美大面積斷網(wǎng)凸顯建立域名解析高水平聯(lián)動協(xié)調(diào)機(jī)制的重要性

張建川，王偉

（互聯(lián)網(wǎng)域名系統(tǒng)北京市工程研究中心，北京 100190）

美大面積斷網(wǎng)凸顯建立域名解析高水平聯(lián)動協(xié)調(diào)機(jī)制的重要性

張建川，王偉

（互聯(lián)網(wǎng)域名系統(tǒng)北京市工程研究中心，北京 100190）

互聯(lián)網(wǎng)域名系統(tǒng)（DNS）是確?；ヂ?lián)網(wǎng)安全穩(wěn)定運行的邏輯基礎(chǔ)設(shè)施，但也因其重要性和脆弱性一直是安全攻擊的重災(zāi)區(qū)。近年來，針對域名系統(tǒng)的攻擊時有發(fā)生，且形式日趨多樣化，最近發(fā)生的由物聯(lián)網(wǎng)設(shè)備發(fā)起的針對Dyn的攻擊而導(dǎo)致美國大面積斷網(wǎng)就是最新例證。為有效應(yīng)對類似問題，防止大面積斷網(wǎng)事件在中國發(fā)生，政府應(yīng)加強(qiáng)統(tǒng)籌協(xié)調(diào)，建立涵蓋所有相關(guān)域名服務(wù)機(jī)構(gòu)的高水平聯(lián)動協(xié)調(diào)機(jī)制。本文從安全意識、體制機(jī)制、服務(wù)改進(jìn)、軟硬件研發(fā)等多個方面提出應(yīng)對建議。當(dāng)然，長期而言，DNS協(xié)議的改進(jìn)才是最根本的應(yīng)對措施，中國互聯(lián)網(wǎng)社群在這一領(lǐng)域大有可為。

域名系統(tǒng)；域名解析；DDoS攻擊；物聯(lián)網(wǎng)；聯(lián)動協(xié)調(diào)機(jī)制

0 引言

2016年10月21日，美國著名域名解析服務(wù)提供商Dyn公司因遭受大規(guī)模DDoS（分布式拒絕服務(wù)）攻擊而導(dǎo)致全美國大范圍互聯(lián)網(wǎng)癱瘓。該事件不僅在美國國內(nèi)引發(fā)震蕩，也吸引了全球互聯(lián)網(wǎng)行業(yè)的高度關(guān)注。黑客組織NewWorldHackers和Anonymous隨后宣稱對此事件負(fù)責(zé)，但背后的動機(jī)則眾說紛紜。據(jù)報道，美國國土安全部和聯(lián)邦調(diào)查局已介入調(diào)查事件起因。

時隔一周，新加坡電信運營商星和（StarHub）10月27日宣布，該公司遭受蓄意網(wǎng)絡(luò)攻擊，造成其部分家庭寬帶用戶在10月22號和24號斷網(wǎng)。后來查明，攻擊的方式與Dyn遭受的攻擊類似，都是聯(lián)網(wǎng)設(shè)備遭到了病毒感染，成為了所謂的“肉雞”。被感染的設(shè)備包括寬帶路由器和網(wǎng)絡(luò)攝像頭。

雖然這些事件都發(fā)生在國外，但誰也無法保障下一波黑客的攻擊不會針對中國。隨著移動互聯(lián)網(wǎng)、物聯(lián)網(wǎng)的興起，針對域名系統(tǒng)（DNS）的攻擊逐漸呈現(xiàn)新形態(tài)，需要中國互聯(lián)網(wǎng)社群未雨綢繆。一個值得引起中國互聯(lián)網(wǎng)社群高度關(guān)注的核心問題是：如果今后有類似的攻擊發(fā)生在中國，我們該如何應(yīng)對？

1 美國斷網(wǎng)事件：域名解析服務(wù)商受到攻擊

本次攻擊的主要受害者是位于New Hamp-shire的域名服務(wù)商 Dyn公司。Dyn是業(yè)界領(lǐng)先的域名解析服務(wù)提供商，Reddit、CNN、Twitter、 Netflix等許多著名公司的域名解析都托管在該公司。黑客針對Dyn的攻擊從早上7點左右一直持續(xù)到當(dāng)天下午6時，共發(fā)起了三撥攻擊[1]。攻擊使用的方法是DDoS，即通過大流量的垃圾訪問迅速造成堵塞使得服務(wù)器癱瘓。

