2019年域名空间治理与域名协议安全的演进.pdf

1、清华大学清华大学-奇安信联合研究中心奇安信联合研究中心域域名名空空间间治治理理与与域域名名协协议议安安全全的的演演进进为为什什么么关关注注DNS安安全全？根根域域名名的的历历史史和和域域名名空空间间扩扩展展 DNS协协议议攻攻击击和和协协议议安安全全的的演演进进DNS 是是互互联联网网重重要要的的基基础础服服务务 DNS 是是互互联联网网重重要要的的基基础础服服务务 映映射射的的数数据据库库173.194.39.78CDN基基于于DNS提提供供内内容容分分发发和和负负载载均均衡衡 DNS 是是互互联联网网重重要要的的基基础础服服务务 映映射射的的数数据据库库应应用用层层的的路路由由 CDN基基

2、于于DNS提提供供内内容容分分发发、负负载载均均衡衡DNS 控控制制内内容容路路由由、负负载载均均衡衡DNS作作为为信信任任的的基基础础支支持持邮邮件件服服务务器器的的验验证证 DNS 是是互互联联网网重重要要的的基基础础服服务务 映映射射的的数数据据库库应应用用层层的的路路由由 CDN基基于于DNS提提供供内内容容分分发发、负负载载均均衡衡电电子子邮邮件件的的路路由由(MX)DNS 作作为为信信任任的的基基础础邮邮件件服服务务器器验验证证（SPF）,防防垃垃圾圾邮邮件件发发送送方方邮邮件件服服务务器器接接收收方方邮邮件件服服务务器器1.我我要要发发邮邮件件给给你你DNS作作为为信信任任的的基

3、基础础支支持持公公钥钥证证书书申申请请 DNS 是是互互联联网网重重要要的的基基础础服服务务 映映射射的的数数据据库库应应用用层层的的路路由由 CDN基基于于DNS提提供供内内容容分分发发、负负载载均均衡衡电电子子邮邮件件的的路路由由(MX)DNS 作作为为信信任任的的基基础础邮邮件件服服务务器器验验证证（SPF），防防垃垃圾圾邮邮件件公公钥钥证证书书申申请请中中的的验验证证申申请请证证书书验验证证你你是是否否拥拥有有这这个个域域名名？DNS作为公钥基础设施（作为公钥基础设施（PKI）DNS 是互联网重要的基础服务是互联网重要的基础服务 映射的数据库映射的数据库应用层的路由应用层的路由 CDN

4、基于基于DNS提供内容分发、负载均衡提供内容分发、负载均衡电子邮件的路由电子邮件的路由(MX)DNS 作为信任的基础作为信任的基础邮件服务器验证（邮件服务器验证（SPF）,防垃圾邮件防垃圾邮件公钥证书申请中的验证公钥证书申请中的验证 DNS 作为公钥基础设施作为公钥基础设施PKI DNSSEC：DS,RRSIGN,DNSSKEY TLSA：关联：关联Web服务器的服务器的TLS证书（证书（RFC 6698,2012）查询查询TLSA记录：记录：这个证书、这个证书、CA是你信任的吗？是你信任的吗？DNS相相关关的的攻攻击击常常导导致致互互联联网网大大规规模模瘫瘫痪痪 DNS 作作为为攻攻击击目目

5、标标 DNS作为DDoS攻击工具Spamhause DNS reflection，2013Dyn 攻击事件，2016域域名名的的滥滥用用：地地下下黑黑产产和和网网络络犯犯罪罪利利用用域域名名搭搭建建蜘蜘蛛蛛池池，实实现现搜搜索索引引擎擎污污染染，推推广广赌赌博博、毒毒品品等等违违法法网网站站伪伪装装成成合合法法域域名名进进行行钓钓鱼鱼攻攻击击DNS是是互互联联网网治治理理的的焦焦点点 DNS是是互互联联网网治治理理的的焦焦点点，涉涉及及技技术术标标准准、国国际际政政治治、法法律律经经济济等等各各种种纠纠纷纷伊伊拉拉克克战战争争期期间间，在在美美国国政政府府授授意意下下，伊伊拉拉克克顶顶级级域域

6、名名“.iq”的的申申请请和和解解析析工工作作被被终终止止，所所有有网网址址以以“.iq”为为后后缀缀的的网网站站从从互互联联网网蒸蒸发发中中国国部部署署了了4台台IPv6根根域域名名服服务务器器。打打破破垄垄断断、突突破破封封锁锁，中中国国彻彻底底打打破破了了没没有有根根服服务务器器的的困困境境。关关于于伊伊拉拉克克国国家家域域名名IQ被被删删除除的的事事件件:关关于于IPv6试试验验根根项项目目:为为什什么么关关注注DNS安安全全？根根域域名名的的历历史史和和域域名名空空间间扩扩展展 DNS协协议议攻攻击击和和协协议议安安全全的的演演进进DNS早早期期的的历历史史 1970s，APARNE