DNS的发展及其安全问题

DNS的发展及其安全问题DNS的发展及其安全问题《DNS的发展及其安全问题》 DNS(Domain Name System域名系统)在Internet的蓬勃发展中起了非同寻常的作用——现在上网，只需输入域名，就可登录你想去的网站，而不必像在网络初发展时，要键入xxx.xxx.xxx.xxx这样长串的IP地址。这种有自己的名字、人性化的IP网址让许多普通的人很容易就记住网站，从而接近了Internet。 DNS的发展可以追溯到1980年，那时Internet尚不普及。在当时的Internet上，主机的名称和它所对应的IP地址被放在一...

DNS的发展及其安全问题《DNS的发展及其安全问题》 DNS(Domain Name System域名系统)在Internet的蓬勃发展中起了非同寻常的作用——现在上网，只需输入域名，就可登录你想去的网站，而不必像在网络初发展时，要键入xxx.xxx.xxx.xxx这样长串的IP地址。这种有自己的名字、人性化的IP网址让许多普通的人很容易就记住网站，从而接近了Internet。 DNS的发展可以追溯到1980年，那时Internet尚不普及。在当时的Internet上，主机的名称和它所对应的IP地址被放在一个称为Hosts的文件中。随着Internet的发展，其所连结的主机数增加非常快，使得这种以Hosts文件为主的管理方式变得越来越难以维护。于是DNS的解决方案就在这时候被提出。当时首先对DNS 表示支持的就是美国国防部，后来，美国的一些在计算机领域较领先的学校和公司，如柏克莱大学、加州大学、数据电脑公司等都对DNS给予了支持。 DNS之所以立刻为大家所接受的原因，在于它是人性化的IP地址。DNS名称的前两位是由Network Solutions控制，第一位包含类似gov、com、edu这样的缩写，第二位包含的就是机构名称，例如whitehouse.gov、microsoft.com等。这种方式的使用，让人们可以容易地记住网址。然而，由于几乎所有的网络应用程序设计都具有时代的烙印，而在那时候的网络安全并不是一个非常重要的课题，因此，在设计DNS时自然也未将这个问题考虑进去。于是，现在便有一些黑客利用特殊程序进入DNS的资料库，找寻他们感兴趣的东西。现在每一个domain zone(域名区)的DNS server(域名服务器)几乎都有两个，其中一个通常是该zone(区域)的primary DNS server(主域名服务器)，其它的大多为secondary DNS server(从域名服务器)。一个secondary DNS server通常通过UDP包、利用端口53来向primary DNS server更新该区域的资料，这个过程称为“zone transfer(区域传送)”。在zone transfer中，TCP的连接是由primary DNS server负责建立的，有些黑客便利用这种zone transfer的方式，从SOA(Start of Authority)取得各种机密资料。因此，一些比较机灵的管理员会将zone transfer设定在secondary DNS server上，这样外来者就不容易取得primary DNS server的资料了。保护主机的另一个方法，就是将你的主机名以不规则名称命名或是用乱数命名。例如你可以将你的Hp UNIX server命名为th25231，这样即使黑客取得了zone资料，也不知道哪一个主机才是值得攻击的。但是管理员必须要有一本账来记住哪一个主机用哪一个主机名，大多数企业都不愿意这样做——因为这种作法会增加管理的困难，假如有一天网络管理员离职了，新任管理员必然对这些主机感到非常头痛。现在一些比较新版的应用程序可以杜绝黑客利用zone transfer来读取区域主机的资料，例如BIND 8.1.2(for Unix)就可以对一些zone的列表存取设下限制。不过如果你有防火墙的话，就可以利用防火墙对DNS做更多补充措施，例如保护内部网络比较重要的主机不随便被外界存取，甚至不允许外界直接存取，并把一些比较重要的内部网络地址隐藏起来。但是要这样做之前，你必须要先确认一下该防火墙是否支持NAT(Network Address Translation)的功能。如果你的防火墙是包过滤且不支援NAT的话，那这种防火墙将无法保护你的DNS讯息——因为它采取TCP的连接方式，所以当你和Internet上任一部其它主机连线时，你的DNS讯息就可以被任一个系统读取。并不是每一个防火墙供应商都能好好地处理有关DNS方面的问题，甚至有些防火墙还未把DNS的安全问题考虑进去，因此在选购防火墙时要特别注意这一点。一般说来，53端口是给DNS使用的，但如果你的系统不用作DNS service，那你可以将此端口转给其它服务器使调用，这就成为了黑客攻击的途径之一——对那些没有考虑DNS安全的防火墙来说，53端口就相当于防火墙的后门。某些防火墙就允许各种包自由通过此端口。而要预防53端口成为黑客进入的通道有两个简单的方法:其一是阻断此端口，改由其它受保护的端口进行服务，二是设下存取DNS的条件。有一种被称为“port scanner(端口扫描)”的黑客入侵方式，就是利用未被保护的端口来进行攻击。一些早期的DNS服务器对一些DNS的回应是来者不拒。它们将这些讯息存放在缓存(cache)中，换句话说，如果黑客传送的DNS回应是假的，那么这些服务器依旧会将这些讯息存到缓存中，而当有客户对这类假讯息提出某些要求时，黑客就可以知道该DNS服务器缓存中的一些资料了。比较早期的Windows NT系统、Unix或是Linux系统都发生过这种情况。因此，要保护DNS的方法最基本的还是得从认证与存取授权方面着手，并对DNS用来通讯的53端口进行监督或是限制存取，这样才能确保你的网络主机资料不会外泄。(许忠英)

                    本文档为【DNS的发展及其安全问题】，请使用软件OFFICE或WPS软件打开。作品中的文字与图均可以修改和编辑，
                    图片更改请在作品中右键图片并更换，文字修改请直接点击文字进行修改，也可以新增和删除文档中的内容。 
 该文档来自用户分享，如有侵权行为请发邮件ishare@vip.sina.com联系网站客服，我们会及时删除。

                    [版权声明] 本站所有资料为用户分享产生，若发现您的权利被侵害，请联系客服邮件isharekefu@iask.cn，我们尽快处理。

                    本作品所展示的图片、画像、字体、音乐的版权可能需版权方额外授权，请谨慎使用。

                    网站提供的党政主题相关内容(国旗、国徽、党徽..)目的在于配合国家政策宣传，仅限个人学习分享使用，禁止用于任何广告和商用目的。
                

下载需要：免费已有0 人下载

立即下载

DNS的发展及其安全问题

你可能还喜欢