DNS安全淺析
近幾個(gè)月以來，一些校園網(wǎng)的用戶和管理人員發(fā)現(xiàn)學(xué)校的陸續(xù)出現(xiàn)無法正常提供遞歸解析服務(wù)的情況，也有一些校園網(wǎng)發(fā)現(xiàn)一些知名的網(wǎng)站(如www.baidu.com,www..com)域名解析出現(xiàn)奇怪的現(xiàn)象，很多用戶和管理員面對這些現(xiàn)象仍然很困惑。
域名系統(tǒng)的安全性一直是運(yùn)行安全的關(guān)鍵之一。在國際上，DNSSec作為域名系統(tǒng)安全的一項(xiàng)重要措施，近年來也出現(xiàn)了新的進(jìn)展。這些新的技術(shù)是否可以解決我們校園網(wǎng)域名解析面臨的安全問題？看下面案例的分析：
Key1配置錯(cuò)誤
錯(cuò)誤的配置信息導(dǎo)致DNS無法提供正常的服務(wù)，DNS的配置是目前網(wǎng)絡(luò)服務(wù)中少有的幾個(gè)難理解的配置之一!
典型案例：
瑞典頂級域名.se故障
2009年10月12日晚瑞典頂級域名服務(wù)器出現(xiàn)故障，導(dǎo)致一百多萬使用.se結(jié)尾的域名無法正常解析，一些地區(qū)直到48小時(shí)候才能正常解析.se域名
事件回放：
1.2009年10月12日瑞典頂級域名.se服務(wù)商的管理員象往常一樣使用腳本對域名服務(wù)器.se的zone文件進(jìn)行更新。
2.更新后發(fā)現(xiàn)所有.se的域名無法正常解析
3.管理迅速檢查原因，發(fā)現(xiàn)是因?yàn)槟_本在編輯存盤時(shí)把原本應(yīng)該有的.給不小心刪掉了，這個(gè)錯(cuò)誤直接導(dǎo)致.se從根域名服務(wù)器數(shù)據(jù)中消失。
4.雖然管理員迅速的對zone進(jìn)行了修復(fù)，但是擴(kuò)散出去的數(shù)據(jù)導(dǎo)致一些地區(qū)在48小時(shí)候才重新認(rèn)為.se是有效域名。
事件分析：
1.DNS配置文件的復(fù)雜性;
2.DNS缺乏一個(gè)有效的快速更新機(jī)制。
Key2軟件漏洞
DNS服務(wù)軟件本身存在安全漏洞，導(dǎo)致DNS無法正常提供服務(wù)。
典型案例：
Bind9漏洞導(dǎo)致.com無法正常解析
2011年3月底，我們陸續(xù)接到一些院校投訴其DNS解析服務(wù)存在故障，經(jīng)常無法正常解析域名。最后查明是bind9軟件存在條件競爭漏洞導(dǎo)致的。
事件背景：
DNS安全擴(kuò)展(DNSSEC)蜒是由IETF提供的一系列DNS安全認(rèn)證的機(jī)制(可參考RFC2535)，它利用數(shù)字簽名的技術(shù)來保證域名解析的權(quán)威性，以保證域名不受中間人的攻擊或緩存污染。
Verisign公司——域名服務(wù)商，.com域名的實(shí)際維護(hù)者，DNSSEC協(xié)議的發(fā)起人之一。
Bind軟件——DNS服務(wù)程序，目前網(wǎng)絡(luò)上使用最廣泛的DNS軟件，教育網(wǎng)的占有率在90%以上。
事件回放：
1.ISC在Bind8.1.x版本后開始支持DNSSec，并在Bind9版本后默認(rèn)打開了DNSSec的查詢，Bind9.6-ESVR3之前的版本在實(shí)現(xiàn)DNSSEC查詢的過程中存在一個(gè)條件競爭漏洞;
2.2011年3月下旬，Verisign公司開始向13臺根域名服務(wù)器發(fā)布.com域名的DNSSEC數(shù)據(jù);
3.根域名服務(wù)器上的DS數(shù)據(jù)誘發(fā)了Bind軟件的漏洞，導(dǎo)致遞歸服務(wù)器的非DS請求有50%的幾率被根服務(wù)認(rèn)為是無效請求而返回SERVFAIL應(yīng)答。這直接導(dǎo)致用戶端訪問.com的域名有一半的幾率會失敗;
4.3月31號，ISC發(fā)布安全公告，并更新了Bind9軟件。
事件分析：
1.DNS軟件是否需要隨時(shí)更新？
2.DNS軟件更新機(jī)制。