域名行业新闻 域名应用/周边 抢注/争议报道 成功交易报道 拍卖叫价新闻 域名时事评析 域名商家动态 域名人物档案
返回首页

CNNIC网络安全高级主管胡安磊:提升CNNIC安全

时间:2008-04-09 08:29   来源:网易科技   作者:胡安磊
CNNIC网络安全高级主管胡安磊: 各位专家、各位同仁,大家下午好。我来自中国互联网络互联中心CNNIC。CNNIC是97年成立的,是中国代表国家年检CNNIC系统的机构。今天很荣幸有这个机会把CNNIC系统方面的认识介绍给大家,和大家一起来交流,提升CNNIC系统安全的方式。进一

CNNIC网络安全高级主管胡安磊:

各位专家、各位同仁,大家下午好。我来自中国互联网络互联中心CNNIC。CNNIC是97年成立的,是中国代表国家年检CNNIC系统的机构。今天很荣幸有这个机会把CNNIC系统方面的认识介绍给大家,和大家一起来交流,提升CNNIC系统安全的方式。进一步提高中国在信息网络安全方面的水平。

今天主要的内容包括四个方面:第一个方面是域名系统及重要性。第二方面是经介绍一下域名系统面临的安全问题。第三个方面是关于域名系统安全工作的分析,最后是一点总结和几点建议。

域名系统大家比较熟悉,它是一个全球的分布系统,有一个竖型结构的空间。包括.cn、.com的系统。提供一个分布式的点击查询服务,转变为IP地址。从技术角度来看,目前互联网的应用越来越广泛,电子商务和电子政务深入到日常生活的每个方面,但是基本的选址方式是DNS的解析。如果DNS解析出现了问题,使得互联网不太顺畅。第二个是资源角度看,以域名为基础的应用。域名也是在丰富互联网的应用。它是互联网上的标尺,有惟一性,不可重复性。随着现代互联网的发展,域名有了一个重要作用,代表了公共的利益,是公共资源。对于国家来说,国家的域名相当于国家的主权。从这个两个角度来说,域名系统不但对计算机,还是网络都是非常重要的。1.针对恶意域名系统的攻击。针对各个单位对域名攻击的重视,一般的病毒对DDOS攻击并不是很严重。最重要的是DDOS攻击有可能造成域名解析瘫痪。2.域名劫持,这个概念比较宽泛。修改注册信息达到访问的目的,也包括劫持解析结果,使报告过程有一个错误的结果。这两种都会产生不良的影响。3.国家性质的域名系统安全事件,比如利比亚的系统安全事件,.ly域名瘫痪。还有.af的域名,是阿富汗的域名。由于阿富汗的政府总是更替,域名总是更换,导致这个国家的域名系统不能很好的运行。

域名系统安全工作分析,在具体的域名系统安全工作分析之前,我们要看一下域名服务体系的组成。涉及到三个系统:域名的注册系统、解析系统、查显系统。五个角色:域名的持有者、注册服务机构、管理机构、本地的DNS、访问者。这五个角色有7个核心的数据流。

下面从三个系统的角度和7个数据流的角度来分析。从解析的过程中,有用户的客户端、本地的缓存DNS服务器还有各级的权威DNS服务器。通过这三个方面来解决工作。

从一般的客户端层来说,我们这里指的客户端是指浏览器或邮件接收端的程序。隐患包括它所在的操作系统存在漏洞,或者它所在的平台受到病毒或被控制,会导致DNS的结果被控制,不能进行正确的域名解析。这里需要做的是对所有的用户来说,要加强自己的安全管理,防止网络病毒。应对手段是强化桌面安全。网络层,隐患是DNS报文劫持,应对手段是设置ACL/DNSSEC技术等方式来防止没有经过授权的服务器仿冒本地的DNS服务器。

针对本地的DNS服务器来说,可能隐患是DNS软件漏洞,没有打不定。还有是没有进行安全的配置。所以我们要对本地缓存的DNS版本进行高版本的漏洞软件,同时要对这个软件进行安全的配置,防止漏洞的数据入侵。

