[發明專利]一種域名遞歸服務的預判干預方法

有效

• 申請號: 201310659756.2
• 申請日: 2013-12-09
• 公開（公告）號: CN103685599B
• 公開（公告）日: 2017-04-05
• 發明（設計）人: 劉明星;金鍵;李曉東
• 申請（專利權）人: 中國科學院計算機網絡信息中心
• 主分類號: H04L29/12
• 分類號: H04L29/12;H04L12/26;H04L29/06
• 代理公司: 北京君尚知識產權代理事務所(普通合伙)11200
• 代理人: 余長江

技術領域

本發明涉及一種域名遞歸服務的預判干預方法，屬于計算機網絡技術領域。

背景技術

域名系統及其安全狀態：

作為互聯網的重要基礎設施，域名系統（Domain?Name?System,DNS）一直為全球互聯網的運行提供關鍵性的基礎服務。隨著互聯網規模爆炸式增長，DNS相關的各種新技術相繼出現，如IPv6、多語種域名和DNS安全擴展協議（DNS?Security?Extension，DNSSEC）等，DNS系統也由此變得越來越龐雜。由于在設計之初對安全性和擴展性考慮欠缺，域名系統在協議、實現和操作上存在著固有的不足與脆弱，進而使其面臨著很多安全威脅。其中，數據損壞中的部分威脅（如權威服務器信息的未經授權更改、域名劫持、遞歸服務器緩存中毒和人為配置錯誤等）和拒絕服務造成遞歸服務器的解析狀態從安全變得相對危險，使其緩存了域名的錯誤解析數據或者向客戶端返回否定應答。

域名任何類型（如A記錄、CNAME記錄或NS記錄等）的資源記錄（集）都可能發生變化，這些變化可能是危險變化，也可能是安全變化。比如域名所有者更換域名應用的網絡運營商時，通常會改變A記錄中的數據部分里的IP地址，就是一種安全變化；假定我們知道一黑客通過域名劫持修改了域名的A記錄數據部分中的IP地址，那么這就是一種危險變化。當域名的某資源記錄發生變化時，我們稱這個變化為域名記錄變化。如果通過一定的手段確定該變化是危險變化，那么我們稱之為記錄危險變化。特別地，當權威服務器無法正常地響應遞歸服務器（解析器）時，我們稱之為否定異常變化，如名字錯誤應答和沒有數據應答（No?Data）等。

權威服務器信息的未經授權更改、域名劫持、遞歸服務器緩存中毒和人為配置錯誤都是域名記錄的危險變化，都會造成遞歸服務器緩存了錯誤的記錄數據。解析數據發生變化或者由原來的肯定應答數據變成否定應答數據，都看作是解析數據的變化。

權威服務器的拒絕服務和人工錯誤配置會造成域名發生否定異常變化。拒絕服務分為針對DNS服務器的攻擊和針對網絡基礎設施的服務器的攻擊，當某域名區權威服務器遭到拒絕服務攻擊時，如果某遞歸服務器向該權威服務器查詢其管理的區中的資源記錄，那么它將面臨三種可能的權威服務器表現形式：一是收到該權威服務器發來的服務器失敗（Server?Failure，Servfail）等類型響應；二是不可達（Unreachable），即從某個權威服務器收不到任何響應；最后，區不可達（Zone?Unreachable）。“區不可達”就是當所有服務器出現問題而無法正常應答遞歸服務器請求時的權威服務器狀態。當黑客對部分權威服務器發動攻擊而造成其響應緩慢，那么遞歸服務器會因選擇這些服務器做查詢請求而延遲獲得應答；當黑客對所有權威服務器進行攻擊并使它們都無法應答外界請求時，那么遞歸服務器可能完全無法獲得區數據，即該區因此而不可達了。“區不可達”的結果是遞歸服務器無法正常地回應客戶端，并最終導致客戶端無法訪問域名提供的服務。

雖然遞歸服務器的緩存機制降低了服務器端的負載和查詢延遲，從而提高了遞歸服務器的性能，但是如果某遞歸服務器緩存了某個域名，那么在該域名的緩存數據在緩存中處于有效期期間，當該域名的權威服務器因為某種原因而無法正常、正確地響應外界對該域名的任何請求，直到該域名在該緩存中過期也沒有恢復，那么當遞歸服務器再次以遞歸方式解析此域名時，就可能丟掉了正確數據，而緩存了錯誤數據或否定數據。其中，如果域名發生危險資源記錄變化，那么緩存了錯誤的數據；如果域名發生了否定異常變化，那么緩存了否定數據。

資源記錄危險變化或者否定異常變化既對用戶有影響，又對遞歸服務器有影響。首先，當域名資源記錄發生危險變化或否定異常變化時，使用此遞歸服務器解析服務的DNS應用將被重定向到非目標服務器或根本無法訪問任何服務器，這會影響使用這些遞歸服務器服務用戶的上網安全，或者使他們無法上網。其次，某些域名的請求量巨大，其所在權威服務器一旦發生問題，若DNS應用有濫用DNS的故障，那么客戶端將發送大量請求給遞歸服務器。作為在DNS層次樹的鏈條中的一個重要部分，遞歸服務器可能受到沖擊而影響正常的服務。

雖然根據DNS協議分散管理的原則，權威服務器對自己管理的區中的域名負有主要責任。但另一方面，如果用戶的DNS應用被重定向到非法網站，那么遞歸服務器的用戶可能遭受損失；如果因為域名權威服務器的問題而無法訪問域名應用，那么用戶也將可能有損失。因此，本著服務用戶、對用戶負責的原則和保證遞歸服務器安全、穩定的考慮，需要對遞歸服務器做一些安全防護工作，以提高其用戶的上網安全和自身的可訪問性。