域名系統(tǒng)的安全性一直是互聯(lián)網(wǎng)運(yùn)行安全的關(guān)鍵之一。在國際上，DNSSec作為域名系統(tǒng)安全的一項重要措施，近年來也出現(xiàn)了新的進(jìn)展。這些新的技術(shù)是否可以解決我們校園網(wǎng)域名解析面臨的安全問題？看下面案例的分析：

 

    Key1配置錯誤

 

    錯誤的配置信息導(dǎo)致DNS服務(wù)器無法提供正常的服務(wù)，DNS的配置是目前網(wǎng)絡(luò)服務(wù)中少有的幾個難理解的配置之一！

 

    典型案例：

 

 

    2009年10月12日晚瑞典頂級域名服務(wù)器出現(xiàn)故障，導(dǎo)致一百多萬使用.se結(jié)尾的域名無法正常解析，一些地區(qū)直到48小時候才能正常解析.se域名

 

    事件回放：

 

    1.2009年10月12日瑞典頂級域名.se服務(wù)商的管理員象往常一樣使用腳本對域名服務(wù)器.se的zone文件進(jìn)行更新。

 

    2.更新后發(fā)現(xiàn)所有.se的域名無法正常解析

 

    3.管理迅速檢查原因，發(fā)現(xiàn)是因為腳本在編輯存盤時把原本應(yīng)該有的.給不小心刪掉了，這個錯誤直接導(dǎo)致.se從根域名服務(wù)器數(shù)據(jù)中消失。

 

    4.雖然管理員迅速的對zone進(jìn)行了修復(fù)，但是擴(kuò)散出去的數(shù)據(jù)導(dǎo)致一些地區(qū)在48小時候才重新認(rèn)為.se是有效域名。

 

    事件分析：

 

    1.DNS配置文件的復(fù)雜性；

 

    2.DNS缺乏一個有效的快速更新機(jī)制。

 

 

    DNS服務(wù)軟件本身存在安全漏洞，導(dǎo)致DNS無法正常提供服務(wù)。

 

    典型案例：

 

 

    2011年3月底，我們陸續(xù)接到一些院校投訴其DNS解析服務(wù)存在故障，經(jīng)常無法正常解析域名。最后查明是bind9軟件存在條件競爭漏洞導(dǎo)致的。

 

    事件背景：

 

    DNS安全擴(kuò)展(DNSSEC)蜒是由IETF提供的一系列DNS安全認(rèn)證的機(jī)制(可參考RFC2535)，它利用數(shù)字簽名的技術(shù)來保證域名解析的權(quán)威性，以保證域名不受中間人的攻擊或緩存污染。

 

    Verisign公司——域名服務(wù)商，.com域名的實際維護(hù)者，DNSSEC協(xié)議的發(fā)起人之一。

 

    Bind軟件——DNS服務(wù)程序，目前網(wǎng)絡(luò)上使用最廣泛的DNS軟件，教育網(wǎng)的占有率在90%以上。

 

    事件回放：

 

    1.ISC在Bind8.1.x版本后開始支持DNSSec，并在Bind9版本后默認(rèn)打開了DNSSec的查詢，Bind9.6-ESVR3之前的版本在實現(xiàn)DNSSEC查詢的過程中存在一個條件競爭漏洞；

 

    2.2011年3月下旬，Verisign公司開始向13臺根域名服務(wù)器發(fā)布.com域名的DNSSEC數(shù)據(jù)；

 

    3.根域名服務(wù)器上的DS數(shù)據(jù)誘發(fā)了Bind軟件的漏洞，導(dǎo)致遞歸服務(wù)器的非DS請求有50%的幾率被根服務(wù)認(rèn)為是無效請求而返回SERVFAIL應(yīng)答。這直接導(dǎo)致用戶端訪問.com的域名有一半的幾率會失�。�

 

    4.3月31號，ISC發(fā)布安全公告，并更新了Bind9軟件。

 

    事件分析：

 

    1.DNS軟件是否需要隨時更新？

 

    2.DNS軟件更新機(jī)制。