六盘水市网站建设_网站建设公司_论坛网站_seo优化

一、前言

DNS作为互联网的“电话簿”，承担域名解析的核心职能。然而，DNS设计初期的开放性导致其长期暴露于多种安全威胁中。例如在边界路由广播协议（Border Gateway Protocol, BGP）路由劫持中，攻击者通过伪造BGP路由宣告，将合法流量重定向至恶意节点；在DNS缓存投毒攻击中，攻击者通过注入伪造DNS响应污染递归服务器缓存；在DNS中间人攻击中，攻击者劫持DNS查询链路以窃取或篡改数据。

DNSSEC通过数字签名机制验证数据完整性，但仍存在一定的局限性，一是信任模型过度集中化，依赖根密钥（Key Signing Key，KSK）和电子认证（Certificate Authority，CA）机构，存在单点失效风险；二是部署情况不均衡，根据ICANN公布的DNSSEC部署统计情况，截至2025年2月，92.93%的顶级域（Top Level Domain，TLD）和65.32%的国家顶级域名（Country Code Top Level Domain，ccTLD）部署了DNSSEC，但是由于递归服务器支持度不高，截至2023年年底，国内仅1.6%的递归服务器支持DNSSEC认证，DNSSEC认证链并不完整；三是跨层防御缺失，现有的DNSSEC无法应对BGP劫持与DNS投毒的协同攻击。

此外，RPKI通过资源证书（Resource Certification，RC）验证BGP路由宣告的合法性，在路由层安全中取得显著成效。RPKI的核心思想实现了资源所有权与公钥的强绑定，为DNS安全提供了跨层协同的可能。

本报告通过对RPKI和DNSSEC验证方法的结合，创新性地提出首个基于RPKI与DNSSEC融合的分层式安全模型，实现资源所有权与域名身份的双因子认证。通过设计动态权重验证算法，降低跨层验证开销，并构建联合证书机制，抵御路由-DNS协同攻击，为部署应用奠定理论和实践基础。

二、研究现状

本节介绍DNSSEC优化研究、RPKI应用情况和跨层安全机制等三个方面研究现状。

（一）DNSSEC优化研究

近年来，国内外学术领域针对DNSSEC的优化研究主要集中在技术改进、配置优化、安全增强及应用扩展等方面，如利用DNSSEC和DNS over TLS (DoT)来增强DNS安全性的解决方案，实现对DNS缓存中毒的有效防护；有文献针对全球范围内递归服务器DNSSEC配置情况进行大规模探测和分析，为递归侧广泛部署提供指导；有研究人员提出基于区块链的DNSSEC信任分散方案，利用区块链技术对DNSSEC中心化程度过高的问题进行了探索解决，但未解决路由层攻击。

（二）RPKI应用情况

近年来，随着RPKI在全球范围内部署规模的不断提升，其对路由系统防护能力已逐渐得到普遍业内认可。有研究发现，RPKI的认证与DNS有着相互依赖的关系，主要是通过DNS系统完成RPKI的认证寻址，但是存在大量不匹配的情况。当前，RPKI主要应用与路由安全防护，现有工作尚未系统化研究RPKI与DNS安全的结合。

（三）跨层安全机制

考虑到DNSSEC逐层数字签名认证的复杂性，有研究人员提出基于PKI的DNS安全防护方案，通过采用CA证书的DNS防护方案，使用证书来验证数据的完整性，避免使用DNSSEC本身的签名链进行验证，有效减少各层权威DNS服务器的存储开销并降低DNS解析响应延迟。探索并初步实现了DNS跨层安全机制的优化方案，但依赖CA机构，难以防御证书伪造。还有研究人员同样研究了互联网上基于区块链和PKI的认证方式，并对物联网应用前景进行了探索。

三、LRICM模型设计

基于RPKI和DNSSEC验证模式，本文提出分层式资源-身份联合认证模型（LRICM），设计联合证书用于RPKI和DNSSEC联合验证。LRICM采用分层设计，主要包括资源绑定层、联合验证层和动态策略层三层。

（一）联合证书设计

联合证书（Joint Certificate，JC）基于ASN.1格式扩展，主要涵盖了RPKI资源证书、DNSSEC公钥、区域互联网注册管理机构（Regional Internet Registry，RIR）签发签名、域名注册商签名以及证书有效期等字段，具备全链条完成路由和DNSSEC验证的基本能力。

（二）资源绑定层

资源绑定层实现了对RPKI证书和DNSSEC签名的联合认证，本层中输入元素为：RPKI证书（IP前缀、ASN）、DNSSEC信任链（DNSKEY、RRSIG），通过联合签名后输出：联合证书（JC），包含RIR与域名注册商的双签名，确保DNS响应同时满足“资源合法性”（IP地址归属）与“身份合法性”（域名所有权），防御路由劫持与DNS缓存投毒攻击。

