DNS为互联网应用提供名字解析服务,是互联网的重要基础服务设施.近年发生的互联网安全事件表明DNS正面临严峻的安全威胁.DNS的安全脆弱性主要包括:协议设计脆弱性、技术实现脆弱性和体系结构脆弱性.针对上述脆弱性,对DNS协议设计、系统实现、检测监控和去中心化等方面的最新研究成果进行了归纳和总结,并且对未来可能的热点研究方向进行了展望.
As a vital infrastructure of the Internet, DNS provides name resolution services for Internet applications. Major Internet incidents in recent years indicate that DNS is facing serious security threats. The vulnerability of DNS can be divided into three categories:protocol design vulnerability, technology implementation vulnerability, and architecture vulnerability. In view of the above vulnerabilities, the latest research achievements on DNS security enhancement are summarized which include protocol design, system implementation, DNS monitoring and DNS decentralization. Some possible future research hotspots and challenges are also discussed.
域名系统(domain name system, 简称DNS)作为互联网的重要基础设施, 其主要功能是提供域名解析服务.随着互联网的发展, DNS也被赋予了其他的应用功能, 如DKMI(domain keys identified mail)标准[
目前实际使用的DNS协议主要遵循RFC 1034和RFC 1035规范, 为了弥补DNS协议缺乏信息校验的不足, RFC 4034引入了基于PKI技术的DNSSEC增强方案.然而, DNS系统的安全威胁并未因此减弱.近年来的各种DNS安全事件[
针对DNS的各种安全威胁, 截止至2017年12月, 有关DNS的RFC文档多达256篇[
本文第1节介绍DNS的安全现状.第2节对DNS的威胁进行分类, 总结归纳DNS系统脆弱性的根本原因.第3节针对DNS系统脆弱性, 列举各种安全增强方案, 并进行比较分析.第4节对DNS安全研究工作提出热点和展望.最后给出简要总结.
随着网络技术的不断发展, 攻击DNS的技术也变得更加丰富, 手段更加复杂.美国Coleman Parkes公司调查了来自北美、亚太、欧洲共1 000个组织的DNS系统安全状况后发现[
攻击DNS有利可图, 商业利益驱动促使攻击行为加剧.有攻击者通过攻击DNS服务器, 造成企业服务中断, 损坏企业信誉, 造成用户流失.如2016年10月在Dyn域名服务供应商受到大规模DDoS攻击之后, Dyn公司失去了8%的域名客户.DNS攻击还会造成关键数据泄露和经济损失.根据EfficientIP的调查报告, 在调查的1 000个公司和组织中, 有三分之一的公司因DNS攻击数据被盗, 这些数据中16%是用户敏感信息, 15%是知识产权信息.此外, DNS攻击每年会给受害公司造成200万美元的经济损失.
DNS攻击技术越来越丰富, 但是与之应对的检测技术则比较匮乏.据Cisco的研究报告[
DNS主要由3部分组成, 分别是:(1)域名空间(domain name space)和资源记录(resource record), 包括树形结构的命名空间和与名称相关联的数据; (2)名字服务器(name server), 包含域树结构信息和设置信息的服务器程序; (3)解析器(resolver), 响应请求并从名称服务器获取查询结果.DNS通常提供两种域名解析方式, 分别是:递归式查询和迭代式查询.在通常情况下, 应用系统主机向本地域名服务器请求域名解析时, 采用递归查询.在递归查询模式下, 本地域名服务器直接向应用系统主机返回域名解析结果.当地域名服务器需要向根域名服务器请求域名解析服务时, 采用迭代查询.在迭代查询模式下, 本地域名服务器需要与多台域名服务器交互, 直至返回域名解析结果.DNS的基本结构和工作原理如
DNS体系结构
DNS architecture
为了分析DNS不同服务器层级和协议的安全问题, 本文对CVE漏洞信息库623条DNS相关漏洞进行对比分类, 针对不同类型的DNS系统漏洞对攻击目标及攻击后果进行总结归纳, 统计结果见
CVE中DNS漏洞统计
Statistics of DNS vulnerabilities in CVE
DNS系统漏洞 | 攻击目标 | 攻击后果 |
资源消耗 | DNS服务器 | 拒绝服务 |
伪造DNS服务器流量 | 解析器 | 拒绝服务, 信息泄露 |
报文处理能力缺失 | 服务器, 解析器 | 拒绝服务 |
DNS流量放大攻击 | 解析器 | 拒绝服务 |
DNSSEC秘钥生成协议漏洞 | DNS协议 | 获得特权 |
异常报文导致缓冲区溢出 | 解析器, 协议 | 获得特权 |
DNS记录恶意更新 | 名称服务器 | 获得特权 |
绕过访问控制路径 | 服务器, 解析器 | 获得特权 |
系统配置错误 | 服务器, 解析器 | 拒绝服务, 信息泄露 |
缓存投毒 | 服务器, 协议 | 劫持, 获得特权 |
基于DNS漏洞和相关文献资料[
DNS协议在设计之初没有充分考虑网络安全问题, 采用UDP协议传输信息, 在消息传输的过程中, 数据未经过加密处理, 资源记录也不进行签名等防伪造保护.因此DNS协议很容易遭受缓存投毒、数据窃听、数据篡改等恶意攻击.
