第一章域名服务体系说明.doc

中国域名服务及安全现状报告 北龙中网 CNNIC联合推出 （2010年8月） 目 录 报告摘要 3 第一章 域名服务体系说明 4 第二章 域名服务体系监测结果 6 一、根域名服务系统 6 二、顶级域服务系统 6 （一）总体情况 6 （二）软件版本类型 7 三、二级及以下权威域名服务系统 8 （一）地域分布 8 （二）所属运营商 8 （三）软件版本类型 9 （四）协议支持程度 10 四、递归域名服务系统 11 （一）地域分布 11 （二）所属运营商 12 （三）软件版本类型 12 （四）协议支持程度 14 （五）递归域名服务器端口随机性 15 第三章 国内重点权威域名安全抽样 16 第四章 DNSSec及全球实施状况 18 第五章 域名服务风险分析和安全建议 21 附录1术语定义 24 附录2全球技术动态及安全事件 25 报告摘要 截至2010年8月10日，监测到世界范围内域名服务器总量为16,306,432个，其中权威域名服务器2,903,550个，递归域名服务器13,402,882个。活跃域名服务器数量为1,375,219个，其中权威域名服务器619,797个，递归域名服务器755,422个。 截至2010年8月10日，监测到国内的域名服务器总量为978,713个，其中权威域名服务器107,540 个，递归域名服务器871,173 个。国内活跃域名服务器数量为67,235个，其中权威域名服务器19,281个，递归域名服务器47,954个。 国内的域名服务器大多分布在广东、北京、中国台湾、上海等互联网发达的地区。其中排名前10的地区域名服务器总量占全国域名服务器总量的90%以上。 对国内的所有权威服务器进行扫描，统计发现，62%以上使用Unix/Linux系统，95%以上使用ISC BIND软件。国内的权威域名服务器中53%开启了递归查询功能，远大于全球范围内31%的比率，存在一定的安全隐患。 对国内的所有递归域名服务系统进行全面扫描，统计发现，55%以上使用了Unix/Linux系统，94%以上使用ISC BIND软件。 统计发现，国内超过4%的递归域名服务器端口随机性较差，容易遭受DNS劫持攻击，远高于全球范围0.98%的平均水平。 对国内重要信息系统所涉域名抽样统计发现， 57%的域名解析服务处于有风险的状态，其中11.8%的域名因配置管理不当，处于较高风险状态。 域名服务体系说明 域名（Domain Name）是由一串用点分隔的字符组成的互联网名称，是用于识别和定位互联网上计算机的层次结构式字符标识，类似于互联网上的门牌号码。 域名系统（DNS）是逐级授权的分布式数据查询系统，主要用于完成域名到IP地址的翻译转换功能。绝大多数互联网应用都基于域名系统开展，绝大多数互联网通信都必须先通过域名系统完成域名到IP地址的寻址转换。 图1 域名系统的位置角色 域名服务体系包括提供域名服务的所有域名系统，它包括两大部分、四个环节：即递归域名服务系统，以及由根域名服务系统、顶级域名服务系统、和其他各级域名服务系统组成的权威域名解析服务体系。 图2 域名服务体系的构成示意 域名服务体系中，根域名服务系统由ICANN授权的是十三家全球专业域名管理机构提供运营支持，顶级域名服务系统由ICANN签约的商业机构、或各国政府授权的科研管理机构负责运行维护，因此这两个环节的稳定运行有所保障。 而大量的二级及二级以下权威域名服务器分散在域名持有者手中，由政府、企事业单位、商业网站、终端网民自我运行或托管在第三方；递归域名服务器一般由各网络接入机构提供。这两个环节是数量众多、而安全状况相对薄弱的两个环节，根据监测和统计，两个环节的活跃的服务器619,797台套和755,422台套，相对安全的服务器比例不足半数。其主要原因在于这两个环节的服务器众多、管理分散、规模有限，维护人员的技术水平也参差不齐，缺乏综合专业的安全服务能力。  域名服务体系监测结果 一、根域名服务系统 根服务器的分布情况对互联网的访问性能有很大的影响。截至目前，全球域名系统13个根服务器在全球的镜像服务器数量共206个。根服务器及其镜像在欧洲有72个、美国51个、亚洲45个，中国大陆有F根、I根和J根的镜像服务器。 表 1 根域名服务器及其镜像的基本状况 根服务器 运营者 镜像个数 IP地址 AS号 平均访问时间（毫秒） A VeriSign, Inc. 6 IPv4: IPv6:2001:503:BA3E::2:30 19836 285 B Information Sciences Institute 1 IPv4: 01 IPv6: 2001:478:65::53 4 212 C Cogent Communications 6 I