何峥，冷峰，张翠玲

在DNSSEC下保障顶级域名解析托管服务稳定迁移的操作机制

何峥，冷峰，张翠玲

（中国互联网络信息中心，北京 100190）

基于顶级域解析服务托管平台迁移部署实践，重点研究分析了在DNSSEC环境下，为避免发生域名系统安全扩展（DNSSEC，DNS security extension）信任链及解析服务中断、域名NS记录不一致等安全问题，如何在密钥轮转、DS和NS记录变更、数据更新等环节中实现新旧服务托管商及互联网数字分配机构（IANA，internet assigned numbers authority）之间进行解析服务平台的迁移，并对平台迁移操作的关键点进行了详细分析，提出了在解析托管服务迁移过程中能够保证业务连续性的迁移机制。

DNS系统；DNS安全扩展系统；密钥轮转；域名解析；信任链

1 引言

随着域名系统（DNS，domain name system）的发展及应用，许多安全漏洞逐步暴露出来，域名系统成为互联网黑客们有针对性的安全攻击对象，出现了DNS缓存污染、DNS放大攻击及域名欺骗等针对域名服务器的攻击事件。顶级域名服务托管是域名注册管理局将顶级域的五大核心服务托管至具备较强技术能力和拥有稳定平台的域名平台托管机构，确保该顶级域的服务更加稳定安全。当托管平台遭遇物理和网络攻击，造成域名解析平台能力和稳定性无法满足域名注册管理局的要求时，注册管理机构将被动更换域名托管机构，因此变更域名托管机构是不可避免的。随着2010年DNSSEC（DNS security extension）[1]逐步在全球13个根服务器和顶级域名服务器上进行部署实施，2012年互联网名称与数字地址分配机构（ICANN，Internet Corporation for Assigned Names and Numbers）开放申请的新通用顶级域也把支持DNSSEC协议作为准入门槛，这样极大地增加了域名管理机构迁移域名托管平台的复杂程度，因此在DNSSEC环境下迁移域名解析服务成为一个非常棘手的问题。……