对DNS记录缓冲区投毒是非常普遍的攻击方式[
DNS协议还存在隐私泄露问题[
利用DNS漏洞的攻击手段还有很多[
DNS系统的脆弱性源于DNS系统的实现、构成和管理方式.互联网中大量开放式DNS服务器没有遵守最佳配置原则, 也没有进行必要的安全验证, 域名解析存在严重的安全隐患.DNS服务软件也存在大量的漏洞, 利用DNS服务软件的零日漏洞发起的攻击已是攻击DNS的重要手段.
大量的开放式第三方DNS服务器管理不规范是DNS系统脆弱性的原因之一.DNS系统经过多年的发展, 系统越来越复杂, 服务器数目也越来越庞大, 其中包含了许多开放的DNS服务器.除了熟知的Google DNS和Public DNS等开放式DNS服务器外, 仍有大量的由非政府组织和个人等第三方机构架设的开放式DNS服务器.但是这些开放式DNS服务器存在严重的安全隐患.在域名解析的过程中, 可能会涉及不同层级、地域的域名服务器和解析器, 但在数据传输的过程中没有建立安全链接, 数据的真实性和完整性也得不到保障.用户的个人信息和浏览记录会泄露给这些开放式DNS服务器提供商.
DNS系统没有遵守最佳配置原则, 导致系统存在安全隐患.目前网络上开放式解析器的数目为10×106~32×106个[
DNS实现软件存在漏洞也是系统脆弱性的主要原因.互联网系统协会(Internet Systems Consortium, 简称ISC)调查了DNS服务器分布情况[
域名服务器分布情况
Domain server software distribution
服务器软件 | 数目 | 比例(%) |
BIND | 85 615 | 80.83 |
Microsoft | 15 601 | 14.73 |
TinyDNS | 2 500 | 2.36 |
simple DNS | 797 | 0.75 |
MyDNS | 641 | 0.61 |
DNS体系结构的脆弱性在于DNS根服务器存在单点失效的缺陷, DNS根服务器的分布也存在严重的失衡, 域名检索和控制过于中心化.
DNS系统虽然采用分层结构设计, 但其核心还是由根服务器管理整个DNS系统.根服务器负责维护顶级域名(top level domain, 简称TLD)的位置信息, 所有缓存在没有命中的情况下也都是从根服务器开始查询.目前全球共有13台根服务器, 这13台根服务器中有10台位于美国、2台位于英国和瑞典、1台位于日本.随着互联网的发展, 各国都有在本国设立根服务器的期望, 以此加强互联网核心基础设施的参与度, 并加强本地DNS服务器性能.2015年6月23日, 基于全新技术架构的全球下一代互联网(IPv6)根服务器测试和运营实验项目——“雪人计划”[
根服务器作为整个DNS系统的核心, 如果发生单点故障, 整个系统将不能正常运行, 整个互联网也会受到严重影响.美国东部时间2002年10月21日, 13台根服务器受到有史以来最严重规模也是最大的DDoS攻击, 超过常规30~40倍的数据量攻击使其中的9台根服务器瘫痪.2007年2月6日, DNS根服务器再次受到DDoS攻击, 攻击持续近8小时, 攻击源遍布全球.2012年2月, 著名的黑客组织Anonymous宣布将会对全球13个根服务器进行DDoS攻击, 通过让根服务器过载而使全球网络瘫痪.
在域名检索过程中, 本地DNS服务器没有缓存记录的域名信息都需要访问根服务器, 以此获得下一步域名服务器的请求地址.域名验证过程中, 部署DNSSEC协议的根服务器作为信任锚, 存储顶级名称服务器的秘钥和签名记录, 为域名验证提供最终的权威认证.根服务器控制域名的解析和验证控制过于集中, 这是DNS体系结构脆弱性的根本原因.
