DNS掃盲系列之七:關(guān)注域名安全
網(wǎng)絡(luò )安全不應該只停留在口頭上，事實(shí)證明網(wǎng)絡(luò )安全隱患遍布互聯(lián)網(wǎng)。近期Twitter與Baidu出現的問(wèn)題如出一轍。以下多出自本人見(jiàn)解未必全面，僅供探討。
縱觀(guān)網(wǎng)絡(luò )安全大體分為這么幾個(gè)層面：
1.互聯(lián)網(wǎng)線(xiàn)路的安全隱患，如數據包中途探嗅與篡改、骨干路由器被入侵等，這個(gè)層面是網(wǎng)絡(luò )運營(yíng)商的問(wèn)題，我們作為互聯(lián)網(wǎng)用戶(hù)是無(wú)力涉及的。
www.2cto.com
2.服務(wù)器安全隱患，包括操作系統、運行的軟件及服務(wù)器自身的物理安全問(wèn)題等。提升服務(wù)器安全總的原則是“一多一少”，一多是做個(gè)勤快的管理員，多多關(guān)注軟件的BUG公布并及時(shí)升級軟件。一少是盡量少的運行非必要的程序，盡量少的向互聯(lián)網(wǎng)開(kāi)放網(wǎng)絡(luò )端口。舉個(gè)簡(jiǎn)單的例子，互聯(lián)網(wǎng)上很大部分的服務(wù)器都向外開(kāi)放SQL數據庫的監聽(tīng)端口，真不知道管理員是怎么想的。
3.一度被人遺忘的角落就是域名的安全，究其原因主要是很少人真正認識域名與DNS體系，缺乏相關(guān)的技術(shù)支持。
本文將就上面提到的“3”即域名安全問(wèn)題展開(kāi)。
首先了解一下域名體系現存的安全隱患。主要有如下3個(gè)方面：
1.域名管理平臺的安全問(wèn)題，有能力出售域名的商家多如牛毛，但有能力管理好域名的就很少。我們知道通常情況下域名提供商對其出售的域名提供權威DNS來(lái)解析域名，并且提供域名管理平臺（WEB管理平臺）。域名管理平臺主要功能首先是登錄驗證并添加/修改域名的NS、A、CNAME、MX、TXT等記錄。一旦這個(gè)域名管理平臺發(fā)生問(wèn)題，后果不言而喻。Twitter與Baidu出現的問(wèn)題就是通過(guò)域名管理平臺篡改了域名的NS記錄導致的?，F實(shí)中域名所有者安全意識淡薄往往設置非常簡(jiǎn)單的登錄管理密碼，或表現為從來(lái)不更新密碼，這都是危險的信號。
2.網(wǎng)絡(luò )運營(yíng)商的惡意攔截域名解析，這個(gè)現象多出現在國內。具體表現為地方性域名解析異常。其做法一般是運營(yíng)商在所屬的公用DNS上硬性綁定域名解析到特定IP地址上。深層次原因無(wú)非是利益驅動(dòng)。
3.病毒、木馬等滋事?lián)v亂，這個(gè)只發(fā)生在受侵害的計算機上，具體表現為本機DNS地址被篡改為一個(gè)惡意DNS上，導致解析異常。
www.2cto.com
解決之道：
1.針對域名管理平臺的安全問(wèn)題，普通大眾（窮人）由于受各種條件限制能做的不多：首先選擇比較好的域名提供商并樹(shù)立起域名安全意識。對大型網(wǎng)站能做的就比較多（主要是有錢(qián)啊，如google、baidu等）：首先是直接向域名機構購買(mǎi)域名（跳過(guò)域名提供商），用自己的域名管理平臺管理域名（當然這個(gè)后臺是不對外的，用的時(shí)候開(kāi)機，平時(shí)在保險柜），這就從根本上遏制了“
黑客”的滋擾。
2.對于網(wǎng)絡(luò )運營(yíng)商的惡意攔截域名解析，受害者通常是無(wú)權無(wú)錢(qián)的。能做的只能是向其上級部門(mén)申訴，祈禱上帝幫忙了。
3.針對病毒、木馬等滋事?lián)v亂，涉及面較小，沒(méi)啥可說(shuō)的，殺之而后快。
本站僅提供存儲服務(wù)，所有內容均由用戶(hù)發(fā)布，如發(fā)現有害或侵權內容，請
點(diǎn)擊舉報。
