探索中国CIO人才现状 | 第四季调研报告
不想“打破互联网”?你需要更安全的DNS
2016-01-27  来源:techtarget

“打破互联网”是2015年频繁出现的短语,它通常与名人裸照或病毒视频有关。很多人认为互联网是不会被打破的无限的资源,但Paul Mockapetris认为事实并非如此,他在上世纪80年代与Jon Postel发明了域名系统(DNS)。目前Mockapetris是互联网安全公司Threat STOP首席科学家,他现阶段的目标是引导NDS和IP寻址发展到下一阶段,其中强调更安全的DNS。

互联网是否容易受到灾难性攻击?网络攻击或DNS故障是否可破坏大部分互联网?

Paul Mockapetris:从理论上说,是这样。从历史上来看,也是如此。

与所有人类发明一样,互联网反反复复使用了关键技术和理念。如果其中一种技术出现故障或者存在可被利用的漏洞,那么,使用该特定技术的任何设备都可能出现故障或被控制。这个技术可能是一个协议—对完善协议的不完善部署,例如域名系统或边界网关协议(BGP),或者因为错误理解或懒惰,所有人都选择同一质数。

由于每台计算机设备都在用DNS,DNS故障理论上就是灾难性的故障。而BGP故障可能让所有路由器“崩溃”,或者阻止用户与服务通信或与其自身ISP(互联网服务提供商)之外的用户通信。但更可能发生的事情是,特定的部署成为问题,例如我们在Heartbleed事故中看到的:安全协议的特定部署让所有使用该协议的服务器面临风险。

这会给我们带来什么后果?在未来,由于漏洞或黑客攻击,我们可能会看到大部分互联网遭到破坏。

如果在“大玩家”之间爆发网络战争,我们会看到很多漏洞被同时利用,而互联网将会崩溃很长一段时间。

我们如何打造更安全的DNS和互联网?

Mockapetris:安全需要时间、金钱,还会带来不便利。我有三个建议:安全自动化、应用之间隔离以及法律责任。

人们会购买防火墙、路由器和电子邮件服务器,用来阻止可疑流量。但是,通常情况下,他们不会配置这些设备,或者只是偶尔手动配置它们。在这里,更好的方法是部署自动化服务来根据以下信息配置它们:可用的公共威胁信息、专有数据和用户的具体情况。向安全产品实时提供这些信息,不要蒙骗你的安全卫士。当然,你不一定需要自己构建这种自动化服务:很多供应商都提供这种安全即服务。

我们都知道,通过应用共享信息非常方便,但这通常并不安全。当然,我们很难让人们对便利性说不,不过,我还是会在受保护的虚拟机内运行我的网上银行应用。这就是说,我们可以提供这些保护机制,我们应该让那些想要更高安全性的人这样做。

供应商会优先考虑市场份额和功能开发,而不是安全性,这里必须有一个法律强制的平衡。

你曾说过,互联网需要通过结合身份验证与某种声誉系统来改进命名,我们正在朝着这个方向发展吗?

Mockapetris:这里的答案有两部分。

30多年前,DNS首次亮相,虽然它已经有所发展,但我认为还有很多发展空间。例如,我们可以实现瞬间创建新数据类型,通过在DNS本身描述它们。我们还可以提高根系统的可靠性,分发根数据的签名副本,而不是保护根服务器抵御日益增加的分布式拒绝服务(DDoS)攻击。我们可以添加访问控制来更好地保护敏感信息。正如DNSSEC提供的身份验证让我们可以使用DNS用于更敏感的应用,这些功能可带来新的DNS应用。

互联网安全是我们现在面临的重大挑战之一:IoT、云计算、大数据和云联合都带来挑战。由于DNS会接触每个计算设备并在近实时运行,它是收集和分发安全信息的理想载体。但新功能会让它更加强大。

IoT将如何影响DNS?

Mockapetris:到目前为止,DNS已经被用于在10亿设备注册,在未来这个数据可能会是1000亿或万亿。但规模并不是这里唯一的问题:IoT需要受控制的信息共享。

我可能会高兴地让别人查看我室外的温度计,但我可不想让所有人都能监控我的家用设备以及知道我是否在家。我喜欢采用RFID(射频识别)标签的产品概念,这样我总是能找到事物,但当我在商店购买新的东西时,我可能会想改写RFID标签,这样标签就只对我有用。

如果DNS是IoT的关键技术,那么,它还需要新的功能来让这种受控制的共享成为可能。它还需要适当的部署以供家庭使用;现在的DNS服务器主要是针对高级用户的需求。

我们有哪些方法来改进当前的技术以实现更安全的DNS?

Mockapetris:很多人在研究如何对付DDoS攻击。这非常重要,我认为需要考虑三个重要方面:

1. 为所有想要域名的人免费提供域名,这可能不是新的TLD(顶级域名),但可能是新的.FREETLD TLD下面的域名。

2. 自动化协调域名之间的数据,也许通过区块链技术,从而降低对人工干预的需要。

3. 允许创建新的RRTypes;例如特设数据类型,通过DNS本身内存储的规格。使用DNS问题部分多个条目创建更强大的查询。

所有这些功能必须解决实际问题。我认为我们面临的重要问题都需要受控制的共享,或对IoT或其他未来应用的真正访问控制。

你对所有新顶级域名有什么看法?喜欢?不喜欢?

Mockapetris:我喜欢试验,所以20年前我会在推向市场前尝试少量新的TLD,并且,现在的法律问题变得非常重要,而我们终于有了新的TLD,这是很棒的事情。

我不认为这会有任何长期的危害,但我确定现有软件和做法中存在很多漏洞需要解决。有人说我们已经让攻击者可很容易地获得域名或自己的TLD,但我们需要处理这种可能性。

这里是否有好处呢?现在有很多人想要TLD来识别自己是某个社区的一部分,无论是巴黎或柏林的居民、某个行业的成员或者其他身份。我们很容易低估这一愿望。

我认为还需要十年左右的时间,我们才可以清晰地分辨好和坏的新TLD,当然,这只是我个人的意见。