综合各类DNS安全威胁,
DNS安全威胁和攻击实例
DNS security threats and attack instances
安全威胁 | 攻击方式 | 形成原因/攻击实例 |
协议脆弱性 | 域名欺骗 | 2014年1月大陆境内顶级域名被重定向到美国IP地址65.49.2.178 |
拒绝服务 | 2016年10月DNS服务商受到大规模DDoS攻击 | |
系统实现脆弱性 | 开放式服务器缺陷 | 开放式DNS服务器设计缺陷, 配置错误 |
软件漏洞 | 2016年9月BIND漏洞使部分BIND服务器瘫痪 | |
Windows DNS客户端存在缓存区溢出漏洞, 缓存中毒 | ||
体系结构脆弱性 | 单点失效 | 2007年2月DNS根服务器遭受大规模DDoS攻击 |
针对DNS安全威胁的根本原因, 本节对近年来在协议、系统、检测监控、体系结构方面的增强方案进行了总结和分析.
为了解决DNS系统在数据传输过程中真实性和完整性保护问题, IETF(the Internet Engineering Task Force)提出了DNS安全增强方案DNSSEC[
虽然DNSSEC在理论上能够很好地解决虚假域名信息的问题, 但在其实际的部署过程中却没有达到很好的效果.虽然有89%的顶级域名部署了DNSSEC, 但是二级域名的部署率仅为3%, .com域名部署率只有0.5%[
在部署了DNSSEC的客户端中, 仍有许多客户端出现解析故障.有研究机构对50多万个客户端使用DNSSEC名字解析情况进行了大规模测量, 测量结果发现, 仅小部分的用户受到DNSSEC验证保护, DNSSEC部署会导致端到端解析失败, 平均每10台部署DNSSEC的客户端中, 有大约1台客户端无法访问域名[
DNSSEC使用公钥密码体系, 在加密过程中也会引入额外的开销.由于DNSSEC消息加密开销, 大量的DNS请求导致服务器频繁计算签名, 增加了服务器响应时间, 大量的包含数字签名的报文也会占据带宽资源[
为DNS系统提供链路层安全保护, DNSCurve[
当前DNS协议使用UDP协议传输数据, 信息没有进行真实性和完整性验证, 因此对DNS传输协议进行增强是提高DNS安全性的一种手段.T-DNS[
多个DNS服务器协同工作, 可以在单个服务器解析失败时请求其他服务器, 提高系统的健壮性和可用性.多个DNS服务器的查询结果进行协商, 也会提高域名解析的真实性.
多个DNS服务器协同工作, 来完成域名解析过程, 是提高系统健壮性和可靠性的一种途径.CoDNS[
将多个DNS服务器软件查询结果进行对比, 以降低DNS软件缺陷或漏洞对查询结果准确性的影响. DR-DNS系统[
当前DNS协议并未对传输的信息进行加密和签名, 域名查询结果的真实性和隐私性得不到保障, 存在查询结果被篡改和隐私泄露的风险[
为了阻止对顶级域名服务器的恶意攻击, OnionDNS[
为了解决第三方DNS解析器造成的隐私泄露问题, 在传统的DNS解析器和DNS服务器中引入一个附加的服务器, 起到隐私保护的效果.作为一种传统DNS的替代方案, EncDNS[
随着互联网的发展, 技术在不断进步, 攻击手段也在不断变化, 仅仅依靠协议的增强和系统的改变不一定能够抵御所有的攻击.因此, 在现有系统的基础上, 进行有效的监控诊断, 保护DNS系统的正常运行, 也是一种重要的安全增强保障.对DNS系统进行诊断监控不需要改变现有DNS实现方式, 具有良好的渐进部署能力, 同时能够有效监测各种攻击.检测监控的核心思想是对DNS的查询流量进行分析和检测, 构造检测系统并运用如机器学习、信息熵等技术对检测结果进行学习和分类, 提高检测精度.本节根据检测流量的层级不同分为监测DNS用户端与递归服务器间流量以及检测DNS服务器间流量.
