DNSでAレコードを使って他人のドメインを適当なIPアドレスに飛ばすことはできますか？

Question

AWS Route 53などを使って適当なDNS設定ができたので気になりました。

DNSレコードを作成するにあたってドメインの所有者の認証のようなことは確認するのでしょうか？
また、確認するのであればどのようにするのでしょうか＞

Answer 1

各トップドメインごとに、レジストリという団体が一元管理しています。
我々がドメインを契約するのは、レジストラという会社で、あるドメインを取ると、レジストラ経由でレジストリにこのドメインのDNS管理はこのDNSサーバーだと、登録されます。あとは、必要に応じてそのDNSサーバーに登録します。
必要があればレジストラのDNSサーバーを自前DNSサーバーに変えるなどもありますが、その場合はレジストラがレジストリの上位のDNSの情報も変更します。
レジストリ・レジストラ間、レジストラ・ドメイン所有者間では、それぞれ何らかの認証の仕組みがあります。

つまり、もしレジストラの認証の仕組みにバグによる抜け道があれば、同じレジストラ管理のDNSサーバー配下の別ドメインのDNSレコードが変更可能です。

Answer 2

ドメインレジストラ側でネームサーバーの設定が必要なので他人がどうこうするのは不可能。

Route53ならNSのns-xxx.awsdns-xx.comみたいなのを4つ設定。
ドメイン→ネームサーバー→DNS。
他人のネームサーバーを見に行ってない以上他人のDNSも全く見てない。

Answer 3

DNSサーバを立てることは誰でも自由にできますが、どのドメインの原本データを持ってるDNSサーバがどのコンピュータなのかの登録はドメインの所有者しかできないのです。

ただ、嘘情報を登録したDNSサーバに問い合わせを出すように設定されたクライアントは嘘情報を注入する可能性がありますね。たとえばGoogleが嘘のAレコードを登録したら、8.8.8.8をレゾルバに設定しているPCはみんなだまされるかも(DNSSECの恩恵は無視するとして)。

あとPTRレコードはドメインの所有者に無断で勝手に登録できるはず。

Answer 4

DNSレコードを作成するにあたってドメインの所有者の認証のようなことは確認するのでしょうか？

AWSのことは存じませんが、DNSレコードを管理しているサーバが管理外のレコードを登録して公開するのは全くもって自由です。
※ただ、共通のDNSサーバを複数のドメイン・管理者で共有するサービスだと、好き勝手にレコードを弄れるとまずいので、何らか管理サービスの中で認証を実装していることでしょう。

しかしDNSにはAuthorizy(権威)という概念がありますので、管理外のレコードは他者に信用してもらえません。具体的には、NS(ネームサーバ)という種類のレコードを使って、例えば「xxx.com以下のドメインを管理しているDNSサーバは○○だよ」という情報を、上位ドメインで公開しています。なので、名前を検索するリゾルバ(中でもフルサービスリゾルバ)は、ちゃんと権威を持ったサーバを辿って情報を得る、なので管理外のレコードにはひっかからないはず、ということになっています。まあ一応は。

もし新たなドメインを開設するような場合、上位ドメインを管理している組織に、権威の「委譲」を ( 直接あるいは間接的に ) 申請します。これによって、上位ドメインのDNSサーバにNSレコードを登録してもらい、自ドメインを管轄するDNSサーバに権威を譲り受けることになります。

Answer 5

ふつう、ドメインのDNS設定は、ドメインの所有者のIDとパスワードで認証して行いますな。