DDoS攻擊并不是最近出現(xiàn)的“黑科技”，而是相當(dāng)常見的網(wǎng)絡(luò)攻擊方式之一。然而，據(jù)外電報告，本次攻擊向Dyn的服務(wù)器發(fā)送 了高達(dá)1.2T bit/s的流量，可能是自互聯(lián)網(wǎng)誕生以來最大規(guī)模的DDoS攻擊[2]。Dyn公司靠一己之力完全無法招架。歷史上黑客組織也曾利用DDoS的手法癱瘓過索尼和Facebook等公司的網(wǎng)站。然而，黑客這次巧妙地繞過了單獨攻擊各個網(wǎng)站的方式，而是攻擊DNS的服務(wù)商。這種情況下，一旦Dyn倒下，在這個平臺上有關(guān)網(wǎng)站及相關(guān)域名服務(wù)都會被殃及，而無論這些網(wǎng)站各自自己是如何布防DDoS的?？芍^是一箭多雕。

目前披露出來的信息表明，這是一次有組織的非常嫻熟的攻擊，主要源頭是Mirai僵尸網(wǎng)絡(luò)控制的物聯(lián)網(wǎng)（IoT）設(shè)備發(fā)起。Mirai僵尸網(wǎng)絡(luò)是通過暴力破解物聯(lián)網(wǎng)設(shè)備（很多人購買物聯(lián)網(wǎng)設(shè)備之后并不修改固定密碼，而廠商基本上都使用的是熟知的固定密碼，以至于相當(dāng)數(shù)量的智能硬件攜帶非常多的漏洞，很容易被攻破）而把這些設(shè)備都當(dāng)成發(fā)起攻擊的武器（通常被稱為“肉雞”）。Mirai的源代碼已經(jīng)開源，導(dǎo)致其很容易被黑客利用。也就是說，分布在各家各戶的網(wǎng)絡(luò)攝像頭、路由器、游戲機(jī)等都被黑客利用成為發(fā)起攻擊的利器。

有必要指出，Dyn公司的遭遇并不是孤例，此前國內(nèi)外也發(fā)生過數(shù)起類似的事件。下面是近幾年來對互聯(lián)網(wǎng)產(chǎn)生較大影響的DNS安全攻擊事件：

● 2009年5月19日南方六省斷網(wǎng)事件。游戲私服私斗打垮DNSPod，殃及暴風(fēng)影音的域名解析，進(jìn)一步殃及電信運營商本地DNS服務(wù)器，從而爆發(fā)六省大規(guī)模斷網(wǎng)的事故。

● 2010年1月12日百度域名劫持事件。baidu.com的NS記錄被伊朗網(wǎng)軍（Iranian Cyber Army）劫持，然后導(dǎo)致www.baidu.com無法訪問。事件持續(xù)時間8小時。

● 2011年9月5日，包括微軟、宏碁、沃達(dá)豐和UPS在內(nèi)的眾多知名網(wǎng)站都遭遇了DNS劫持。

● 2013年8月25日國家域名CN被攻擊事件。CNNIC的域名服務(wù)器受到DDoS攻擊，導(dǎo)致CN大范圍無法解析。

● 2014年1月21日全國DNS故障。迄今為止大陸境內(nèi)發(fā)生的最為嚴(yán)重的DNS故障，所有通用頂級域（.com/.net/.org）遭到DNS污染。

● 2015年11月30日DNS根服務(wù)器攻擊事件。13個根服務(wù)器到了攻擊，攻擊者對根服務(wù)器發(fā)起了針對兩個特定域名的數(shù)十億次無效查詢請求。

2 域名系統(tǒng)已成為網(wǎng)絡(luò)攻擊的重災(zāi)區(qū)

域名系統(tǒng)自其誕生之日起，就一直是各類網(wǎng)絡(luò)攻擊的重點目標(biāo)。平均每年都要發(fā)生至少一次域名安全事件，幾乎已經(jīng)成為常態(tài)。這種狀況與域名系統(tǒng)在互聯(lián)網(wǎng)架構(gòu)中的地位和作用以及該系統(tǒng)在設(shè)計之初就具備的特點（或不足）密不可分。攻擊者發(fā)現(xiàn)對域名系統(tǒng)的攻擊可以達(dá)到以點制面、牽一發(fā)而動全身的效果，且具有投資小、見效快的“優(yōu)點”，幾乎每次攻擊得手，都能引發(fā)大范圍的互聯(lián)網(wǎng)癱瘓。