BotGAD[
Seguio[
此外, 监测下层DNS流量还可以用来检测利用DNS流量控制的僵尸网络和DNS隧道.对DNS流量特征利用聚类算法分类, 处于僵尸网络中的节点, 在同一类中彼此相似, 但与其他类中的节点有着明显的区别, 通过这种方式检测僵尸网络的存在[
根据从多个递归服务器上收集DNS的历史信息, Notos[
与Notos相比, EXPOSURE[
通过监控高层DNS流量来获得DNS域的全局视图, 以此来检测恶意域名, 基于这种思路的研究成果有Kopis[
为了检测ISP主干网中威胁用户安全的僵尸网络、钓鱼网站以及垃圾邮件等恶意活动, DAOS[
DNS根服务器作为DNS系统的核心, 负责DNS主目录的维护和管理, 这种方式存在单点故障、易受攻击等缺陷.为了解决DNS中心化问题, 有学者提出设计去中心化的DNS系统.DNS系统去中心后, 每个服务器节点都是平等的, 单点故障和DoS攻击造成的影响将会降低.DNS的解析过程不再受限于根服务器, 不会因为管理等因素对域名进行封锁, 也解决了根服务器部署数量有限的问题.
随着P2P网络结构的出现, 利用P2P网络的容错性和负载均衡等特点, 有学者提出了基于P2P网络的域名解析服务.采用P2P结构的域名系统, 节点间相互平等, 不会发生传统DNS服务器单点失败的中心化问题.
建立全分布式DNS的一种方案是用分布式哈希表[
为了提高基于分布式哈希表域名系统的检索效率, 基于Beehive[
基于P2P的DNS系统易受网络环境影响, 当网络波动时查询效率会降低.为了解决传统DNS的结构问题和基于P2P网络的效率问题, HDNS[
● 最坏情况下的查询延迟则不能接受:P2P网络由于底层实现的不同有不同的处理延迟, 但是最坏情况下的查询延迟则不能接受, 如一条查询请求可能会在多个高延迟的网络上进行多次传播才被处理, 解析效率明显降低.
● 节点信息更新导致状态不一致:P2P网络允许任何节点修改数据.当一个节点修改完数据没有进行广播时就断开连接, 将导致网络节点状态不一致, 有些节点存储的还是过期的域名信息.
● 数据伪造:P2P网络没有数据写入速率限制和接入控制机制, 攻击者可以向整个P2P网络泛洪大量的垃圾数据, 也可以伪造一些虚假的域名信息传播到整个网络.
区块链是分布式数据存储、点对点传输、共识机制、加密算法等技术的新型应用模式.利用区块链去中心化、不可篡改、可追溯、高可信和多方维护的特点[
Namecoin[
Namecoin底层由Bitcoin系统实现, 只是将存储信息由交易数据替换为名称-数值映射信息, 在扩展上存在局限性.为了解决Namecoin的扩展性问题, Blockstack[
● 与传统的DNS系统不兼容, 客户端浏览器必须安装插件才能访问域名系统, 因此基于区块链的域名系统很难大范围部署.
● Namecoin和Blockstack的底层实现都是Bitcoin.由于Bitcoin采用“one-CPU-one-vote”机制.如果某组织控制了整个系统51%的算力, 即51%攻击, 将会对系统造成严重的安全隐患.虽然51%攻击是理论上的存在, 但是如果拥有25%的算力就可以威胁系统安全[
● 由于区块链存储所有历史信息, 整个系统会变得越来越庞大, 移动设备或个人电脑很难有足够的硬盘空间存下所有的记录信息.虽然有学者提出SNV(simple name verification)协议[
DNS系统的中心化解析蕴含着权利滥用的风险, 即一个顶级域可能被删除, 导致整个顶级域名下的子域名无法解析.为了解决DNS根服务器中心化问题, 应从结构和解析机制两方面进行改进.
在根服务器结构方面, 主要采用以下技术将根服务器去中心化[
在解析机制方面, 采用域名对等扩散[
将根服务器权利弱化为多个子节点, DDNS系统[
DNS的安全形势严峻, 为了应对各种DNS安全威胁, 本节从协议增强、系统增强、检测监控、去中心化的域名系统4个方面对当前DNS安全方案进行了总结.为了更加直观地分析并对比各种增强方案的优点和局限性, 进行了比较分析.
