《電子技術(shù)應(yīng)用》
您所在的位置：首頁 > 通信與網(wǎng)絡(luò) > 設(shè)計應(yīng)用 > 一種基于DNS的零信任增強認(rèn)證系統(tǒng)設(shè)計
一種基于DNS的零信任增強認(rèn)證系統(tǒng)設(shè)計
網(wǎng)絡(luò)安全與數(shù)據(jù)治理
鄒立剛1,，張逸凡1，張新躍2,，袁建廷3
1.北京國科云計算技術(shù)有限公司,；2.中國互聯(lián)網(wǎng)絡(luò)信息中心,； 3.新疆大學(xué)信息科學(xué)與工程學(xué)院
摘要： 針對當(dāng)前大量HTTPS應(yīng)用復(fù)用證書存在安全風(fēng)險問題，借鑒了零信任模型中安全策略動態(tài)授權(quán)的思路,，提出了一種基于現(xiàn)有互聯(lián)網(wǎng)基礎(chǔ)設(shè)施DNS來擴展增強認(rèn)證功能的方案,，通過在現(xiàn)有DNS權(quán)威服務(wù)器上額外配置增強的認(rèn)證信息來對HTTPS訪問請求進行動態(tài)認(rèn)證，從而能實時驗證當(dāng)前HTTPS證書的安全狀態(tài),。該方案通過可信易得的DNS基礎(chǔ)設(shè)施解決了當(dāng)前普遍存在的HTTPS證書復(fù)用帶來的安全問題,，是一種靈活高效并且可擴展的零信任安全增強認(rèn)證架構(gòu)。
中圖分類號：TP393文獻標(biāo)識碼：ADOI:10.19358/j.issn.2097-1788.2024.07.004
引用格式：鄒立剛,，張逸凡,，張新躍，等.一種基于DNS的零信任增強認(rèn)證系統(tǒng)設(shè)計［J］.網(wǎng)絡(luò)安全與數(shù)據(jù)治理,，2024,，43（7）：21-25.
Design of DNS based Zero Trust enhanced authentication system
Zou Ligang1, Zhang Yifan1, Zhang Xinyue2,Yuan Jianting3
1. Beijing Guoke Cloud Computing Technology Co., Ltd.; 2. China Internet Network Information Center; 3. School of Information Science and Engineering,Xinjiang University,Unumqi
Abstract： The article addresses the security risks associated with the widespread reuse of certificates in current HTTPS applications. Drawing on the idea of dynamic authorization of security policies in the Zero Trust model, it proposes a solution that enhances authentication capabilities by leveraging the existing Internet infrastructure, specifically DNS. This solution involves dynamically authenticating HTTPS access requests by adding enhanced authentication information to existing DNS authoritative servers. By doing so, it enables real-time validation of the security status of current HTTPS certificates. This approach effectively tackles the security issues arising from the common practice of certificate reuse in HTTPS, utilizing the trusted and readily available DNS infrastructure. It represents a flexible, efficient, and scalable Zero Trust security enhancement authentication framework.
Key words : HTTPS; certificate; Zero Trust Security Model; DNS; DNS-CA

引言

隨著互聯(lián)網(wǎng)電子商務(wù)的快速應(yīng)用和電子支付的蓬勃發(fā)展，越來越多的Web應(yīng)用開始部署支持HTTPS,，需要Web應(yīng)用開發(fā)者同步部署HTTPS證書來實現(xiàn)安全可信的互聯(lián)網(wǎng)應(yīng)用,。最初HTTPS證書頒發(fā)與網(wǎng)站域名一一對應(yīng),，然而隨著技術(shù)的發(fā)展，一個組織需要多個HTTPS網(wǎng)站應(yīng)用,，因此同一個組織內(nèi)的不同個體共享證書就成為一種典型的應(yīng)用場景,，尤其是同一組織內(nèi)部不同網(wǎng)站共享同一個證書是常見的典型場景，甚至在使用內(nèi)容分發(fā)網(wǎng)絡(luò)（CDN）服務(wù)后,，兩個毫無關(guān)聯(lián)的網(wǎng)站因為使用同一個CDN服務(wù)商而不得不共享同一個HTTPS證書也很常見,。針對需要共享證書的場景，目前很多公有云服務(wù)商都提供共享型增強證書的解決方案,，但共享證書的場景實際存在很大風(fēng)險,，當(dāng)前利用共享證書之間網(wǎng)站的安全脆弱性進行中間人攻擊已經(jīng)存在［1］。研究數(shù)據(jù)表明,，世界排名前100的HTTPS網(wǎng)站及其子網(wǎng)站,，63%存在可能被攻擊的風(fēng)險，可見這類安全風(fēng)險隱患具有一定的普遍性,。中間人攻擊本質(zhì)上是利用了證書共享中客戶端對證書的信任關(guān)系,，雖然部署證書應(yīng)用的服務(wù)器安全配置和防護級別很高，但是攻擊者可以通過攻擊另一個共享同一個證書的配置相對薄弱的服務(wù)器,，在獲取了服務(wù)器的權(quán)限后,，利用共享證書的信任關(guān)系實現(xiàn)對其他服務(wù)器的中間人劫持攻擊，甚至可將HTTPS降級為明文傳輸?shù)腍TTP,，從而實現(xiàn)傳輸內(nèi)容的監(jiān)聽和篡改［1］,。


本文詳細(xì)內(nèi)容請下載：

http://forexkbc.com/resource/share/2000006087


作者信息：

鄒立剛1，張逸凡1,，張新躍2,，袁建廷3

（1.北京國科云計算技術(shù)有限公司,，北京100190,；

2.中國互聯(lián)網(wǎng)絡(luò)信息中心，北京100190,；

3.新疆大學(xué)信息科學(xué)與工程學(xué)院,，新疆烏魯木齊，830046）


Magazine.Subscription.jpg

此內(nèi)容為AET網(wǎng)站原創(chuàng),，未經(jīng)授權(quán)禁止轉(zhuǎn)載,。