2.1 DNS在互聯(lián)網(wǎng)體系中的地位

眾所周知，互聯(lián)網(wǎng)是一個建構(gòu)于TCP/IP協(xié)議基礎(chǔ)之上的去中心化的全球分布式網(wǎng)絡(luò)。要理解域名系統(tǒng)在互聯(lián)網(wǎng)上的地位以及對于整個互聯(lián)網(wǎng)的重要性，需要理解互聯(lián)網(wǎng)的三層結(jié)構(gòu)體系（參見圖1）[3]?；ヂ?lián)網(wǎng)的最上層是豐富多彩的內(nèi)容和各種互聯(lián)網(wǎng)應(yīng)用，最底層是網(wǎng)絡(luò)運營商負(fù)責(zé)管理的物理基礎(chǔ)設(shè)施（連接線路、設(shè)備等），而域名和IP地址等互聯(lián)網(wǎng)關(guān)鍵資源（Critical Internet Resources）則作為邏輯基礎(chǔ)設(shè)施位于其間，發(fā)揮著承上啟下的關(guān)鍵作用。

域名和IP地址和是互聯(lián)網(wǎng)的重要基礎(chǔ)資源，是互聯(lián)網(wǎng)通信的前提?；ヂ?lián)網(wǎng)上的每一臺設(shè)備必須要配有IP地址才能進(jìn)行路由和通信。但僅僅有IP地址，也無法形成有效交流。IP地址是機(jī)器對機(jī)器之間的識別標(biāo)識和路由地址，對于人來說，IP地址只是一串?dāng)?shù)字，沒有任何語義，無法識別和記憶。域名系統(tǒng)的主要功能就是將不便于記憶的IP地址，如180.149.136.228“翻譯”成人腦能夠識別和記憶的自然語言標(biāo)識，如ww.sina.cn。絕大多數(shù)互聯(lián)網(wǎng)應(yīng)用必須先查詢域名系統(tǒng)之后才能進(jìn)行數(shù)據(jù)通信和互聯(lián)互通。

圖1 互聯(lián)網(wǎng)的三層結(jié)構(gòu)[3]

如果跟電信網(wǎng)類比，域名系統(tǒng)及類似于互聯(lián)網(wǎng)上的電話簿，而如果把互聯(lián)網(wǎng)比作人體，那么域名系統(tǒng)就相當(dāng)于互聯(lián)網(wǎng)的中樞神經(jīng)系統(tǒng)。如果域名系統(tǒng)癱瘓，即使終端設(shè)備和通信鏈路正常工作，互聯(lián)網(wǎng)應(yīng)用之間仍無法正常通信。目前，全球域名總數(shù)超過3億，域名服務(wù)器數(shù)量超過1 000萬臺，每天提供數(shù)千億次的查詢服務(wù)。

2.2 DNS解析過程及特點

域名服務(wù)產(chǎn)業(yè)是一個生態(tài)系統(tǒng)，涉及眾多環(huán)節(jié)和不同的服務(wù)機(jī)構(gòu)。拋開細(xì)節(jié)，可以理解域名的用途主要有兩個：注冊和解析。很多人注冊域名，是為了保護(hù)自己的域名不被競爭對手使用或者今后待價而沽，不一定真的使用。解析則是真的開始使用域名，包括建立網(wǎng)站、開通email服務(wù)等。解析就是上面提到的把域名翻譯成IP地址的過程，因為機(jī)器并不認(rèn)識人類語言，機(jī)器之間的通信還要依靠IP地址。

域名的名字空間是等級制的，通過最頂層的管理者逐級授權(quán)而不斷延伸生長出一棵數(shù)據(jù)樹。通常情況下， 用戶在瀏覽器中敲入一個域名（如www.baidu.com）去訪問對應(yīng)的網(wǎng)站時，用戶的計算機(jī)通過本地域名解析服務(wù)器（Resolver Server，也稱遞歸服務(wù)器）通過遞歸往復(fù)地查詢域名數(shù)據(jù)數(shù)上的根服務(wù)器（Root）、頂級域名（TLD）服務(wù)器、二級域名（SLD）服務(wù)器最終獲得目標(biāo)服務(wù)器的IP地址，見圖2。

