一种基于DNS的零信任增强认证系统设计
网络安全与数据治理
邹立刚1，张逸凡1，张新跃2，袁建廷3
1.北京国科云计算技术有限公司；2.中国互联网络信息中心； 3.新疆大学信息科学与工程学院
摘要： 针对当前大量HTTPS应用复用证书存在安全风险问题，借鉴了零信任模型中安全策略动态授权的思路，提出了一种基于现有互联网基础设施DNS来扩展增强认证功能的方案，通过在现有DNS权威服务器上额外配置增强的认证信息来对HTTPS访问请求进行动态认证，从而能实时验证当前HTTPS证书的安全状态。该方案通过可信易得的DNS基础设施解决了当前普遍存在的HTTPS证书复用带来的安全问题，是一种灵活高效并且可扩展的零信任安全增强认证架构。
中图分类号：TP393文献标识码：ADOI:10.19358/j.issn.2097-1788.2024.07.004
引用格式：邹立刚，张逸凡，张新跃，等.一种基于DNS的零信任增强认证系统设计［J］.网络安全与数据治理，2024，43（7）：21-25.
引用格式：邹立刚，张逸凡，张新跃，等.一种基于DNS的零信任增强认证系统设计［J］.网络安全与数据治理，2024，43（7）：21-25.
Design of DNS based Zero Trust enhanced authentication system
Zou Ligang1, Zhang Yifan1, Zhang Xinyue2,Yuan Jianting3
1. Beijing Guoke Cloud Computing Technology Co., Ltd.; 2. China Internet Network Information Center; 3. School of Information Science and Engineering,Xinjiang University,Unumqi
Abstract： The article addresses the security risks associated with the widespread reuse of certificates in current HTTPS applications. Drawing on the idea of dynamic authorization of security policies in the Zero Trust model, it proposes a solution that enhances authentication capabilities by leveraging the existing Internet infrastructure, specifically DNS. This solution involves dynamically authenticating HTTPS access requests by adding enhanced authentication information to existing DNS authoritative servers. By doing so, it enables real-time validation of the security status of current HTTPS certificates. This approach effectively tackles the security issues arising from the common practice of certificate reuse in HTTPS, utilizing the trusted and readily available DNS infrastructure. It represents a flexible, efficient, and scalable Zero Trust security enhancement authentication framework.
Key words : HTTPS; certificate; Zero Trust Security Model; DNS; DNS-CA
引言
随着互联网电子商务的快速应用和电子支付的蓬勃发展，越来越多的Web应用开始部署支持HTTPS，需要Web应用开发者同步部署HTTPS证书来实现安全可信的互联网应用。最初HTTPS证书颁发与网站域名一一对应，然而随着技术的发展，一个组织需要多个HTTPS网站应用，因此同一个组织内的不同个体共享证书就成为一种典型的应用场景，尤其是同一组织内部不同网站共享同一个证书是常见的典型场景，甚至在使用内容分发网络（CDN）服务后，两个毫无关联的网站因为使用同一个CDN服务商而不得不共享同一个HTTPS证书也很常见。针对需要共享证书的场景，目前很多公有云服务商都提供共享型增强证书的解决方案，但共享证书的场景实际存在很大风险，当前利用共享证书之间网站的安全脆弱性进行中间人攻击已经存在［1］。研究数据表明，世界排名前100的HTTPS网站及其子网站，63%存在可能被攻击的风险，可见这类安全风险隐患具有一定的普遍性。中间人攻击本质上是利用了证书共享中客户端对证书的信任关系，虽然部署证书应用的服务器安全配置和防护级别很高，但是攻击者可以通过攻击另一个共享同一个证书的配置相对薄弱的服务器，在获取了服务器的权限后，利用共享证书的信任关系实现对其他服务器的中间人劫持攻击，甚至可将HTTPS降级为明文传输的HTTP，从而实现传输内容的监听和篡改［1］。
本文详细内容请下载：
http://www.chinaaet.com/resource/share/2000006087
作者信息：
邹立刚1，张逸凡1，张新跃2，袁建廷3
（1.北京国科云计算技术有限公司，北京100190；
2.中国互联网络信息中心，北京100190；
3.新疆大学信息科学与工程学院，新疆乌鲁木齐，830046）
此内容为AET网站原创，未经授权禁止转载。