域名系統(tǒng)的安全性一直是互聯(lián)網(wǎng)運(yùn)行安全的關(guān)鍵之一。在國(guó)際上，DNSSec作為域名系統(tǒng)安全的一項(xiàng)重要措施，近年來(lái)也出現(xiàn)了新的進(jìn)展。這些新的技術(shù)是否可以解決我們校園網(wǎng)域名解析面臨的安全問(wèn)題？看下面案例的分析：

 

    Key1配置錯(cuò)誤

 

    錯(cuò)誤的配置信息導(dǎo)致DNS服務(wù)器無(wú)法提供正常的服務(wù)，DNS的配置是目前網(wǎng)絡(luò)服務(wù)中少有的幾個(gè)難理解的配置之一！

 

    典型案例：

 

 

    2009年10月12日晚瑞典頂級(jí)域名服務(wù)器出現(xiàn)故障，導(dǎo)致一百多萬(wàn)使用.se結(jié)尾的域名無(wú)法正常解析，一些地區(qū)直到48小時(shí)候才能正常解析.se域名

 

    事件回放：

 

    1.2009年10月12日瑞典頂級(jí)域名.se服務(wù)商的管理員象往常一樣使用腳本對(duì)域名服務(wù)器.se的zone文件進(jìn)行更新。

 

    2.更新后發(fā)現(xiàn)所有.se的域名無(wú)法正常解析

 

    3.管理迅速檢查原因，發(fā)現(xiàn)是因?yàn)槟_本在編輯存盤時(shí)把原本應(yīng)該有的.給不小心刪掉了，這個(gè)錯(cuò)誤直接導(dǎo)致.se從根域名服務(wù)器數(shù)據(jù)中消失。

 

    4.雖然管理員迅速的對(duì)zone進(jìn)行了修復(fù)，但是擴(kuò)散出去的數(shù)據(jù)導(dǎo)致一些地區(qū)在48小時(shí)候才重新認(rèn)為.se是有效域名。

 

    事件分析：

 

    1.DNS配置文件的復(fù)雜性；

 

    2.DNS缺乏一個(gè)有效的快速更新機(jī)制。

 

 

    DNS服務(wù)軟件本身存在安全漏洞，導(dǎo)致DNS無(wú)法正常提供服務(wù)。

 

    典型案例：

 

 

    2011年3月底，我們陸續(xù)接到一些院校投訴其DNS解析服務(wù)存在故障，經(jīng)常無(wú)法正常解析域名。最后查明是bind9軟件存在條件競(jìng)爭(zhēng)漏洞導(dǎo)致的。

 

    事件背景：

 

    DNS安全擴(kuò)展(DNSSEC)蜒是由IETF提供的一系列DNS安全認(rèn)證的機(jī)制(可參考RFC2535)，它利用數(shù)字簽名的技術(shù)來(lái)保證域名解析的權(quán)威性，以保證域名不受中間人的攻擊或緩存污染。

 

    Verisign公司——域名服務(wù)商，.com域名的實(shí)際維護(hù)者，DNSSEC協(xié)議的發(fā)起人之一。

 

    Bind軟件——DNS服務(wù)程序，目前網(wǎng)絡(luò)上使用最廣泛的DNS軟件，教育網(wǎng)的占有率在90%以上。

 

    事件回放：

 

    1.ISC在Bind8.1.x版本后開(kāi)始支持DNSSec，并在Bind9版本后默認(rèn)打開(kāi)了DNSSec的查詢，Bind9.6-ESVR3之前的版本在實(shí)現(xiàn)DNSSEC查詢的過(guò)程中存在一個(gè)條件競(jìng)爭(zhēng)漏洞；

 

    2.2011年3月下旬，Verisign公司開(kāi)始向13臺(tái)根域名服務(wù)器發(fā)布.com域名的DNSSEC數(shù)據(jù)；

 

    3.根域名服務(wù)器上的DS數(shù)據(jù)誘發(fā)了Bind軟件的漏洞，導(dǎo)致遞歸服務(wù)器的非DS請(qǐng)求有50%的幾率被根服務(wù)認(rèn)為是無(wú)效請(qǐng)求而返回SERVFAIL應(yīng)答。這直接導(dǎo)致用戶端訪問(wèn).com的域名有一半的幾率會(huì)失敗；

 

    4.3月31號(hào)，ISC發(fā)布安全公告，并更新了Bind9軟件。

 

    事件分析：

 

    1.DNS軟件是否需要隨時(shí)更新？

 

    2.DNS軟件更新機(jī)制。