一種基于DNS的零信任增強認證系統設計
網絡安全與數據治理
鄒立剛1，張逸凡1，張新躍2，袁建廷3
1.北京國科云計算技術有限公司；2.中國互聯網絡信息中心； 3.新疆大學信息科學與工程學院
摘要： 針對當前大量HTTPS應用復用證書存在安全風險問題，借鑒了零信任模型中安全策略動態授權的思路，提出了一種基于現有互聯網基礎設施DNS來擴展增強認證功能的方案，通過在現有DNS權威服務器上額外配置增強的認證信息來對HTTPS訪問請求進行動態認證，從而能實時驗證當前HTTPS證書的安全狀態。該方案通過可信易得的DNS基礎設施解決了當前普遍存在的HTTPS證書復用帶來的安全問題，是一種靈活高效并且可擴展的零信任安全增強認證架構。
中圖分類號：TP393文獻標識碼：ADOI:10.19358/j.issn.2097-1788.2024.07.004
引用格式：鄒立剛，張逸凡，張新躍，等.一種基于DNS的零信任增強認證系統設計［J］.網絡安全與數據治理，2024，43（7）：21-25.
引用格式：鄒立剛，張逸凡，張新躍，等.一種基于DNS的零信任增強認證系統設計［J］.網絡安全與數據治理，2024，43（7）：21-25.
Design of DNS based Zero Trust enhanced authentication system
Zou Ligang1, Zhang Yifan1, Zhang Xinyue2,Yuan Jianting3
1. Beijing Guoke Cloud Computing Technology Co., Ltd.; 2. China Internet Network Information Center; 3. School of Information Science and Engineering,Xinjiang University,Unumqi
Abstract： The article addresses the security risks associated with the widespread reuse of certificates in current HTTPS applications. Drawing on the idea of dynamic authorization of security policies in the Zero Trust model, it proposes a solution that enhances authentication capabilities by leveraging the existing Internet infrastructure, specifically DNS. This solution involves dynamically authenticating HTTPS access requests by adding enhanced authentication information to existing DNS authoritative servers. By doing so, it enables real-time validation of the security status of current HTTPS certificates. This approach effectively tackles the security issues arising from the common practice of certificate reuse in HTTPS, utilizing the trusted and readily available DNS infrastructure. It represents a flexible, efficient, and scalable Zero Trust security enhancement authentication framework.
Key words : HTTPS; certificate; Zero Trust Security Model; DNS; DNS-CA
引言
隨著互聯網電子商務的快速應用和電子支付的蓬勃發展，越來越多的Web應用開始部署支持HTTPS，需要Web應用開發者同步部署HTTPS證書來實現安全可信的互聯網應用。最初HTTPS證書頒發與網站域名一一對應，然而隨著技術的發展，一個組織需要多個HTTPS網站應用，因此同一個組織內的不同個體共享證書就成為一種典型的應用場景，尤其是同一組織內部不同網站共享同一個證書是常見的典型場景，甚至在使用內容分發網絡（CDN）服務后，兩個毫無關聯的網站因為使用同一個CDN服務商而不得不共享同一個HTTPS證書也很常見。針對需要共享證書的場景，目前很多公有云服務商都提供共享型增強證書的解決方案，但共享證書的場景實際存在很大風險，當前利用共享證書之間網站的安全脆弱性進行中間人攻擊已經存在［1］。研究數據表明，世界排名前100的HTTPS網站及其子網站，63%存在可能被攻擊的風險，可見這類安全風險隱患具有一定的普遍性。中間人攻擊本質上是利用了證書共享中客戶端對證書的信任關系，雖然部署證書應用的服務器安全配置和防護級別很高，但是攻擊者可以通過攻擊另一個共享同一個證書的配置相對薄弱的服務器，在獲取了服務器的權限后，利用共享證書的信任關系實現對其他服務器的中間人劫持攻擊，甚至可將HTTPS降級為明文傳輸的HTTP，從而實現傳輸內容的監聽和篡改［1］。
本文詳細內容請下載：
http://www.cowatch.cn/resource/share/2000006087
作者信息：
鄒立剛1，張逸凡1，張新躍2，袁建廷3
（1.北京國科云計算技術有限公司，北京100190；
2.中國互聯網絡信息中心，北京100190；
3.新疆大學信息科學與工程學院，新疆烏魯木齊，830046）
此內容為AET網站原創，未經授權禁止轉載。