DNS安全增强方案分析和比较
Comparison of various DNS enhancement schemes
增强方案 | 内容 | 对比 | |||||
协议兼容 | 与传统DNS兼容 | 隐私性 | 抗DoS攻击 | 抗缓存投毒 | 延迟低 | ||
协议增强 | DNSSEC | √ | √ | × | × | √ | × |
DNSCurve | √ | √ | √ | Part | √ | × | |
系统增强 | T-DNS | × | × | √ | × | √ | × |
EncDNS | × | √ | √ | × | √ | × | |
CoDNS | √ | √ | × | √ | Part | √ | |
CofiDNS | √ | √ | × | × | Part | √ | |
DR-DNS | √ | √ | × | × | × | × | |
P2P结构 | DDNS | × | × | × | √ | √ | × |
CoDoDNS | √ | √ | × | √ | √ | √ | |
P-DONAS | √ | √ | × | √ | √ | × | |
区块链结构 | Namecoin | √ | × | √ | √ | √ | × |
Blockstack | √ | × | √ | √ | √ | × | |
ENS | √ | × | √ | √ | √ | × | |
peername | √ | × | √ | √ | √ | × | |
EMCDNS | √ | × | √ | √ | √ | × |
针对DNS的各种安全问题, 虽然涌现了大量的解决办法, 但是近年来的各种攻击事件表明, DNS安全问题仍然十分严峻.通过分析发现, 现有的研究成果仍存在不足, 未来的研究工作可以更多地关注以下几个方面.
DNS系统之所以受到各种攻击, 与DNS树形结构、根服务器管理整个系统有重要关系.这种体系架构存在单点失效问题, 而历史上有多次攻击根服务器的案例, 致使整个DNS服务瘫痪.因此, 设计一种去中心化的DNS系统是一项具有重要意义的研究课题[
(1) 基于区块链技术.区块链技术的出现为去中心化设计提供技术和框架, 利用区块链技术设计去中心化DNS系统也是一个新的研究思路.目前, 该方式面临的主要挑战包括:
● 高效的P2P网络设计, P2P网络面临的问题包括容易受到网络波动的影响, 在网络波动剧烈的环境下, 查询效率将会大大降低; 数据伪造和缺乏接入控制使一些虚假信息传播到P2P网络[
● 高效的共识算法设计.目前主要的共识算法包括基于工作量证明、权益证明的方式, 但是这些共识算法共识效率低, 共识过程中会出现分叉, 并不适合DNS数据的实时更新和维护, 共识算法的设计需要结合DNS的应用场景设计, 共识效率高、共识过程保证中保证强一致性, 保证每个节点存储数据一致.
(2) 基于根服务器联盟的方式.这种方案的主要研究思路是不同国家或不同的顶级服务器通过联盟的方式, 降低根服务器中心化控制.这种方式面临的挑战包括国家根联盟体系结构设计、根联盟系统的控制、根联盟与主根服务器的同步问题.
虽然开放式服务器提供了各种便利, 如可以应答外部资源的DNS请求, 但是这些开放系统给网络的安全性和稳定性带来了极大的隐患.一些开放的服务器容易被攻击者控制, 实施放大攻击、投毒攻击等恶意行为.据调查发现, 在3 200万个开放式解析器中有2 800万存在严重的安全隐患.开放式会给攻击者进行DoS/DDoS、缓冲投毒、DNS ID劫持等攻击带来便利.现有的研究中很少有对这些开放式系统进行规范和研究, 如何识别和监控这些恶意的开放式服务器, 也是一个重要的研究课题.目前面临的主要挑战包括:
(1) 现有的大多数检测系统检测对象单一, 在实际应用中不能为检测某种恶意行为就配置一种检测系统, 因此有必要构建一种综合的检测系统, 能够有效地监测各种安全威胁.
(2) 当前无论是基于机器学习、信息熵, 还是统计分析等理论方法, 都难以抵御特殊类型的攻击, 如利用软件的零日漏洞发起的攻击.现有的检测系统检测效率还有待提高, 对于像DNS隧道、隐私泄露等检测并不能在信息泄露时得到及时发现, 因此新的检测系统也要满足及时性要求.
由于DNS系统的广泛应用, 有学者虽然提出了改进方案, 但与现有的DNS系统仍不够兼容, 也很难被大范围部署.DNSSEC虽然在1997年就已被提出, 但是目前仍未广泛部署, 截至2016年12月, 虽然DNSSEC在顶级域的部署率达到了89%, 但在二级域的部署率仅为3%[
互联网基础设施正迅速向私有/公共云混合模型转变.云服务正被广泛使用, 有93%的组织使用软件、基础设施或平台作为服务对象.虽然云服务带来了很大的便利, 但是仍有42%的组织受到了直接来自DNS的云应用宕机攻击, 这种攻击对象包括共有云和私有云.在云环境下, DNS安全面临以下问题.
(1) 云环境下的DNS安全检测.目前DNS检测主要针对ISP下DNS服务器之间的流量, 对于云环境中的DNS服务器的检测研究成果较少, 但是近年来, 云环境下的DNS安全十分严峻, 因此, 如何设计和检测云服务下DNS安全问题是一个可探索的方向.