圖2 DNS查詢過程

從這個過程可以看出，負(fù)責(zé)域名解析的服務(wù)器實際上可以分成兩類：一類叫遞歸解析服務(wù)器，一類叫權(quán)威解析服務(wù)器。遞歸服務(wù)器主要由ISP負(fù)責(zé)，它負(fù)責(zé)網(wǎng)絡(luò)接入終端的DNS查詢。通俗說，就是用戶向它發(fā)出訪問網(wǎng)站的請求，它給用戶反饋查詢的結(jié)果。而權(quán)威解析服務(wù)器就是用戶要訪問的那個特定域名的NS記錄所設(shè)置的DNS服務(wù)器。它只對自己所有的域名進(jìn)行權(quán)威解析，對不屬于自己的域名都統(tǒng)統(tǒng)不管。需要強(qiáng)調(diào)的是，遞歸服務(wù)器并不是每次查詢都去訪問權(quán)威服務(wù)器，它從權(quán)威服務(wù)器獲取數(shù)據(jù)后可以緩存在本地，因此，遞歸服務(wù)器也叫做緩存服務(wù)器。當(dāng)然，緩存是有時效性的，過期以后，遞歸會再次訪問權(quán)威服務(wù)器獲取數(shù)據(jù)。

權(quán)威解析的實現(xiàn)主要有兩種方式。大部分人使用由域名注冊服務(wù)機(jī)構(gòu)提供的免費解析服務(wù)。絕大部分的域名注冊商都提供打包服務(wù)，在注冊域名后提供建站、主機(jī)托管和郵箱服務(wù)，極大地方便了用戶。另一種實現(xiàn)方式則是通過公共域名解析服務(wù)提供商提供的專業(yè)的解析服務(wù)。通常這類企業(yè)都不提供域名注冊服務(wù)，或者其主營業(yè)務(wù)不是域名注冊。著名的解析服務(wù)提供商包括國外的谷歌（8.8.8.8）、Dyn公司等；國內(nèi)的則包括DNSpod、阿里云和互聯(lián)網(wǎng)域名系統(tǒng)北京市工程研究中心有限公司（ZDNS）等。從業(yè)務(wù)模式上看這些服務(wù)有收費的，也有免費的。

根據(jù)現(xiàn)有的DNS體系架構(gòu)，權(quán)威和遞歸解析服務(wù)器之間的關(guān)系具有以下幾個特點，或者說安全上的隱患和不足：

（1）DNS權(quán)威服務(wù)器的IP地址對全網(wǎng)公開，除遞歸服務(wù)器外，所有人都可以公開獲知此IP地址，因此也就無法將DNS訪問流量限制在遞歸服務(wù)器層面。

（2）DNS權(quán)威和遞歸之間的數(shù)據(jù)同步是單向的，全球任意遞歸服務(wù)器都可以來獲取數(shù)據(jù)，權(quán)威服務(wù)器不能中斷這一來向的訪問，時刻處于對全網(wǎng)開放的狀態(tài)。

（3）如果某條緩存數(shù)據(jù)到達(dá)定期更新時間，但此時遞歸服務(wù)系統(tǒng)無法訪問權(quán)威服務(wù)系統(tǒng)（包括在遭受DDoS攻擊狀態(tài)下的擁塞）獲取該數(shù)據(jù)的最新狀態(tài)，舊數(shù)據(jù)依然會被刪除，用戶請求失敗。這個機(jī)制放大了權(quán)威服務(wù)遭受攻擊時對遞歸服務(wù)器的負(fù)面影響和壓力。因為很多所謂“舊數(shù)據(jù)”與“新數(shù)據(jù)”并無實質(zhì)差別，其實也不影響用戶的訪問體驗。

2.3 DNS與物聯(lián)網(wǎng)

在本次事件發(fā)生前，很少有人會把DNS與物聯(lián)網(wǎng)（IoT）聯(lián)系起來。雖然物聯(lián)網(wǎng)領(lǐng)域也需要一套名字標(biāo)識系統(tǒng)來對聯(lián)網(wǎng)設(shè)備進(jìn)行有效的命名識別，正如DNS是互聯(lián)網(wǎng)領(lǐng)域的尋址和標(biāo)識系統(tǒng)，但由于物聯(lián)網(wǎng)的技術(shù)路線和標(biāo)準(zhǔn)機(jī)構(gòu)眾多，導(dǎo)致目前物聯(lián)網(wǎng)領(lǐng)域并沒有出現(xiàn)一套被廣泛接受和采納的標(biāo)識命名技術(shù)和服務(wù)體系。

