DNS安全的背景及事件分析下

DNS安全浅析

近几个月以来，一些校园网的用户和管理人员发现学校的DNS服务器陆续出现无法正常提供递归域名解析服务的情况，也有一些校园网发现一些知名的网站(如www.baidu.com,www.qq.com)域名解析出现奇怪的现象，很多用户和管理员面对这些现象仍然很困惑。

域名系统的安全性一直是互联网运行安全的关键之一。在国际上，DNSSec作为域名系统安全的一项重要措施，近年来也出现了新的进展。这些新的技术是否可以解决我们校园网域名解析面临的安全问题？看下面案例的分析：

Key1配置错误

错误的配置信息导致DNS服务器无法提供正常的服务，DNS的配置是目前网络服务中少有的几个难理解的配置之一！

典型案例：

瑞典顶级域名.se故障

2009年10月12日晚瑞典顶级域名服务器出现故障，导致一百多万使用.se结尾的域名无法正常解析，一些地区直到48小时候才能正常解析.se域名

事件回放：

1.2009年10月12日瑞典顶级域名.se服务商的管理员象往常一样使用脚本对域名服务器.se的zone文件进行更新。

2.更新后发现所有.se的域名无法正常解析

3.管理迅速检查原因，发现是因为脚本在编辑存盘时把原本应该有的.给不小心删掉了，这个错误直接导致.se从根域名服务器数据中消失。

4.虽然管理员迅速的对zone进行了修复，但是扩散出去的数据导致一些地区在48小时候才重新认为.se是有效域名。

事件分析：

1.DNS配置文件的复杂性；

2.DNS缺乏一个有效的快速更新机制。

Key2软件漏洞

DNS服务软件本身存在安全漏洞，导致DNS无法正常提供服务。

典型案例：

Bind9漏洞导致.com无法正常解析

2011年3月底，我们陆续接到一些院校投诉其DNS解析服务存在故障，经常无法正常解析域名。最后查明是bind9软件存在条件竞争漏洞导致的。

事件背景：

DNS安全扩展(DNSSEC)蜒是由IETF提供的一系列DNS安全认证的机制(可参考RFC2535)，它利用数字签名的技术来保证域名解析的权威性，以保证域名不受中间人的攻击或缓存污染。

Verisign公司——域名服务商，.com域名的实际维护者，DNSSEC协议的发起人之一。

Bind软件——DNS服务程序，目前网络上使用最广泛的DNS软件，教育网的占有率在90%以上。

事件回放：

1.ISC在Bind8.1.x版本后开始支持DNSSec，并在Bind9版本后默认打开了DNSSec的查询，Bind9.6-ESVR3之前的版本在实现DNSSEC查询的过程中存在一个条件竞争漏洞；

2.2011年3月下旬，Verisign公司开始向13台根域名服务器发布.com域名的DNSSEC数据；

3.根域名服务器上的DS数据诱发了Bind软件的漏洞，导致递归服务器的非DS请求有50%的几率被根服务认为是无效请求而返回SERVFAIL应答。这直接导致用户端访问.com的域名有一半的几率会失败；

4.3月31号，ISC发布安全公告，并更新了Bind9软件。

事件分析：

1.DNS软件是否需要随时更新？

2.DNS软件更新机制。

DNS安全的其他内容请读者阅读：DNS安全的背景及事件分析上

【编辑推荐】

文章来源网络，作者：运维，如若转载，请注明出处：https://shuyeidc.com/wp/136119.html<

DNS安全的背景及事件分析 下