以互聯(lián)網(wǎng)為基礎(chǔ)的信息網(wǎng)絡(luò)是進行國家信息化建設(shè)和實現(xiàn)國家信息化戰(zhàn)略的基礎(chǔ)設(shè)施，域名系統(tǒng)是互聯(lián)網(wǎng)上大部分服務(wù)和應(yīng)用正常運轉(zhuǎn)和實施的基石，是互聯(lián)網(wǎng)上最為關(guān)鍵的基礎(chǔ)網(wǎng)絡(luò)服務(wù)之一，事關(guān)互聯(lián)網(wǎng)乃至國家的穩(wěn)定和安全，是國家信息化建設(shè)的重中之重。
通過對域名系統(tǒng)的攻擊和利用可以造成巨大危害。伊拉克頂級域名失效事件、利比亞國家頂級域名失效事件等都表明，對域名系統(tǒng)的控制已成為一個有效的網(wǎng)絡(luò)空間作戰(zhàn)手段，可以在非常時期，癱瘓一個國家網(wǎng)絡(luò)，造成信息孤島，失去信息優(yōu)勢，喪失戰(zhàn)爭的主動權(quán)。域名系統(tǒng)已成為網(wǎng)絡(luò)空間作戰(zhàn)的重要目標。
我國域名系統(tǒng)由于根域名服務(wù)器的不可控和域名系統(tǒng)本身的脆弱性，存在巨大的安全隱患。近年來，更是事件頻發(fā)，對我互聯(lián)網(wǎng)使用以及國家社會、政治、經(jīng)濟都造成了巨大的影響。因此域名系統(tǒng)相關(guān)問題已成為制約我國互聯(lián)網(wǎng)發(fā)展的重要因素。
--------------互聯(lián)網(wǎng)域名系統(tǒng)簡介--------------
域名系統(tǒng)最主要的作用是完成對域名的解析，即把為便于記憶、用來標識互聯(lián)網(wǎng)上某臺計算機或一組計算機的名稱，翻譯轉(zhuǎn)換為與其對應(yīng)的IP地址域名系統(tǒng)是非常重要的互聯(lián)網(wǎng)基礎(chǔ)服務(wù)。如果沒有域名系統(tǒng)，互聯(lián)網(wǎng)上絕大多數(shù)應(yīng)用，如網(wǎng)頁瀏覽、電子郵件收發(fā)，就會因不知道通信對象具體物理地址，而無法正常使用。
域名系統(tǒng)DNS（Domain Name System）是由主機名解析方案發(fā)展出來的一種新的名字的解析機制。DNS域是一種分布式的層次結(jié)構(gòu)系統(tǒng)，包括一個根域，以空標簽（“”）表示。根域的下一級是頂級域，如中國是cn，美國是us，日本是jp.在頂級域名下，還可以再根據(jù)需要定義次一級的域名，如在我國的頂級域名cn下又設(shè)立了com、net等。圖1為一個域名體系典型層次結(jié)構(gòu)。
域名根服務(wù)器由美國政府授權(quán)的互聯(lián)網(wǎng)名稱與數(shù)字分配機構(gòu)（ICANN）負責管理。為了提高域名解析效率，ICANN在全球部署了591臺根服務(wù)器及鏡像，他們每個都被賦予A到M共13個標號中的一個。其中，全球唯一的主根服務(wù)器設(shè)置在美國，標號為A，由美國Verisign公司負責運維管理；在北京部署有5臺根服務(wù)器鏡像，編號為L的有兩臺，編號為F、I、J的各一；在香港部署A、F、I、L、J共5臺根服務(wù)器鏡像。所有編號相同的根服務(wù)器都采用同一個IP地址，通過任播（Anycast）技術(shù)實現(xiàn)就近訪問。標號為B至M的輔助根服務(wù)器及鏡像定期從主根服務(wù)器同步更新全球域名信息，為全球互聯(lián)網(wǎng)用戶提供域名解析服務(wù)。
----------------域名系統(tǒng)安全問題----------------
從域名解析過程可以看出，當本地域名服務(wù)器緩存不能直接提供域名對應(yīng)的IP地址時，解析過程必須經(jīng)過域名根服務(wù)器或其鏡像服務(wù)器。而所有輔根服務(wù)器及其鏡像需定期從主根服務(wù)器同步更新全球域名信息。從技術(shù)上看，只需刪除主根域名服務(wù)器的相關(guān)記錄，使其國家頂級域名失效，即可實現(xiàn)讓一個國家從互聯(lián)網(wǎng)上消失。