（三）联合验证层

联合验证层对资源绑定层生成的JC证书进行验证，递归服务器通过轻量级的验证协议并行验证RPKI证书链与DNSSEC信任链，并引入动态权重算法优化验证效率，减少传统DNSSEC多级信任链的开销，同时避免RPKI证书链递归验证的延迟。

（四）动态策略层

动态策略层基于可拓云理论构建威胁评估模型，根据联合验证层验证结果实现对验证策略的动态调整，实现跨层攻击的实时阻断，若检测到高风险，则触发临时缓存隔离或跨层告警联动

四、总结与讨论

（一）理论贡献与跨层安全范式创新

本文提出的分层式资源-身份联合认证模型（LRICM）通过融合RPKI与DNSSEC的信任机制，构建了“资源-身份”双因子认证的跨层安全框架。这一理论突破体现在以下三方面。

1.信任模型的去中心化重构

传统DNSSEC依赖集中式根密钥（KSK）和CA机构，而LRICM通过RPKI的分布式资源证书体系，将信任锚点分散至区域互联网注册机构（RIR）与域名注册商。这一设计不仅避免了单点失效风险，还通过联合证书（JC）的双签名机制实现了跨层信任的协同验证。与区块链DNSSEC方案相比，LRICM无需全局共识的复杂计算，显著降低了信任维护的开销。

2.动态验证机制的效率优化

本文提出的动态权重算法通过实时感知网络状态（如丢包率、延迟波动），动态调整RPKI与DNSSEC的验证权重，在保证安全性的前提下降低了验证延迟，为高并发场景下的实时防御提供了新思路。

3.威胁响应策略的自适应性

基于可拓云理论的威胁评估模型，通过隶属度函数量化系统状态与理想值的偏离程度，实现了从“静态规则驱动”到“动态数据驱动”的响应模式转变。例如，当检测到延迟突增时，系统自动触发缓存隔离而非简单丢弃请求，从而在阻断攻击的同时最大限度保障合法用户的可用性。

（二）实践意义与行业应用前景

LRICM的设计紧密贴合实际网络需求，其核心优势体现在可部署性与兼容性上。

1.增量部署的可行性

通过扩展DNS EDNS0字段携带联合证书（JC），LRICM无需大规模改造现有DNS基础设施即可实现渐进式部署。这一特性尤其适用于全球互联网的异构环境，可缓解因协议升级滞后导致的安全风险。

2.关键基础设施的防护升级

在金融、能源等敏感领域，BGP劫持与DNS投毒的协同攻击已造成多起重大安全事件。LRICM的双因子认证机制可有效识别伪造Anycast节点与恶意DNS响应。

3.政策与标准化的推动作用

LRICM的联合证书机制为ICANN与RIR的协同治理提供了技术参考。例如，可通过修订RFC标准明确RIR与域名注册商的联合签名流程，或制定资源证书的匿名化规范。

（三）未来研究方向

基于当前研究的成果与不足，未来工作可从以下方向展开：

1.多指标融合的威胁评估

当前模型主要依赖DNS查询延迟与证书撤销率，未来可整合更多威胁指标（如AS路径冲突频率），构建多维风险评估体系。例如，通过图神经网络建模BGP与DNS的交互关系，提升复杂攻击的早期预警能力。

2.轻量级隐私保护方案

探索基于同态加密的联合证书验证技术，使递归服务器能够在密文状态下完成资源-身份匹配。

3.自动化部署工具链开发

设计开源工具包（如Ansible模块或Kubernetes Operator），自动化完成RPKI证书签发、DNSSEC密钥同步与策略配置。工具链可集成至主流云平台，降低中小企业的部署门槛。

作者简介：

李汉明，中国互联网络信息中心工程师，主要研究方向为域名安全，网络安全和工程规划。

赵琦，中国互联网络信息中心副高级工程师，主要研究方向为域名安全，网络安全和工程规划。

林静，中国互联网络信息中心工程师，主要研究方向为域名安全、网络安全和工程规划。

刘欣，中国互联网络信息中心工程师，主要研究方向为域名安全，网络安全和工程规划。

何烁，中国互联网络信息中心工程师，主要研究方向为域名安全，网络安全和工程规划。

李健，中国互联网络信息中心工程师，主要研究方向为域名安全，网络安全和工程规划。

谢杰灵，中国互联网络信息中心工程师，主要研究方向为DNS，网络安全和工程规划。

编辑：芦笛（中国互联网络信息中心创新业务所）