DNSSEC域名解析的形式化描述及量化分析研究  

Formal Description and Quantitative Analysis of DNSSEC Resolution Service

作　　者：王勇[1,2,3] 云晓春 姚垚[1,2] 熊刚[1,2] 

机构地区：[1]中国科学院计算技术研究所,北京100190 [2]中国科学院大学,北京100049 [3]国家计算机网络应急技术处理协调中心,北京100029

出　　处：《计算机研究与发展》2012年第S2期55-63,共9页Journal of Computer Research and Development

基　　金：国家"八六三"高技术研究发展计划基金项目(2007AA01Z444;2011AA010601);国家自然科学基金项目(60703021;61070185)

摘　　要：DNSSEC将公钥体系引入DNS,实现了对数据的完整性、数据来源等验证,有效地保护了域名服务体系的安全.采用扩展的有限自动机对DNSSEC域名解析过程进行了形式化描述,引入DNSKEY,DS,NSEC3信任关系来刻画信任链建立中的信任传递过程.在此基础上,提出了DNSSEC域名解析的量化分析方法,并评估了影响其解析成功率的主要因素.分析发现,DNSSEC解析成功率与递归服务器的响应率基本呈线性关系,而信任链的长度对解析成功率的影响有限,为了保持较高的解析成功率,每级的权威服务器应部署3台以上,DNSSEC请求过程的成功率和DNSSEC验证过程中对特定资源的请求成功率应达到60%以上.上述结论对于深入分析DNSSEC解析成功率的制约因素,对DNSSEC的部署等均有重要的参考价值.DNSSEC将公钥体系引入DNS,实现了对数据的完整性、数据来源等验证,有效地保护了域名服务体系的安全.采用扩展的有限自动机对DNSSEC域名解析过程进行了形式化描述,引入DNSKEY,DS,NSEC3信任关系来刻画信任链建立中的信任传递过程.在此基础上,提出了DNSSEC域名解析的量化分析方法,并评估了影响其解析成功率的主要因素.分析发现,DNSSEC解析成功率与递归服务器的响应率基本呈线性关系,而信任链的长度对解析成功率的影响有限,为了保持较高的解析成功率,每级的权威服务器应部署3台以上,DNSSEC请求过程的成功率和DNSSEC验证过程中对特定资源的请求成功率应达到60%以上.上述结论对于深入分析DNSSEC解析成功率的制约因素,对DNSSEC的部署等均有重要的参考价值.

关 键 词：域名服务扩展 形式化描述 域名解析成功率 域名服务器响应率 

分 类 号：TP3[自动化与计算机技术—计算机科学与技术]