當前，全球互聯(lián)網(wǎng)域名系統(tǒng)中，唯一的主根服務(wù)器設(shè)在美國，美國政府授權(quán)ICANN（The Internet Corporation for Assigned Names and Numbers，互聯(lián)網(wǎng)名稱與數(shù)字地址分配機構(gòu)）進行控制；12個輔根服務(wù)器中9個設(shè)在美國，其他3個分別設(shè)在英國、瑞典和日本。由于其他根服務(wù)器及鏡像的域名信息均復制于主根服務(wù)器，因此美國事實上控制了全球所有國家和地區(qū)的域名解析，具備將一個國家從互聯(lián)網(wǎng)上“抹去”的能力和條件。
一旦與某國發(fā)生沖突，美國在技術(shù)上完全可以停止對該國域名的解析，使其網(wǎng)站無法被外界訪問。據(jù)報道，伊拉克戰(zhàn)爭期間，美國終止了伊拉克國家頂級域名。IQ的解析[2]；在塔利班政權(quán)統(tǒng)治阿富汗時期，美國將阿富汗國家頂級域名。AF的管理權(quán)授予前流亡政府；2004年4月，由于對頂級域名管理權(quán)問題發(fā)生分歧，導致利比亞國家頂級域名。LY癱瘓[4]，利比亞從互聯(lián)網(wǎng)上“消失”了3天。
當前針對域名系統(tǒng)的攻擊手段多種多樣，總結(jié)起來主要包括以下三類：
一是分布式拒絕服務(wù)攻擊（DDOS）。由于域名系統(tǒng)協(xié)議存在體系開放、無認證、無連接和無狀態(tài)等特點，使其更易受到分布式拒絕服務(wù)攻擊。針對域名系統(tǒng)的分布式拒絕服務(wù)攻擊主要采用基于正常域名請求、反彈式、大流量阻塞等三種途徑。
二是DNS欺騙攻擊，通過技術(shù)手段向緩存域名服務(wù)器注入非法域名解析記錄，當用戶向被攻擊的緩存域名服務(wù)器提交域名請求時，將會返回攻擊者預(yù)先設(shè)定的IP地址。
三是域名劫持攻擊[3]，攻擊者控制域名管理密碼和域名管理郵箱后，將該域名的NS紀錄指向到攻擊者可以控制的DNS服務(wù)器，然后通過在該DNS服務(wù)器上配置相應(yīng)域名紀錄，使用戶訪問該域名時，實際指向攻擊者預(yù)先設(shè)定的主機。
------------我國域名系統(tǒng)的安全現(xiàn)狀分析------------
我國域名管理呈現(xiàn)三層體系架構(gòu)。從2002年起，國務(wù)院下發(fā)了《中國互聯(lián)網(wǎng)域名管理辦法》、《中國互聯(lián)網(wǎng)域名體系公告》等一系列指導性文件，規(guī)范了我國域名注冊和管理工作，目前已形成由工業(yè)和信息化部主管的域名管理和注冊三層體系架構(gòu)。
第一層是域名注冊管理機構(gòu)，由中國互聯(lián)網(wǎng)信息中心（CNNIC）負責運行和維護CN域根服務(wù)器，授權(quán)監(jiān)督管理各域名注冊服務(wù)機構(gòu)；
第二層是域名注冊服務(wù)機構(gòu)，目前經(jīng)過CNNIC授權(quán)的有上百家，負責面向用戶和代理機構(gòu)受理和審核域名申請；
第三層是域名注冊代理機構(gòu)，在域名注冊服務(wù)機構(gòu)的授權(quán)范圍內(nèi)接受域名申請。在具體的域名解析服務(wù)方面，主要依靠域名解析服務(wù)商、域名托管商等商業(yè)機構(gòu)進行，他們負責具體提供域名解析相關(guān)的設(shè)施和各類服務(wù)。
由于美國對互聯(lián)網(wǎng)域名系統(tǒng)的實際控制，使得我國域名系統(tǒng)始終處于不自主、不可控的威脅之下。如果美國對我域名系統(tǒng)實施類似針對伊拉克、利比亞等國家攻擊手段，造成的后果也將非常嚴重。
通過對CN域的屏蔽，將使所有互聯(lián)網(wǎng)用戶無法訪問CN域。雖然可通過獲取國內(nèi)根服務(wù)器鏡像控制權(quán)或者構(gòu)建替代根域名服務(wù)器等應(yīng)急措施，勉強維持國內(nèi)用戶對CN域的訪問能力，但實現(xiàn)難度大，且只能臨時被動應(yīng)對，無法全面解決問題。一旦CN域從因特網(wǎng)上“消失”，將給我國公眾網(wǎng)絡(luò)帶來嚴重后果，造成巨大經(jīng)濟損失和社會影響。