(2) 云环境下基于DNS的隐私泄露检测.云环境用户隐私数据泄露十分严重[
DNS作为互联网重要的基础设施, 从早期的DNS协议安全增强, 到现在的体系结构改进, 其安全防护问题一直是学术界和工业界所关心的问题.本文对DNS安全防护技术进行了全面的分析和总结, 同时对未来可能的研究热点进行了介绍, 为进一步研究提供参考.
感谢本文的匿名评阅专家对文章内容、分类方法的完善提出的许多建设性意见和建议, 同时对《软件学报》编辑老师的工作一并表示感谢
Hansen T, Hallambaker P. DomainKeys identified mail (DKIM) service overview. Baker, 2009.
Tom L. Improving performance on the Internet. Communications of the ACM, 2009, 52(2):44–51.
Levine J. DNS blacklists and whitelists. IETF RFC 5782, 2010.
Almeida VAF, Doneda D, Abreu JDS. Cyberwarfare and digital governance. IEEE Internet Computing, 2017, 21(2):68–71.
https://www.computerworld.com/article/2484097/internet/major-ddos-attacks--cn-domain]]>
https://blog.radware.com/security/2015/12/turkey-dns-servers-under-attack/]]>
Bortzmeyer S. DNS privacy considerations. RFC 7626, 2015.
https://www.anomali.com/blog/three-month-frameworkpos-malware-campaign-nabs-43000-credits-cards-from-poi]]>
https://www.rfc-editor.org/search/rfc_search_detail.php?title=DNS&pubstatus%5B%5D=Any&pub_date_type=any]]>
http://www.efficientip.com/resources/white-paper-dns-security-survey-2017/]]>
Anstee D, Bowen P, Chui CF, Sockrider G. In: Proc. of the 12th Worldwide Infrastructure Security Report. Arbor Network, 2017.
Marc K, Hupperich T, Rossow C,
https://www.cisco.com/c/m/en_au/products/security/offers/cybersecurity-reports.html]]>
Wang Y, Hu M, Li B,
王垚, 胡铭曾, 李斌, 等.域名系统安全研究综述.通信学报, 2007, 28(9):91–103.
Hu N, Deng P, Yao S,
胡宁, 邓文平, 姚苏.互联网DNS安全研究现状与挑战.网络与信息安全学报, 2017, 3(3):13–21.
Jiang J. Research on inconsistent and multiple dependence in the authorization mechanism of Internet domain name system[Ph.D. Thesis]. Tsinghua University, 2013 (in Chinese with English abstract).
江健.互联网域名系统授权机制中不一致和多重依赖问题研究[博士学位论文].北京: 清华大学, 2013.
Liu Q. The security of Internet domain name system in China. Modern Telecommunications Technology, 2010, 2010(4):9–11 (in Chinese with English abstract).
柳青.我国互联网域名系统的安全问题.现代电信科技, 2010, 2010(4):9–11.
Li J. Detection of DNS spoofing and cache poisoning attacks[MS. Thesis]. Chengdu: University of Electronic Science and Technology of China, 2015 (in Chinese with English abstract).
李杰.DNS欺骗和缓存中毒攻击的检测[硕士学位论文].成都: 电子科技大学, 2015.
Schomp K, Callahan T, Rabinovich M,
Mohaisen A. Evaluation of privacy for DNS private exchange. IETF Internet Draft, 2015-05.
Bortzmeyer S. DNS privacy considerations. IETF RFC 7626, 2015.
Rossebo J, Cadzow S, Sijben P,
Banse C, Herrmann D, Federrath H. Tracking users on the Internet with behavioral patterns: Evaluation of its practical feasibility. In: Information Security and Privacy Research. Berlin, Heidelberg: Springer-Verlag, 2012. 235–248.
Ariyapperuma S, Mitchell CJ. Security vulnerabilities in DNS and DNSSEC. In: Proc. of the 2nd Int'l Conf. on Availability, Reliability and Security. 2007. 335–342.
Schomp K, Callahan T, Rabinovich M,
Callahan T, Allman M, Rabinovich M. On modern DNS behavior and properties. ACM SIGCOMM Computer Communication Review, 2013, 43(3):7–15.
