Fred Baker
ICANN 根服務(wù)器系統(tǒng)咨詢委員會（RSSAC）主席
前IETF主席
根服務(wù)器的管理機構(gòu)可輕易修改根區(qū)文件內(nèi)容甚至可移除特定的頂級域？目前全世界僅有13個根服務(wù)器？此類針對根域名服務(wù)器的傳言一直不休，在日前舉行的2020年北京網(wǎng)絡(luò)安全大會上，根服務(wù)器系統(tǒng)咨詢委員會（Root Server System Advisory Committee ，RSSAC）主席Fred Baker回應(yīng)了這些問題。
Fred Baker表示，關(guān)于互聯(lián)網(wǎng)域名系統(tǒng)的根服務(wù)器，目前流傳著許多不同版本的傳言，但這些傳言都不準(zhǔn)確。
根服務(wù)器系統(tǒng)及相關(guān)機構(gòu)
Fred Baker在報告中重申了域名系統(tǒng)的運行原理：先從根服務(wù)器節(jié)點獲得域名頂級域（如“.cn”）信息的索引。而通過頂級域的權(quán)威服務(wù)器可獲得二級域名的索引。其后，在二級域名的權(quán)威服務(wù)器上，可獲得各個域名所對應(yīng)的服務(wù)器IP地址，或者是域名所屬的子域名。
根服務(wù)器系統(tǒng)在運行過程中，首先需要獲得根區(qū)文件，然后將其分發(fā)到根服務(wù)器的運行管理機構(gòu)，根服務(wù)器節(jié)點將對全球域名服務(wù)器所發(fā)起的查詢請求進行響應(yīng)。全球目前可能分布著超過一萬臺域名解析服務(wù)器。根區(qū)文件維護者（Root Zone Maintainer）根據(jù)從互聯(lián)網(wǎng)號碼分配機構(gòu)（IANA）獲取的文件提供根區(qū)數(shù)據(jù)。
目前，一共有12家相互獨立的企業(yè)或者組織機構(gòu)在負責(zé)管理運行域名系統(tǒng)根服務(wù)器節(jié)點。其中的一些組織實際上隸屬于美國軍方，它們不屬于公司或企業(yè)，這類組織需要區(qū)別對待。例如，美國國防部網(wǎng)絡(luò)信息中心（Network Information Center，NIC），它是負責(zé)運行管理根服務(wù)器節(jié)點的機構(gòu)之一。此外，還有一些組織機構(gòu)分布在斯德哥爾摩、阿姆斯特丹以及東京，主要是歐洲技術(shù)社群，而WIDE項目管理著日本的根服務(wù)器節(jié)點。
1983年，IETF的RFC 882和RFC 883兩個文檔對互聯(lián)網(wǎng)域名系統(tǒng)DNS進行了描述與定義。1984-1985年，早期根域名系統(tǒng)于美國建成，該系統(tǒng)由四臺服務(wù)器組成，它們分別使用四個獨立的IP地址。此后，隨著互聯(lián)網(wǎng)的發(fā)展，根服務(wù)器的數(shù)量經(jīng)歷了多次增加。1987年，新增三臺服務(wù)器，1991年新增一臺，1993年又增加一臺，1998年再增四臺。至此，根服務(wù)器系統(tǒng)增加至13臺，并各自擁有1個IP地址。
當(dāng)時，分發(fā)根域名服務(wù)器地址的人是 Jon Postel （注：被譽為互聯(lián)網(wǎng)之神），他邀請不同機構(gòu)共同運維根域名服務(wù)器，并長期負責(zé)管理互聯(lián)網(wǎng)號碼分配機構(gòu)（Internet Assigned Numbers Authority，IANA）。Jon Postel去世（1998年）之后，沒人了解該如何新增根服務(wù)器的入口，或如何修改變動根服務(wù)器。
在此情況下，根服務(wù)器系統(tǒng)咨詢委員會RSSAC運行管理根域名服務(wù)器系統(tǒng)將近20年。
期間面臨一個非常重要問題是：如何設(shè)計完善運行流程，以轉(zhuǎn)變DNS系統(tǒng)面臨的困難局面。經(jīng)過多次討論和實踐，根服務(wù)器系統(tǒng)不斷演進，最終形成當(dāng)前規(guī)模。截至2020年8月1日，DNS根服務(wù)器系統(tǒng)共有1086個根服務(wù)器節(jié)點。
引入數(shù)字簽名技術(shù)
