（IPアドレス）を、人間様は人間様が分かりやすい形式の住所（ドメイン名）を使えるようにするための仕組みがあります。
具体的には、事前にIPアドレスとドメイン名を対応付けておいて、必要に応じて変換するのです。



この「IPアドレスとドメイン名を紐付けて変換する仕組み」をDNSと言います。



変換する お仕事をしているコンピュータさんは「DNSサーバ」です。



フルサービスリゾルバは「答えが分からなければ他のDNSサーバさんに聞きに行くDNSサーバさん」です。



DNSサーバさんは2種類あります。

１．自分の管理している情報を教えてあげるのがお仕事のDNSサーバさん
２．どんな手を使おうともお問い合わせに答えてあげるのがお仕事のDNSサーバさん

の2つです。



自分の管理している情報を教えてあげるのがお仕事のDNSサーバさんは、IPアドレスとドメイン名の対応表を持っていて、問い合わせに対して「そのIPアドレスは、このドメイン名だね～」や「そのドメイン名は、このIPアドレスだよ～」と答えてあげます。
対応表に載っていなければ「知らないな～」と答えます。
このDNSサーバさんは「権威DNSサーバ」や「DNSコンテンツサーバ」と呼ばれています。



どんな手を使おうともお問い合わせに答えてあげるのがお仕事のDNSサーバさんは、問い合わせがあると、答えを知っていそうなDNSサーバさんに「こんな問い合わせが来たんだけど、答えを知っていたら教えてよ」と聞きに行きます。
言わばカンニング野郎です。
このカンニング野郎なDNSサーバがフルサービスリゾルバです。



以上を踏まえて

来る者拒まず（誰でもウェルカム）なフルサービスリゾルバさん

が「オープンリゾルバ」です。
人類平等、コンピュータも平等、誰でも分け隔てなく相手をしてあげます。



あぁ、なんて素晴らしいのでしょう。
人格者ですね。

そんな人格者なオープンリゾルバさんですが、悪気が無いだけに余計質が悪いのです。
一般的に、オープンリゾルバは「悪」とされています。
「できれば止めてね」です。

それは何故でしょうか？

実はオープンリゾルバさんは悪い人たちのやる悪いことに利用されやすいのです。
いくつか例を見てみましょう。

DNSサーバさんはお問い合わせに答えるのがお仕事です。
「このドメイン名に対応するIPアドレスは何？」「このIPアドレスに対応するドメイン名は何？」という問い合わせに対して、えっちらおっちら調べて回答しています。



このときの回答先は、当然、問い合わせてきた人になります。
ただし、この問い合わせてきた人が誰かについては、自己申告制です。

実際には「僕はピヨ太です。ドメイン名『i-3-i.info』に対応するIPアドレスを教えてください」のような形で問い合わせがきます。
より正確に書くと「自分のIPアドレスは『198.51.100.2』です。ドメイン名『i-3-i.info』に対応するIPアドレスを教えてください」です。



このとき、回答するDNSサーバさんはピヨ太君を名乗る人物が本当にピヨ太君かは確認しません。
自己申告を信じてピヨ太君に回答をします。



ということは、ですよ。
悪い人がピヨ太君の振りをして問い合わせした場合でも、その回答はピヨ太君に行きます。



その数が増えたら、どうでしょう。
悪い人が、いろんなDNSサーバさんに対して「僕はピヨ太です。ドメイン名『i-3-i.info』に対応するIPアドレスを教えてください」と問い合わせした場合です。



そうですね。
ピヨ太君はただボーっとしているだけなのに、いろんなDNSサーバさんから回答が来きます。
相手をするのも大変でしょう。



オープンリゾルバさんがあると、そんな嫌がらせがやりやすくなってしまうのです。
会員制のお店よりも誰でも入れるお店の方が、万引きするときの心理的抵抗は少なそうですよね。
また、万引きが発生したときの犯人探しも、誰でも入れるお店の方が大変そうです。
それと同じイメージです。

余談めいてしまいますが、このような嫌がらせのやり方は「DNS Amp攻撃」や「DNSリフレクター攻撃」と呼ばれています。

もう1つ例を見てみましょう。

フルサービスリゾルバさんは、他のDNSサーバさんに問い合わせた内容を、カンペにメモって一定期間保存しています。



そして、カンペに記載のある内容の問い合わせがあった場合は、そのカンペの内容に従ってお返事してやるのです。
カンペに記載がない場合のみ、他のDNSサーバさんに問い合わせにいきます。



詳細は割愛しますが、このカンペの内容を変な風に書き換えてしまう嫌がらせがあります。

例えば、元々ドメイン名「i-3-i.info」はIPアドレス「198.51.100.1」の「ピヨピヨサーバ」と関連付けられていました。
それをIPアドレス「198.51.100.2」のウイルスたっぷり「デビルサーバ」と関連付くように書き換えてしまいます。



そうすると、どうなるでしょう？

そうですね。
「『i-3-i.info』のIPアドレスは何～？」な問い合わせに対して「『198.51.100.2』（デビルサーバ）だよ～」と答えるようになってしまいます。
本当はIPアドレス「198.51.100.1」のピヨピヨサーバに遊びに行ってまったりするはずが、IPアドレス「198.51.100.2」のデビルサーバに行って、ウイルスと格闘する羽目になります。



このような「DNSサーバさんのカンペを書き換えて、問い合わせに対して変な回答をするようにする」嫌がらせのやり方があります。
手法自体はオープンリゾルバさんじゃなくても実施可能ですけどね。
不特定多数の人が使えるオープンリゾルバさんの方が、悪用される可能性は高いってな理屈です。

ちなみに、カンペを使う仕組みは「キャッシュ」と言います。
そのため、このような嫌がらせのやり方には「DNSキャッシュポイズニング攻撃」という名前が付いています。

ざっとした説明は、そんなところでしょうか。
オープンリゾルバさん自体は、誰でも使えるようになっているDNSサーバというだけです。
特に悪いやつでは ありません。
ただし、そのような純真無垢、親切心にあふれたDNSサーバさんが転がってることによって、悪い奴らが悪いことをしやすくなってしまうのです。

だから、オープンリゾルバさんは悪者扱いされています。