Shulman H, Waidner M. Towards security of Internet naming infrastructure. In: Proc. of the Computer Security-ESORICS. 2015.
https://ftp.isc.org/www/survey/reports/2017/07/fpdns.txt]]>
Bind security vulnerabilities. CVE-2019-6465, 2019.
https://support.microsoft.com/en-us/help/2678371/microsoft-dns-server-vulnerability-to-dns-server-cache-snooping-attack]]>
Learn more at National vulnerability database (NVD). CVE-2017-11779, 2017.
https://tools.cisco.com/security/center/viewAlert.x?alertId=53604]]>
https://www.securityfocus.com/bid/30132/]]>
https://yeti-dns.org/]]>
Ateniese G, Mangard S. A new approach to DNS security (DNSSEC). In: Proc. of the 8th ACM Conf. on Computer and Communications Security. 2001. 86–95.
Yang H, Osterweil E, Massey D, Lu SW, Zhang LX. Deploying cryptography in Internet-scale systems: A case study on DNSSEC. IEEE Trans. on Dependable and Secure Computing, 2011, 8:656–669.
Herzberg A, Shulman H. DNSSEC: Interoperability challenges and transition mechanisms. In: Proc. of the 7th Int'l Conf. on Availability, Reliability and Security. 2013. 398–405.
Herzberg A, Shulman H. DNSSEC: Security and availability challenges. In: Proc. of the Communications and Network Security. 2013. 365–366.
Lian W, Rescorla E, Shacham H,
Dempsky M. DNSCurve: Link-level security for the domain name system. Internet Draft draft-dempsky-dnscurve-01, RFC, 2010.
Anagnostopoulos M, Kambourakis G, Konstantinou E, Gritzalis S. DNSSEC vs. DNSCurve: A side-by-side comparison. In: Proc. of the IGI Global. 2012. 201–220.
Zhu L, Hu Z, Heidemann J,
Shulman H. Pretty bad privacy: Pitfalls of DNS encryption. In: Proc. of the Workshop on Privacy in the Electronic Society. 2014. 191–200.
Park K, Pai VS, Peterson L,
Poole L, Pai VS. ConfiDNS: Leveraging scale and history to improve DNS security. In: Proc. of the 3rd Workshop on Real, Large Distributed Systems (WORLDS). 2006.
Khurshid A, Kiyak F, Caesar M. Improving robustness of DNS to software vulnerabilities. In: Proc. of the 27th Annual Computer Security Applications Conf. Orlando, 2011. 177–186.
Huang K, Kong N. Research on status of DNS privacy. Computer Engineering and Applications, 2018, 54(9):28–36 (in Chinese with English abstract).
黄锴, 孔宁.DNS隐私问题现状的研究.计算机工程与应用, 2018, 54(9):28–36.
Scaife N, Carter H, Traynor P. OnionDNS: A seizure-resistant top-level domain. In: Proc. of the Communications and Network Security. 2015. 379–387.
Herrmann D, Fuchs K, Lindemann J,
Choi H, Lee H, Kim H. BotGAD: Detecting botnets by capturing group activities in network traffic. In: Proc. of the 4th Int'l ICST Conf. on Communication System Software and Middleware. ACM, 2009. 2.
Choi H, Lee H. Identifying botnets by capturing group activities in DNS traffic. Computer Networks, 2012, 56(1):20–33.
Babak R, Perdisci R, Antonakakis M. Segugio: Efficient behavior-based tracking of malware-control domains in large ISP networks. In: Proc. of the Int'l Conf. on Dependable Systems and Networks. IEEE, 2015. 403–414.
Perdisci R, Corona I, Dagon D, Lee W. Detecting malicious flux service networks through passive analysis of recursive DNS traces. In: Proc. of the Annual Computer Security Applications Conf. (ACSAC 2009). IEEE, 2009. 311–320.
Huang SY, Mao CH, Lee H M. Fast-flux service network detection based on spatial snapshot mechanism for delay-free detection. In: Proc. of the 5th ACM Symp. on Information, Computer and Communications Security. 2010. 101–111.
Yadav S, Reddy AN. Winning with DNS failures: Strategies for faster botnet detection. In: Rajarajan M, Piper F, Wang H, Kesidis G, eds. Security and Privacy in Communication Networks. Berlin, Heidelberg: Springer-Verlag, 2012. 446–459.
Dong LP, Chen XY, Yang YJ,
董丽鹏, 陈性元, 杨英杰, 等.网络隐蔽信道实现机制及检测技术研究.计算机科学, 2015, 42(7):216–244.
