CAC-CNNIC发布2013年-中国域名服务安全状况与态势分析报告-_31页_906kb

中国域名服务安全状况与态势分析报告（2013）

核心内容概览

本报告由中国互联网络信息中心（CNNIC）与国家域名安全联盟联合发布，旨在分析我国域名服务系统的安全状况与整体态势。报告涵盖了根域名服务系统、顶级域名服务系统、二级及以下权威域名服务系统以及递归域名服务系统的运行状态、协议支持、系统软件使用情况和安全评估。

主要观点

• 域名服务系统的重要性：域名服务系统是互联网的重要基础设施，支撑着网页浏览、电子邮件、文件传输等大多数互联网应用。
• 监测平台与方法：CNNIC基于国家域名安全监测平台，部署了46个全球监测节点（其中2个位于海外），对域名服务系统的运行状态和安全状况进行多角度的监测与评估。
• 系统软件与协议支持：大部分域名服务器采用Linux/Unix操作系统，BIND作为主流DNS解析软件广泛使用，但版本较低，存在安全隐患。DNSSEC、TCP、IPv6等协议支持度有所提升，但仍需进一步推广。
• 安全状态评估：权威域名服务器整体安全状况较去年有所改善，但仍有超过80%存在安全问题。递归域名服务器安全状态整体较好，但部分存在配置漏洞。
• 域名服务系统的安全改进方向：提升DNSSEC部署率、加强IPv6支持、优化递归服务配置、增强服务器冗余与性能，是未来域名服务安全发展的重点。

关键信息总结

1. 域名服务系统构成

域名服务体系由两大类别组成：

• 权威域名解析服务系统：包括根域名服务系统、顶级域名服务系统、二级及以下权威域名服务系统。
• 递归域名解析服务系统：面向终端用户，负责域名查询服务。

2. 根域名服务系统

• 截至2013年底，全球共有386个根服务器镜像节点，其中中国大陆拥有4个镜像节点（F、I、J、L根）。
• 所有根服务器均支持DNSSEC和TCP协议，数据加密算法为RSA/SHA-256。
• 仅有3个根服务器未支持IPv6。
• 查询时延较去年有所减少，F、I、J、L根在国内的部署显著提升了响应速度。

3. 顶级域名服务系统

• 截至2013年底，全球共有383个顶级域名（TLD），其中大部分为新通用顶级域名（New gTLD）。
• 系统软件以Linux/Unix为主，BIND使用率高达95.9%，但版本普遍较低。
• DNSSEC支持率提升至46.4%，但仍存在部分服务器采用传统NSEC机制，存在数据泄露风险。
• IPv6和TCP支持率分别提升至58.9%和92.1%。
• 递归服务开启比例降至0.5%，提升了抗攻击能力。

4. 二级及以下权威域名服务系统

• 二级及以下权威域名服务器普遍使用Linux/Unix系统，BIND使用率达91.45%。
• DNSSEC支持率极低，仅为0.26%，存在较大安全风险。
• IPv6和TCP支持率分别提升至14.6%和81.7%。
• 仍有16.8%的服务器开启了递归服务，存在DoS攻击风险。
• 查询时延有所改善，36.8%的服务器时延在0.1秒以内。

5. 递归域名服务系统

• 递归域名服务器以Linux/Unix系统为主，BIND使用率达96.36%，但版本普遍较低。
• DNSSEC支持率较低，仅为0.64%，TCP支持率低于全球平均水平。
• 大数据包支持率显著提升，从不足6%增至53.9%。
• 查询时延主要分布在300毫秒以内，整体解析性能良好。
• 端口随机性程度较低，存在缓存中毒攻击风险。

6. 安全评估

• 权威域名服务系统：安全状态分布显示，80%以上的服务器存在安全问题，但安全状态为优的比例有所提升（从0.3%升至4.17%）。
• 递归域名服务系统：整体安全状态较好，平均安全指标为0.72，但仍有部分服务器存在配置漏洞。
• 安全评估结果显示，递归域名服务器的安全状况优于权威域名服务器，这与评估标准和监测范围的差异有关。

我国域名基础设施安全态势分析

安全态势特点

1. 安全问题依然存在：除根域名服务系统外，其他各级域名服务系统在系统软件、协议支持和服务性能等方面仍存在安全隐患。
2. IPv6支持提升：域名系统对IPv6的支持程度进一步提高，有助于下一代互联网的过渡，但仍需加强IPv6资源记录和过渡环境的全面支持。
3. DNSSEC部署不足：虽然根区和顶级域名服务器已部署DNSSEC，但二级及以下权威域名服务器和递归服务器的部署率仍较低，未来需重点推进。
4. 新通用顶级域名安全风险：50多个新通用顶级域名已入根生效，其运营经验不足，安全管理工作将成为重点。

结论

我国域名基础设施整体安全状况较去年有所改善，但仍存在较大提升空间。未来应重点关注DNSSEC的全面部署、IPv6的支持、递归服务配置优化以及新通用顶级域名的安全管理，以进一步提升我国域名体系的安全保障能力。