对于全国各地的DNS服务器来说,因为各地的DNS都是由各地来管理,所以DNS的软件非常少。现在我们所采取的手段是加大解析系统的分布。比如跟服务器进行全球的径向分布。还有全球DNS节点进行了部署工作。

第二个系统是注册系统。首先是域名持有人通过在线提交或者通过电话、正式的公文的方式,把域名注册信息提交给注册服务机构,注册服务机构把信息提交给注册管理服务器,注册管理服务器将传入机构后,再对外发布服务。这样的域名的服务机构以及域名的管理机构。对于域名的持有者来说,存在的隐患是他的系统有病毒或木马,被黑客控制,导致黑客可以使用他的终端,使用他的身份,包括更改域名的所有权。通过邮件来抢夺别人的域名。第一要强化个人电脑的安全。第二作为服务机构来说,在申请域名服务材料的时候要加强检查的力度和服务中心的力度。对于服务管理系统来说,这方面的隐患所提供的基础是网络系统或操作系统存在漏洞,很可能被黑客入侵,直接修改域名注册的机构。对域名来讲,我们要进一步提升域名机构在安全准入方面的条件,不断提高域名在安全方面的实力。

我们除了采取相应的技术手段之外,我们还在做的是建立比较安全的域名防范体系。有比较大的社会影响的域名,我们进行全面的监控。

第三个系统是Whois系统。一个涉及到它的查询者,一个是域名注册的管理机构体系。

我们看了域名系统安全工作分析之后,我们再从比较抽象的方面,7个数据流的角度看哪些还需要做。域名系统在一次完整的服务流程过程中会产生几个数据流。第一个数据流是域名注册者和注册服务机构的数据流。认证域名注册者、信息通道加密、保证注册服务客户端可用性。

第二个数据流是注册服务机构到注册管理机构的数据流。保证信息同道加密、一定服务质量保证、注册管理机构要对注册服务机构的客户端进行身份验证,通过发放证书的方式、注册服务器的安全性,要提高注册服务的可用性。在安全方面要加强安全配置,安全管理。

第三个数据流注册服务器到数据库。这个过程服务器把数据写入数据库,注册服务器到数据库有不同的网站,之间有严格的安全过滤措施。核心的数据库还需要具备入侵检测的能力和安全检测的系统。核心的数据库、权威的数据库要有备份,以及灾难之后的恢复机制。

第四个数据流是数据库到DNS。是把数据库把DNS需要的文件传递给DNS。我们是保持数据一致性、保证数据来源的真实性、设置隐藏主服务器。

第五个数据流是主辅DNS之间的数据流。要保证它们之间数据同步的及时和完整、来源数据验证和加密机制。

第六个数据流是递归的DNS到权威的DNS。递归的要防止仿冒,DNS的管理者要建立安全性,数据还要有真实性。对于DNS的单位来说,要保证数据的稳定性,目前来说要防止拒绝攻击带来的影响。

第七个数据是本地DNS到域名访问者之间的数据流。是要保证查询者的安全性,另外保证本地DNS的安全性,提供两台DNS,防止DNS失效的发生。

域名系统安全工作总结

从上面的分析我们可以看出,域名服务是互联网的基础服务,域名的安全是我国信息安全的重要一环。同时我们可以看到,域名系统的安全问题,是一个复杂的综合性问题,涉及面广,既涉及到域名的访问者,涉及到域名的注册管理机构、服务机构,要保证复杂性的安全,是一项巨大的工程,也是一项难完成的任务。我们正在做的是不断提高这个系统的安全性,降低域名系统安全问题发生的概率。在域名系统安全问题发生的时候,能把问题最小化,以最快的速度恢复系统的工作。

责任编辑:米尊 

顶一下
(0)
0%
踩一下
(0)
0%
------分隔线----------------------------


推荐内容
赞助商广告