Antonakakis M, Perdisci R, Dagon D,
Bilge L, Kirda E, Kruegel C,
Antonakakis M, Perdisci R, Lee W,
Bishop CM. Pattern Recognition and Machine Learning (Information Science and Statistics). New York: Springer-Verlag, 2006.
Zhang WW, Gong J, Liu SD, Hu XY. DNS surveillance on backbone. Ruan Jian Xue Bao/Journal of Software, 2017, 28(9): 2370-2387 (in Chinese with English abstract). http://www.jos.org.cn/1000-9825/5186.htm[doi: 10.13328/j.cnki.jos.005186]
张维维, 龚俭, 刘尚东, 胡晓艳.面向主干网的DNS流量监测.软件学报, 2017, 28(9):2370-238. http://www.jos.org.cn/1000-9825/5186.htm[doi: 10.13328/j.cnki.jos.005186]
Dabek F, Kaashoek MF, Karger D, Morris R, Stoica I. Wide-area cooperative storage with CFS. In: Proc. of the ACM Symp. on Operating Systems Principles (SOSP 2001). Chateau Lake Louise, 2001.
Stoica I, Morris R, Karger D,
Cox R, Muthitacharoen A, Morris R. Serving DNS using a peer-to-peer lookup service. In: Proc. of the 1st Int'l Workshop on Peer-to-Peer Systems. Cambridge, 2002. 155–165.
Maymounkov P, Mazières D. Kademlia: A peer-to-peer information system based on the XOR metric. In: Proc. of the 1st Int'l Workshop on Peer-to-Peer Systems (IPTPS 2001). London: Springer-Verlag, 2002. 53–65.
Danielis P, Altmann V, Skodzik J, Wegner T, Koerner A, Timmermann D. P-DONAS: A P2P-based domain name system in access networks. ACM Trans. on Internet Technology, 2015, 15(3):11.
Ramasubramanian V, Sirer EGU. Beehive:
Ramasubramanian V, Sirer EGU. The design and implementation of a next generation name service for the Internet. In: Proc. of the 2004 Conf. on Applications, Technologies, Architectures, and Protocols for Computer Communications. 2004. 331–342.
Song Y, Koyanagi K. Study on a hybrid P2P based DNS. In: Proc. of the IEEE Int'l Conf. on Computer Science and Automation Engineering. Shanghai, 2011. 152–155.
Tsai WT, Yu L, Wang R, Liu N, Deng EY. Blockchain application development techniques. Ruan Jian Xue Bao/Journal of Software, 2017, 28(6):1474-1487 (in Chinese with English abstract). http://www.jos.org.cn/1000-9825/5232.htm[doi: 10.13328/j.cnki.jos.005232]
蔡维德, 郁莲, 王荣, 刘娜, 邓恩艳.基于区块链的应用系统开发方法研究.软件学报, 2017, 28(6):1474–1487. http://www.jos.org.cn/1000-9825/5232.htm[doi: 10.13328/j.cnki.jos.005232]
https://Namecoin.info]]>
Satoshi N. Bitcoin: A peer-to-peer electronic cash system. 2009.
Ali M, Nelson J, Shea R,
https://ens.domains/]]>
https://peername.com/]]>
https://emercoin.com/]]>
Eyal I, Sirer EG. Majority is not enough: Bitcoin mining is vulnerable. In: Proc. of the Financial Cryptography. 2014.
https://blockstack.org/]]>
Zhang Y, Xia CD, Fang BX,
张宇, 夏重达, 方滨兴, 张宏莉.一个自主开放的互联网根域名解析体系.信息安全学报, 2017, 2(4): 57–69.
Fang BX. Discussion on autonomous root domain name system based on national union from "Network Sovereignty". Information Security and Communications Privacy, 2014(12):35–38 (in Chinese with English abstract).
方滨兴.从"国家网络主权"谈基于国家联盟的自治根域名解析体系.信息安全与通信保密, 2014, (12):35–38.
Zhu GK, Jiang WB. A decentralized domain name system for the network. Cyberspace Security, 2017, 8(1):14–18 (in Chinese with English abstract).
朱国库, 蒋文保.一种去中心化的网络域名服务系统模型.网络空间安全, 2017, 8(1):14–18.
Lamport L. The part-time parliament. ACM Trans. on Computer Systems, 1998, 16(2):133–169.
http://openresolverproject.org/]]>
Lu ZH, Gao XH, Huang SJ,
http://rick.eng.br/dnssecstat/]]>
Bhadauria R, Sanyal S. Survey on security issues in cloud computing and associated mitigation techniques. arXiv Preprint arXiv: 1204.0764, 2012.