在過去十幾年中，互聯(lián)網(wǎng)工程任務(wù)組（The Internet Engineering Task Force，IETF）已經(jīng)對根區(qū)文件的信息做出了一系列優(yōu)化與改進。其中一項極為重要的變化是，使用數(shù)字簽名技術(shù)來保障域名系統(tǒng)的安全性，即DNS安全擴展（Domain Name System Security Extensions，DNSSEC）的引入。目前幾乎所有頂級域均已支持DNSSEC，并且其中有許多頂級域?qū)λ亩売蛎M行簽名，許多二級域名進一步對其子域名進行簽名。
數(shù)字簽名的主要功能是驗證用戶所接收的信息是否準(zhǔn)確。當(dāng)某個客戶端發(fā)起域名查詢請求時，可能會被劫持或轉(zhuǎn)發(fā)到未經(jīng)授權(quán)的根服務(wù)器管理者，導(dǎo)致域名響應(yīng)的內(nèi)容與互聯(lián)網(wǎng)號碼分配機構(gòu)（IANA）所提供的信息不一致，造成所謂的DNS偽造攻擊。
如何檢測這類攻擊？如何才能知道應(yīng)答響應(yīng)的內(nèi)容是否合法？解決方案是對數(shù)字簽名的內(nèi)容進行校驗。如果數(shù)字簽名是偽造的，就意味著應(yīng)答內(nèi)容是非法的。通常，域名解析服務(wù)器負責(zé)驗證數(shù)字簽名記錄。除了域名解析服務(wù)器之外，任何發(fā)起域名查詢的設(shè)備、系統(tǒng)均有權(quán)利，RSSAC也強烈建議其去校驗DNSSEC的數(shù)字簽名記錄。
根域名系統(tǒng)管理的十一項原則
2014年，Steve Crocker（ICANN董事會主席）曾向RSSAC提出一個問題：該如何解決Jon Postel先生去世之后管理根區(qū)文件規(guī)范流程的缺失？
2015年，RSSAC委員會相聚在工作組討論這一問題，并從當(dāng)年9月開始，召開了一系列的研討會，最終形成了一份技術(shù)報告，也即RSSAC037文檔。該報告內(nèi)容可在網(wǎng)上查閱，其中的一項重要內(nèi)容是提出管理根服務(wù)器系統(tǒng)所應(yīng)依據(jù)的11條原則，具體內(nèi)容如下：
（1）為了維護一個全球性的互聯(lián)網(wǎng)，需要一個全球統(tǒng)一的域名系統(tǒng)，從而使用戶在不同地區(qū)或使用不同域名解析服務(wù)器時，對于相同索引內(nèi)容總能獲得相同解析結(jié)果。
（2）IANA是DNS根數(shù)據(jù)的來源。
（3）根服務(wù)器系統(tǒng)必須是穩(wěn)定可靠、富有彈性的平臺，能夠為所有用戶提供域名解析服務(wù)。
（4）根服務(wù)器操作的多樣性是整個系統(tǒng)的優(yōu)勢。如果所有人都使用完全相同的軟件，當(dāng)域名系統(tǒng)出現(xiàn)故障時，所有人都會遇到此類故障，將導(dǎo)致非常嚴重的安全事故。因此，多樣性是一項基本的設(shè)計原則：需要操作不同的DNS軟件，使用不同的硬件設(shè)備，使用不同的網(wǎng)絡(luò)獲取數(shù)據(jù)。多樣性是加強系統(tǒng)健壯性的重要因素。
（5）體系結(jié)構(gòu)的變化應(yīng)該來自于技術(shù)的發(fā)展和已證明的技術(shù)需求。
（6）IETF定義DNS協(xié)議的技術(shù)操作。所有改變的驅(qū)動力都應(yīng)源自技術(shù)層面，而技術(shù)上的推陳出新多由互聯(lián)網(wǎng)工程任務(wù)組（IETF）發(fā)起。
剩余的五項原則均直接面向根服務(wù)器系統(tǒng)的運行管理機構(gòu)（RSOs）。
（7）RSOs必須以誠信正直的精神來維護互聯(lián)網(wǎng)的共同利益。
（8）RSOs必須保持透明。作為一個互聯(lián)網(wǎng)組織機構(gòu)，要保持透明，能夠說到做到。
（9）RSOs必須與利益相關(guān)方合作，并鼓勵其參與。在IETF和ICANN的組織架構(gòu)下，RSOs不僅需要與客戶以及合作者積極溝通，也需要吸引并鼓勵技術(shù)社群中的利益相關(guān)方一起參與。
（10）RSOs必須保持自身的自主性和獨立性。不應(yīng)受到任何一個派別的操控。根服務(wù)器系統(tǒng)的運行管理機構(gòu)其實是高度獨立的。盡管其中一些機構(gòu)屬于美國政府，但是并非由政府來運作的。