美國既不支持對現(xiàn)有互聯(lián)網(wǎng)體系架構(gòu)進(jìn)行大規(guī)模改變，也不愿采用其它替代DNS域名系統(tǒng)的新型標(biāo)識解析體系。但作為新一代信息技術(shù)的引領(lǐng)者，美國始終保持對新型標(biāo)識解析體系的技術(shù)領(lǐng)先趨勢，提出了以DNS系統(tǒng)為基礎(chǔ)的ONS改良方案，以及脫離DNS系統(tǒng)的Handle系統(tǒng)等不同方案。

在歐洲，英法德等國家廣泛采用ONS標(biāo)識解析體系。國際電信聯(lián)盟ITU和國際標(biāo)準(zhǔn)化組織ISO提出的OID標(biāo)識解析體系，其后臺也是基于DNS的改良方案。日本早在2003年就推出了自主研發(fā)的ucode標(biāo)識解析體系，同時，日本也支持美國的EPC標(biāo)識和ONS解析系統(tǒng)在日本國內(nèi)使用。

由此可以看出，雖然物聯(lián)網(wǎng)標(biāo)識命名方式千差萬別，但在實現(xiàn)標(biāo)識解析查詢時，大多仍然離不開DNS。無論如何，DNS是一套已經(jīng)運行了30多年的分布式信息系統(tǒng)，其穩(wěn)定性和成熟度經(jīng)過了實踐檢驗。即便Handle系統(tǒng)在理論層面提出了一套嶄新的標(biāo)識命名和解析查詢體系，但也并不排除與DNS實現(xiàn)兼容和互聯(lián)互通的可能性。因此可以預(yù)見，DNS將在未來物聯(lián)網(wǎng)標(biāo)識查詢服務(wù)中仍將扮演重要的角色。

正如這次Dyn公司被攻擊所展示的，聯(lián)網(wǎng)的物聯(lián)網(wǎng)設(shè)備在與主機(jī)通信時，仍然遵循的是DNS協(xié)議。只不過當(dāng)這些設(shè)備被黑客惡意控制之后，開始發(fā)送大量的垃圾請求，從而導(dǎo)致了網(wǎng)絡(luò)及域名服務(wù)器的擁塞而無法響應(yīng)正常的服務(wù)請求。

當(dāng)然，DNS在設(shè)計之初對安全考慮不足的缺點對于物聯(lián)網(wǎng)標(biāo)識系統(tǒng)今后的發(fā)展卻有著非?，F(xiàn)實的正面的借鑒意義，這可以從以下幾個方面理解。

（1）多種物聯(lián)網(wǎng)標(biāo)識如何在互聯(lián)網(wǎng)應(yīng)用層面實現(xiàn)互聯(lián)互通，物聯(lián)網(wǎng)標(biāo)識如何從相對封閉的行業(yè)應(yīng)用走向全網(wǎng)服務(wù)。

（2）如何實現(xiàn)終端用戶在最后一公里發(fā)起的物理網(wǎng)標(biāo)識查詢。是依舊采取類似DNS的代理方式（緩存遞歸服務(wù)器），還是將查詢權(quán)力交還給操作系統(tǒng)終端。

（3）本地操作系統(tǒng)在發(fā)起標(biāo)識查詢時是否有限權(quán)管理，以防止無休止的高頻訪問累積而成洪水攻擊。

（4）物聯(lián)網(wǎng)網(wǎng)絡(luò)設(shè)備及其后臺管理系統(tǒng)是否應(yīng)針對物聯(lián)網(wǎng)標(biāo)識服務(wù)進(jìn)行一定的訪問控制。

（5）目前基于域名系統(tǒng)所形成的包括備案、實名制、反釣魚、應(yīng)急處理等一系列管理措施是否可以平滑過渡到物聯(lián)網(wǎng)標(biāo)識管理上。

3 對策建議

互聯(lián)網(wǎng)30年的發(fā)展日新月異，但作為最核心最基礎(chǔ)的支撐服務(wù)之一，域名系統(tǒng)在互聯(lián)網(wǎng)體系中的關(guān)鍵地位其實一直沒有變化。面對呈幾何級增長的攻擊規(guī)模，DNS系統(tǒng)算數(shù)級增長的處理能力杯水車薪。坦率地講，面對Dyn公司遭受的這種量級的安全攻擊，其實沒有任何一個 DNS運行機(jī)構(gòu)能夠單獨應(yīng)對。在這種情況下，國家應(yīng)統(tǒng)籌協(xié)調(diào)，構(gòu)建高水平的應(yīng)急聯(lián)動協(xié)調(diào)機(jī)制，整合運營商和域名解析服務(wù)提供商的力量，通過技術(shù)手段的改進(jìn)和協(xié)調(diào)聯(lián)動機(jī)制的建立應(yīng)對今后可能發(fā)生的類似問題。具體而言，可以考慮從以下幾個方面入手：

