基于TSIG机制的DNS主从服务器MFA安全加密传输的研究与实践

周鸣爱

（赛迪研究院网络安全研究所，北京 100846）

1 引言

域名管理系统（Domain Name System，DNS）域名解析是互联网基础中非常重要的一部分，将域名转换成IP地址，这样通过域名可以方便地访问到网站。域名解析就是将域名转换成IP的过程，解析过程由DNS服务器完成。DNS作为将域名和IP地址相互映射的分布式数据库，是互联网重要的基础设施之一，几乎大部分的网络想要正常运行，都需要依靠DNS。因此，DNS服务器一旦发生故障，即使E-mail或Web网站此时能够正常运行，用户也无法使用。

在互联网中超过95%的DNS服务器的搭建都是基于BIND域名解析服务，为保障解析服务安全，BIND服务程序已提供了对TSIG（RFC 2845）加密机制的支持。TSIG加密机制主要是通过密码编码方式对Zone Transfer（区域信息传输）保护，即保证DNS服务器间传送区域信息的安全。针对企业内网自建DNS服务器网络环境可变性较大，技术人员流动性较强的特点，本文结合多因素认证，提出了一种新的DNS安全加密认证的实践方案。

2 DNS域名解析

域名与由一串数字构成的IP地址相比，更容易记忆和理解，用户对网络资源进行访问时，一般情况下都是通过域名访问，但是在互联网中计算机之间身份的相互识别只能是基于IP地址，并且数据在互联网中的传输，也必须通过外网IP实现。

DNS技术的出现，方便了用户对网络资源的访问，该技术主要是对域名和IP地址的对应关系进行管理和解析，即在获取到用户输入的IP地址或域名后，自动查找与之具有映射关系的域名或IP地址，简而言之，就是进行正向解析和反向解析，所谓正向解析即查找到与输入域名相对应的IP地址；……