根據(jù)2014 年3 月發(fā)布的《中國域名服務(wù)及安全現(xiàn)狀報告》，自2010 年5 月到2014年2 月之間，影響較大的域名攻擊事件多達二十余起，波及域名體系的各個層級。相比網(wǎng)絡(luò)欺詐和病毒攻擊等手段，域名系統(tǒng)故障的攻擊手段更為隱蔽且防范難度也越大，影響范圍更大、損失也更為慘重。其中，影響較大的有2009年發(fā)生的“暴風影音事件”、2010年發(fā)生的“百度域名劫持事件”、2013年發(fā)生的“CN域名攻擊事件”，以及2014年1月21日發(fā)生的“國內(nèi)大范圍域名解析故障”等。
-------提高我國域名系統(tǒng)安全性的幾點建議--------
加強國家網(wǎng)絡(luò)空間安全的戰(zhàn)略謀劃
互聯(lián)網(wǎng)安全是國家戰(zhàn)略層面的問題，必需高度重視。
一是盡快制定網(wǎng)絡(luò)空間國家安全戰(zhàn)略。樹立網(wǎng)絡(luò)空間自主、自控、自強的戰(zhàn)略意識，加強網(wǎng)絡(luò)空間安全的戰(zhàn)略籌劃和頂層設(shè)計，制定切實可行的網(wǎng)絡(luò)空間國家安全戰(zhàn)略和規(guī)劃。
二是建立健全互聯(lián)網(wǎng)安全防護的體制機制。加強國內(nèi)網(wǎng)絡(luò)運維、研制和使用等各部門之間的交流與合作，充分利用軍地各方力量，提高互聯(lián)網(wǎng)安全防護和應(yīng)急處置能力。
三是積極參與國際互聯(lián)網(wǎng)治理。聯(lián)合立場相近國家，倡導多邊、民主、透明的互聯(lián)網(wǎng)治理機制，打破美對域名等互聯(lián)網(wǎng)關(guān)鍵系統(tǒng)的控制，鼓勵和支持我企業(yè)和非政府機構(gòu)加入互聯(lián)網(wǎng)治理相關(guān)國際組織，在互聯(lián)網(wǎng)治理相關(guān)國際規(guī)則制定中爭奪話語權(quán)。
增強國家域名系統(tǒng)的安全防護能力
一是建立互聯(lián)網(wǎng)安全應(yīng)急替代機制。針對當前互聯(lián)網(wǎng)受制于人的局面，研究建立切實可行的應(yīng)對機制，以提升互聯(lián)網(wǎng)的安全性。尤其針對域名系統(tǒng)，為防止CN域被根服務(wù)器刪除，應(yīng)主動應(yīng)對，建立根服務(wù)器替代機制，保障國內(nèi)用戶對CN域的正常訪問。
二是開展應(yīng)急演練，以軍民融合的方式，進行國家甚至國際級的網(wǎng)絡(luò)應(yīng)急響應(yīng)演練，摸清域名系統(tǒng)影響底數(shù)、驗證應(yīng)急響應(yīng)技術(shù)和機制，增強全民應(yīng)對意識和水平。
以網(wǎng)絡(luò)技術(shù)發(fā)展為契機，搶占先機
一是充分利用全球下一代網(wǎng)絡(luò)發(fā)展契機，建立新框架。我應(yīng)在發(fā)展部署IPv6、物聯(lián)網(wǎng)的同時，通過一系列創(chuàng)新途徑，積極參與新網(wǎng)絡(luò)體制下域名解析體系的構(gòu)建，在下一代互聯(lián)網(wǎng)建設(shè)中搶占先機，建立創(chuàng)新的網(wǎng)絡(luò)協(xié)議體系和標準規(guī)范，構(gòu)建有利于我國的域名系統(tǒng)架構(gòu)；
二是充分利用新型網(wǎng)絡(luò)應(yīng)用的發(fā)展，降低對現(xiàn)有域名體系的依賴，研究利用層疊網(wǎng)等新的網(wǎng)絡(luò)應(yīng)用架構(gòu)，在現(xiàn)有框架內(nèi)，構(gòu)建網(wǎng)中網(wǎng)，使上層應(yīng)用網(wǎng)絡(luò)有自己的域名和尋址機制，從而降低風險。
京公網(wǎng)安備 11010502049343號