（1）提高認(rèn)識。2009年以來的域名安全事件表明，域名系統(tǒng)的重要性和易攻擊性，并沒有隨著互聯(lián)網(wǎng)的整體發(fā)展而降低或減弱；相反，隨著移動互聯(lián)網(wǎng)、物聯(lián)網(wǎng)的興起，針對DNS的安全攻擊逐漸呈現(xiàn)新形態(tài)。雖然域名服務(wù)機(jī)構(gòu)在不斷加強(qiáng)節(jié)點規(guī)模和部署分布性，但“道高一尺魔高一丈”，攻擊方的規(guī)模增長更快，手段也日趨多樣化。域名安全工作作為一項長期性、基礎(chǔ)性的工作，應(yīng)時刻警鐘長鳴。

（2）統(tǒng)籌協(xié)調(diào)。傳統(tǒng)上，我國的域名安全工作，聚焦在以CN為代表的國家頂級域名，和以電信、聯(lián)通、移動為代表的官方遞歸服務(wù)系統(tǒng)上。但隨著互聯(lián)網(wǎng)服務(wù)的多樣化發(fā)展和專業(yè)化分工，我國域名行業(yè)生態(tài)中出現(xiàn)了根鏡像托管機(jī)構(gòu)、新通用頂級域名注冊管理機(jī)構(gòu)（注冊局）、頂級域名后臺托管機(jī)構(gòu)、權(quán)威域名云服務(wù)機(jī)構(gòu)、商業(yè)遞歸域名服務(wù)機(jī)構(gòu)、境外免費遞歸域名服務(wù)機(jī)構(gòu)（8.8.8.8）；傳統(tǒng)的域名注冊服務(wù)機(jī)構(gòu)（注冊商）也逐漸向多角色轉(zhuǎn)型。環(huán)節(jié)眾多、脆弱點也增多。任何一個環(huán)節(jié)出現(xiàn)漏洞，都有可能發(fā)生影響全局的域名安全事件，因此，域名安全工作需要全局統(tǒng)籌，從“系統(tǒng)工程”的角度認(rèn)真籌劃，注重發(fā)揮行業(yè)整體協(xié)調(diào)作用。

（3）完善遞歸服務(wù)。無論權(quán)威服務(wù)器是否遭受攻擊，終端用戶的合法訪問始終是由遞歸服務(wù)器來進(jìn)行響應(yīng)的。應(yīng)當(dāng)發(fā)揮電信運營商、小區(qū)寬帶等在最后一公里“網(wǎng)關(guān)”和“防火墻”作用，完善在遞歸服務(wù)層面建立數(shù)據(jù)備份和應(yīng)急緩存替換的有關(guān)技術(shù)和機(jī)制。

（4）配置專用通道?？紤]到合法域名訪問多是“用戶終端-遞歸服務(wù)器-權(quán)威服務(wù)器”這樣的數(shù)據(jù)訪問鏈條，并不會躍過遞歸服務(wù)器直接向權(quán)威服務(wù)器發(fā)起訪問請求，建議在國內(nèi)主要遞歸服務(wù)器和重要權(quán)威服務(wù)器之間設(shè)立專用通道、資源保障和訪問策略、形成一個自成體系的關(guān)鍵基礎(chǔ)設(shè)施，保障大多數(shù)合法域名訪問業(yè)務(wù)的順暢和攻擊應(yīng)急狀況下的獨立通道。這樣，在發(fā)生針對權(quán)威服務(wù)器公開服務(wù)地址的攻擊時，并不影響普通網(wǎng)民通過正規(guī)遞歸服務(wù)器訪問權(quán)威服務(wù)器的正常域名業(yè)務(wù)。

