关于DNS域名系统漏洞引发Web安全的思考

　　8月14日报道：DNS（链接标记域名系统）是大多数互联网服务核心，然而DNS中却也存在漏洞。通常如果DNS出现问题的话，每个网站都可能发生故障，而且所有的电子邮件也将不知去向，总之，问题会很严重。你可能已经在很多媒体报道中听闻过这件事，华尔街日报，BBC新闻，以及一些媒体界地位显赫的人也在报道这则消息，甚至连SecurityFocus也不例外。具体来说，主要谈论的是以下问题：
　　1 在很多平台中都有一个漏洞
　　2 在很多平台中都有完全相同的漏洞（设计上出现的漏洞总让人很头痛）
　　3 经过我们不懈的努力，终于得到了所有主要平台的漏洞补丁，并且几乎是在同一天。
　　4 这在之前并未发生过。所有的一切真正地得到了控制。
　　对于我们在漏洞问题上获得的成就我感到相当自豪。我们有Windows，我们有Cisco IOS，我们有Nominum，我们还有BIND 9，而且当我们没有BIND 8时，我们还有Yahoo——大家所知道的最大的基于BIND 8建设的网站，而Yahoo公开承诺将完全屏弃BIND 8.
　　CERT（Computer Emergency Response Team，是由美国联邦政府资助专门研究计算机及网络安全的组织，他们随时提供最新发现的计算机及网络安全问题，并提供一些解决方法）为我们的工作提供了很多详细信息，并且我和Rich Mogull对于Securosis问题进行了全面的探讨。对于普通读者来说，你们可能想要获取更多更完整的资料，不过这里所谈的东西也有限，但我确实有些东西想告诉大家。
　　我们完成的工作真的是意义重大。
　　要强调的是我们！而不是我个人，因为我自己一个人是不可能完成这个巨大工程的。

　　首先要感谢的是Paul Vixie，一个大家所熟知的组织机构，长期以来维持着互联网上最流行的DNS服务器。PAUL能够将我们所需要的工程师聚集起来，共同解决这个问题。我们需要 Florian Weimer， 从欧洲远道而来。我们需要David Dagon， Jinmei Tatuya， 以及Wouter Wijngaards. 我们还需要Microsoft， Cisco， Nominum， Neustar， 以及OpenDNS.Paul都做到了。
　　当然我们也少不了CERT的帮助。
　　我们进行了有趣的探讨，虽然期间出现了很多分歧，但是慢慢地也开始达成很多共识。在对很多方法进行评估后，其中最好的方法也逐渐清晰出来，我必须承认，这让PAUL着实有些尴尬。
　　DJB是正确的。在很多年前，Dan J. Bernstein就是正确的：源端口随机化应该要在生产使用中成为每一个链接标记域名服务器必须具备的标准。
　　在我工作的过程中有一句这样的话一直指导着我前行：运气是设计的残余物质。Dan Bernstein无疑是一个特别幸运的程序员，但是这也并非偶然。这位程序专家以一种十分自然的方式进行着他的系统工程，就像生命和呼吸一样自然的方式，这是置身于混乱代码中的我渴望的一种工作方式。从这点来看他是“幸运的”，他成功地让自己免受那些几乎从未遇到过的攻击的袭击。
　　而这才是真正优秀设计的标志，优秀的设计可以让你免受那些你完全不知道的事物的困扰，所以我们正在部署这种优秀设计来提供各种信息。
　　为了让大家能够更好地理解这个修复补丁，我们可以这样来理解，想象一下从匿名用户到身份验证用户处产生的大量WINDOWS RPC，或者只是管理员。只要联想一下WINDOWS XP SP2.从设计的角度来看，这像是一个大斧子，它能够切断所有攻击面，而不需要说明原因。通过一个适当的修补程序，甚至连微乎其微的漏洞都能够很容易隐藏，或者变得无关紧要。
[1] 链接标记[2] 链接标记下一页