章 强, 彭 飞

(扬州职业大学, 江苏 扬州 225009)

域名系统(以下简称DNS)是互联网的核心基础设施,它是一个分布式的分层数据库,存储A、MX、AAAA、CNAME等资源记录。整个DNS被分为三层:根、顶级域名(TLD)和各级权威DNS服务器。DNS因此成为互联网重要的基础设施之一。也正是这个原因,DNS服务器一直是互联网被攻击的主要目标,攻击方法如放大攻击、缓存中毒攻击、DDoS攻击、DNS劫持等[1-2]。

DNS协议被认为是一种安全的通信协议,连接到互联网的每台计算机都信任从其所查询DNS权威服务器收到的名称解析结果。但是,DNS数据都是通过明文发送的,在一个递归名称解析过程中,DNS查询中的每次迭代引用都容易受到恶意攻击。比如网络攻击者可以通过中间人攻击等手段窃取DNS请求,用恶意记录和正确的ID字段构建一个恶意的响应数据包,并在合法响应数据到达之前竞相发送恶意响应,如果恶意记录的生存响应延迟(TTL)再被设置为一个非常高的数值,那么受害者将在很长一段响应时间内缓存这些恶意域名解析记录,导致终端客户被引导访问恶意网站。一个典型的案例是DNS Kaminsky攻击[3],它实际上是利用截获DNS消息中的查询ID,采用中间人攻击手段,使DNS解析器接受伪装的DNS响应。

为了有效解决DNS安全防护的问题,互联网工程任务组(IETF)开发了DNS安全扩展(以下简称DNSSEC)协议[4],DNSSEC采用非对称加密机制来验证记录完整性和真实性。为实现DNS有效防护,每个区域必须至少提供下列三种记录类型:(1)DNSKEY记录。该记录是公钥,每个Zone区用相应的私钥签署DNS记录,解析器使用DNSKEY来验证这些签名。……