（5）加緊域名國產(chǎn)軟硬件的研發(fā)推廣。高性能的專有域名服務(wù)設(shè)備有利于提升域名服務(wù)的處理能力和應(yīng)急調(diào)度能力。近年來我國已出現(xiàn)了一批有別于Linux服務(wù)器+開源DNS軟件的專業(yè)域名設(shè)備品牌，除了通過硬件手段提高域名查詢性能外，更增加了數(shù)據(jù)災(zāi)備，調(diào)度切換等功能，有助于提高安全管理的效率。進(jìn)一步地，域名軟件研發(fā)工作更要延伸到操作系統(tǒng)、手機(jī)操作系統(tǒng)、物聯(lián)網(wǎng)操作系統(tǒng)內(nèi)嵌的可信的域名客戶端（StubResolver），爭取從源頭控制住域名訪問行為。此次Dyn受攻擊事件，如果物聯(lián)網(wǎng)操作系統(tǒng)內(nèi)部有對域名訪問的頻率控制機(jī)制，則不會輕易泛濫成災(zāi)。

4 結(jié)語

上述的對策措施終究還不是治本之策。究其源頭，作為互聯(lián)網(wǎng)的經(jīng)典協(xié)議，DNS協(xié)議在上世紀(jì)80年代設(shè)計之初并沒有過多地考慮安全防護(hù)功能，這是造成域名系統(tǒng)易受攻擊的根本原因。DNS基礎(chǔ)協(xié)議的研究和改進(jìn)，傳統(tǒng)上是來自美國和歐洲等互聯(lián)網(wǎng)發(fā)達(dá)國家的頂級技術(shù)專家的領(lǐng)域。伴隨著我國改革開放后的整體高速發(fā)展，中國互聯(lián)網(wǎng)已經(jīng)成為網(wǎng)民最多、規(guī)模最大的互聯(lián)網(wǎng)，且與發(fā)達(dá)國家同步演進(jìn)到移動互聯(lián)網(wǎng)、物聯(lián)網(wǎng)、工業(yè)互聯(lián)網(wǎng)階段，甚至在某些領(lǐng)域取得領(lǐng)先，必然帶來對DNS新的需求和改進(jìn)的源動力。中國互聯(lián)網(wǎng)社群應(yīng)當(dāng)抓住時機(jī)，不斷加大研究開發(fā)和國際交流的力度，爭取為全球DNS的安全性和穩(wěn)定性做出與我國互聯(lián)網(wǎng)規(guī)模和地位相適應(yīng)的貢獻(xiàn)。

[1] York, Kyle. Dyn Statement on 10/21/2016 DDoS Attack[EB/OL]. Dyn Blog. [2016-10-22].http://dyn.com/blog/dyn-statement-on-10212016-ddos-attack/.

[2] Woolf, Nicky. DDoS Attack that Disrupted Internet was Largest of its Kind in History, Experts Say[EB/OL]. The Guardian. [2016-10-28]. https://www.theguardian.com/ technology/2016/oct/26/ddos-attack-dynmirai-botnet.

[3] Kurbalija Jovan. An Introduction To Internet Governance [M]. Geneva, Switzerland: DiploFoundation, 2012.

張建川，公共事務(wù)總監(jiān)、高級研究員，主要研究方向為域名管理政策、ICANN改革以及互聯(lián)網(wǎng)治理。

王偉，副主任、總工，主要研究方向為域名系統(tǒng)協(xié)議、基礎(chǔ)架構(gòu)及多語種域名。

Massive Internet Outages in U.S. Highlight the Importance of High-Level Joint Coordination Mechanisms

ZHANG Jian-chuan, WANG Wei
（Internet Domain Name System Beijing Engineering Research Center, Beijing 100190）

As the logical infrastructure that ensures the secure and stable operation of the Internet, Domain Name System (DNS) has long been the target of various attacks due to its importance and vulnerability. Over the past few years, attacks on DNS have occurred frequently and the means have become increasingly diversified. The latest case was the IoT-based DDoS attack on Dyn’s domain name service, which resulted in massive Internet outages in the United States. To cope with the similar challenge effectively and prevent such massive website outages from happening in China, government should play a leading role in establishing high-level joint coordination mechanisms that cover all the relevant domain name service parties. More specifically, this article suggests the following corrective measures such as security awareness, institutional arrangement, service amelioration, and software and hardware research. In the long run, however, improvement on the DNS protocol serves as the most fundamental measure. The Chinese Internet community should make endless efforts to contribute in this regard.

DNS；domain name resolution； DDoS attack；Internet of Things (IoT)；joint coordination mechanisms

D99

A

1009-8054(2016)12-0050-08