互联网中服务提供者身份的可信度.docx

互联网中服务提供者身份的可信度 1概述  随着互联网的快速发展，互联网已经极大的改变了人类社会生活的方式，但是与此同时，也伴随产生了很多新的问题，比如恶意攻击、垃圾邮件、计算机病毒等等，这些问题阻碍了互联网的进一步发展.学术界和产业界不断对这些问题进行深入研究，并将其中比较重大的研究成果规划到下一代互联网中.清华大学的林闯教授指出:新一代互联网的特征可以用可控、可信、可扩展来概括，同时，可信的互联网络的特性包括:安全性、真实性、可审计性、私密性、抗毁性和可控性.我们认为，可信互联网的特点还可以概括为身份可信、传输可信、行为可信.其中身份可信是其它特性(如可控性、可审计性、抗毁性等)的重要基础、身份可信包括了服务提供者的身份可信和服务使用者的身份可信两个完全不同的领域.我们在研究互联网的身份可信问题时，主要研究的是服务提供者的身份可信，因此如果没有特别说明，本文提到的身份可信指的是服务提供者身份可信的问题.  实践证明，互联网上的身份可信问题是一个比较复杂的问题，直到现在，钓鱼网站、域名劫持、假冒IP地址广播等等各种互联网的身份不可信问题仍然不时出现，其中一些事件还会对社会正常运行造成一些严重后果，比如在2010年1月12日，中国著名搜索引擎百度的域名(baidu.com)就被劫持，页而被换成黑色以及伊朗国旗，给百度造成的直接经济损失高达700万人民币.在我们的研究过程中，我们发现解决互联网的身份可信问题，应该从3个层面来开展:域间路由领域的身份可信、域名解析服务的身份可信、以及互联网应用服务的身份可信，也就是从IP路由层面、域名解析层面和互联网应用层面分别来解决互联网的身份可信问题，三个层次互相支持，可以构成一个比较完整的互联网身份可信体系.  目前在互联网社区中，这三个层面都已经开始了身份可信的研究和实践，并取得了很大的进展.在域间路由领域，已经发展出了RPKI并发表了14篇相关的RFC;在域名解析服务的身份可信领域的DNSSEC发展最为成熟，在2005年就已经发布RFC4033 ,RFC4034, RFC4035，并在2008年发布RFC5155，目前已经进入大规模部署阶段，截止2014年1月31日，已经有238个TLD(Top Level Domain)已经部署了DNSSEC;在互联网应用层面解决服务提供者身份可信的问题是一个比较新的方向，国内的产业界比较活跃，应用最广泛的是基于域名技术的可信网站标识技术.  2域间路由领域的身份可信问题  互联网上有时候会有人因为各种原因，比如被黑客攻击或者错误配置了参数，广播了不属于自己的地址，这就是路由劫持.路由劫持对互联网的正常运行危害非常大，会导致大而积的网络瘫痪和服务不可用.一些比较著名的路由劫持事件有:1997年4月的AS7007 Incident事件，2004年的12月土耳其TTNet路由劫持事件，2006年1月Con-Edison路由劫持事件以及2008年巴基斯坦电信劫持YouTube流量事件等.路由劫持事件的发生，主要原因是因为BGP协议缺乏对路由内容正确性进行校验，从而导致对路由信息的肆意修改.目前互联网社区正在计划部署的RPKI(Resource Public-Key Infrastructure)技术，正是为了增强域间路由安全、防止路由劫持而提出的一项技术，通过这项技术，可以建立起一套基于X.509的域间信任体系，从而杜绝各种非授权的地址广播行为.RPKI是基于X.509证书体系，保证互联网IP地址和AS号码等互联网基础号码资源正确性的基础设施，通过对X.509证书的扩展以及若干签名对象，RPKI实现了对互联网基础号码资源授权，并以路由源声明(Route Origin Attestation, ROA)的形式进行验证.  RPKI包括两种证书:CA证书和终端实体(End Entity)证书.CA证书是用来证明某个实体对互联网基础号码资源(IP地址和AS号)的所有权;终端实体证书是用来对IP地址前缀的路由源信息添加签名的.传统上，IP地址和AS号码的分配是有全球五大地址注册机构(Regional Internet Registry, RIR)负责的，所以，在RPKI体系中，IP地址和AS号码的所有权是主要由五大地址注册机构认定的，并通过对传统的X.509证书以关键扩展(Critical)的方式体现在X.509的CA证书中，RFC3779就是该扩展的标准化文件，RFC3779详细规定了IP地址和AS号作为扩展域在X.509证书中的编码格式.另外，当需要授权某个AS为其特定的IP地址前缀通告路由可达信息时，IP地址的所有者使用其持有的CA证书签发一个EE证书来声明这种关系，然后再用EE证书产生一个路由源声明签名项.这样，一个路由源声明则包含了一个AS号码和若干IP地址前缀的对应关系，真实性是由CA证书、EE