（11）RSOs必須保持中立與公正，并提供必要的（從IANA獲取的）信息。
關(guān)于根服務(wù)器系統(tǒng)的不實傳言
Fred Baker表示，關(guān)于互聯(lián)網(wǎng)域名系統(tǒng)的根服務(wù)器，目前流傳著許多不同傳言，但這些傳言都不準(zhǔn)確。
一種說法是，域名系統(tǒng)根服務(wù)器可以控制互聯(lián)網(wǎng)流量的轉(zhuǎn)發(fā)路徑。但事實并非如此，根服務(wù)器不會控制任何其他事項，它只負責(zé)分發(fā)根區(qū)文件的信息。數(shù)據(jù)包轉(zhuǎn)發(fā)的過程路徑信息是由互聯(lián)網(wǎng)路由器所決定的。
第二種說法是，根服務(wù)器的管理機構(gòu)可以輕易地修改根區(qū)文件的內(nèi)容，甚至可移除特定的頂級域。假如服務(wù)器通過修改配置，拒絕響應(yīng)用戶所發(fā)起的查詢請求，上述說法某種程度上可算是成立的。但通過驗證DNSSEC的數(shù)字簽名，可輕易發(fā)現(xiàn)此類篡改行為。一旦DNSSEC校驗失敗，便可得知解析結(jié)果并非源自互聯(lián)網(wǎng)號碼分配機構(gòu)（IANA），被篡改的內(nèi)容也會被直接拋棄。因此，盡管理論上而言，根服務(wù)器節(jié)點可修改根區(qū)文件數(shù)據(jù)，但修改后無法通過DNSSEC數(shù)字簽名的校驗。
第三種說法認為，管理根區(qū)文件數(shù)據(jù)和提供解析服務(wù)是一樣的。但二者并不相同，管理主要涉及數(shù)據(jù)存儲和使用規(guī)則的制定等，而解析則是對數(shù)據(jù)內(nèi)容的響應(yīng)。
第四種說法認為，某些特定的根服務(wù)器比其它根服務(wù)器更為重要。這種說法也不正確。實際上所有的根服務(wù)器的運行管理機構(gòu)是完全平等的。用戶可以向其中任意一個發(fā)起域名查詢請求，最終得到的結(jié)果也將完全相同。
第五種說法是，目前僅存在13個根服務(wù)器。實際上，全球共有超過1000個根服務(wù)器節(jié)點，但是這些根服務(wù)器節(jié)點共享13個名稱（identities），分別對應(yīng)著負責(zé)運行管理的組織機構(gòu)。
第六種說法認為，ICANN控制了所有根服務(wù)器運行管理機構(gòu)。顯然不是這樣。因為根服務(wù)器的管理機構(gòu)比ICANN存在的時間還要長。而且根服務(wù)器管理單位RSSAC也僅有少數(shù)人從屬于ICANN。
Fred Baker表示，根服務(wù)器系統(tǒng)的運行管理機構(gòu)，必須以誠信正直的精神來維護互聯(lián)網(wǎng)的共同利益。同時，根服務(wù)器的運行管理機構(gòu)，必須保持自身的獨立性，他們不應(yīng)當(dāng)受到任何一個派別的操縱。
“根服務(wù)器系統(tǒng)的運行管理是高度獨立的，盡管其中一些機構(gòu)屬于美國政府，但他們并不是由政府來運作旳。” Fred Baker表示。
（本文整理自Fred Baker在2020年北京網(wǎng)絡(luò)安全大會上的報告）
相關(guān)背景：
根服務(wù)器系統(tǒng)咨詢委員會（Root Server System Advisory Committee，RSSAC）是ICANN技術(shù)社群的10個技術(shù)委員會之一，其成員主要為互聯(lián)網(wǎng)域名系統(tǒng)根服務(wù)器的創(chuàng)始者。該委員會的使命是成為聯(lián)系技術(shù)社群、董事會以及域名根服務(wù)器利益相關(guān)方的溝通渠道，主要負責(zé)提供與域名系統(tǒng)根服務(wù)器相關(guān)的咨詢和建議。因此，RSSAC重點關(guān)注根服務(wù)器系統(tǒng)的工作機制，以及如何更好地服務(wù)ICANN技術(shù)社群等問題。
RSSAC由負責(zé)運行全球根服務(wù)的組織的代表組成。
2013年7月18日，ICANN董事會批準(zhǔn)了RSSAC的初始成員和領(lǐng)導(dǎo)層，并于2014年6月26日任命了新的代表。（詳情見https://www.icann.org/groups/rssac ）