互联网域名系统管理新机制的研究

曹蓟光

摘要　域名系统(DNS)既是互联网的基础业务，又是互联网基础设施的重要组成部分。随着IP技术向电信领域的渗透，一些电信业务也越来越依赖于DNS系统。而现有DNS体系实际上是由美国间接控制的，存在一定的安全隐患。因此新型DNS系统的研究已经开始受到重视，本文提出了一种与现行DNS系统兼容的、新型的互联网域名解析体系，以期提高DNS系统的安全性。

关键词　域名系统　DNS　根服务器　安全隐患

1、探索新的DNS服务器管理机制与解析方式的必要性

　　1.1　根服务器的种类与分布

　　域名根服务器通常有三类：主服务器、从服务器、镜像服务器。其中主服务器负责维护ROOTZONE文件，并主服务器定期向从服务器下发ROOTZONE文件。镜像服务器是从服务器的镜像，通常这些分布在各地的镜像服务器与从服务器配置为一个IPv4的组播组或一个IPv6的任播组，这样用户可以就近获得DNS解析服务，提高了域名解析的性能。另外，这种通过组播或任播技术组织起来的进行镜像服务器可以一定程度上避免网络单点故障，提高网络的安全性。

　　目前，全球共有1个主根服务器(隐藏，网络上不可见的)，13个从根服务器(逻辑)。这些逻辑上的从服务器又分别配置有若干具体的镜像服务器，分布在全球10多个国家和地区。其中，以F根服务器的镜像服务器最多，现在有21个，按照F根服务器的管理者ISC的规划，到2005年全球的F根服务器的镜像服务器要达到25个。I根服务器和J根服务器的镜像服务器数目也较多，目前分别为9个和12个，并且这个数目正在增长。

　　上述所有根服务器均由美国政府授权的互联网名字与编号分配机构(ICANN)统一管理，负责全球的域名根服务器、域名体系和IP地址的管理。ICANN的管理工作根据其与美国商务部达成的谅解备忘录的内容进行。而对根服务器的具体管理与维护工作，则由ICANN以签署协议的方式委托给一些组织或公司来完成。

　　1.2　现行互联网域名解析机制存在的问题

　　在现行互联网域名解析体系中，DNS根服务器扮演了十分重要的角色。所有本地DNS服务器不能解析的域名解析请求都要直接送到DNS根服务器去，而目前这些DNS根服务器的最终管理权与控制权在美国政府的手里，美国可以对DNS根服务器中的ROOTZONE文件的记录进行修改，从而使得一些国家从互联网世界中消失。据了解在美伊战争期间，伊拉克以外的国家不能访问伊拉克的网站，所有访问伊拉克ccTLD顶级域名服务器的域名解析请求都将返回“失败(fail)”或“拒绝(denial)。另外，美国还可以对访问DNS根服务的域名解析请求进行监测与分析，并可以采取诸如拒绝访问、过滤或重定向等特殊处理。所有这些都使得许多国家在利用DNS系统来支撑一些重要的应用时存在安全性方面的担忧，尤其是一些与美国的文化理念和意识形态方面存在差异的发展中国家。随着互联网向传统电信领域的渗透，一些电信业务也越来越多地依赖于DNS解析系统，而且DNS域名的系统的功能也在不断丰富之中(如新的记录类型的增加，以支持ENUM，RFID等应用，现行DNS系统有向全球目录服务系统演变的趋势，这意味着DNS系统的重要性会越来越加强)，但是这些电信业务的管理权属于各国主权范畴，各国的电信业务的开展需要依赖由美国管理与控制的DNS根服务器的现状也使得一些国家产生了对本国电信业务安全性的担忧。这一定程度上影响了ENUM，RFID等新型应用的快速开展。

　　所有的根服务器的具体管理权均属于某个国家的某个公司，如果出现与根服务器有关的网络纠纷甚至是网络犯罪时，牵扯到的法律问题将会非常复杂。具体地讲，DNS根服务器的带来的安全隐患主要有：停止服务、虚假信息发布、重定向、信息监控、定点攻击等方面。

　　(1)停止服务

　　由于目前国内的各级DNS服务器均缺省配置了互联网根服务器的地址，当在本地不能完成域名解析时需要按照这个地址列表来访问根服务器。当这些服务器对我国的DNS查询停止提供服务时，则DNS查询失败。影响互联网业务以及与DNS服务有关的电信业务的开展。