互联网中服务提供者身份的可信度

1概述

随着互联网的快速发展，互联网已经极大的改变了人类社会生活的方式，但是与此同时，也伴随产生了很多新的问题，比如恶意攻击、垃圾邮件、计算机病毒等等，这些问题阻碍了互联网的进一步发展.学术界和产业界不断对这些问题进行深入研究，并将其中比较重大的研究成果规划到下一代互联网中.清华大学的林闯教授指出:新一代互联网的特征可以用可控、可信、可扩展来概括，同时，可信的互联网络的特性包☏ฆ括:安全性、真实性、可审计性、私密性、抗毁性和可控性.我们认为，可信互联网的特点还可以概括为身份可信、传输可信、行为可信.其中身份可信是其它特性的重要基础、身份可信包括了服务提供者的身份可信和服务使用者的身份可信两个完全不同的领域.我们在研究互联网的身份可信问题时，主要研究的是服务提供者的身份可信，因此如果没有特别说明，本文提到的身份可信指的是服务提供者身份可信的问题.

实践证明，互联网上的身份可信问题是一个比较复杂的问题，直到现在，钓鱼网站、域名劫持、假冒IP地址广播等等各种互联网的身份不可信问题仍然不时出现，其中一些事件还会对社会正常运行造成一些严重后果，比如在2010年1月12日，中国著名搜索引擎百度的域名就被劫持，页而被换成黑色以及伊朗国旗，给百度造成的直接经济损失高达700万人民币.在我们的研究过程中，我们发现解决互联网的身份可信问题，应该从3个层面来开展:域间路由领域的身份可信、域名解析服务的身份可信、以及互联网应用服务的身份可信，也就是从IPผ路由层面、域名解析层面和互联网应用层面分别来解决互联网的身份可信问题，三个层次互相支持，可以构成一个比较完整的互联网身份可信体系.

目前在互联网社区中，这三个层面都已经开始了身份可信的研究和实践，并取得了很大的进展.在域间路由领域，已经发展出了RPKI并发表了14篇相关的RFC;在域名解析服务的身份可信领域的DNSSEC发展最为成熟，在2005年就已经发布RFC4033 ,RFC4034, RFC4035，并在2008年发布RFC5155，目前已经进入大规模部署阶段，截止2014年1月31日，已经有238个TLD已经部署了DNSSEC;在互联网应用层面解决服务提供者身份可信的问题是一个比较新的方向，国内的产业界比较活跃，应用最广泛的是基于域名技术的可信网站标识技术.

2域间路由领域的身份可信问题

互联网上有时候会有人因为各种原因，比如被黑客攻击或者错误配置了参数，广播了不属于自己的地址，这就是路由劫持.路由劫持对互联网的正常运行危害非常大，会导致大而积的网络瘫痪和服务不可用.一些比较著名的路由劫持事件有:1997年4月的AS7007 Incident事件，2004年的12月土耳其TTNet路由劫持事件，2006年1月Con-Edison路由劫持事件以及2008年巴基斯坦电信劫持YouTube流量事件等.路由劫持事件的发生，主要原因是因为BGP协议缺乏对路由内容正确性进行校验，从而导致对路由信息的肆意修改.目前互联网社区正在计划部署的RPKI技术，正是为了增强域间路由安全、防止路由劫持而提出的一项技术，通过这项技术，可以建立起一套基于X.509的域间信任体系，从而杜绝各种非授权的地址广播行为.RPKI是基于X.509证书体系，保证互联网IP地址和AS号码等互联网基础号码资源正确性的基础设施，通过对X.509证书的扩展以及若干签名对象，RPKI实现了对互联网基础号码资源授权，并以路由源声明的形式进行验证.

RPKI包括两种证书:CA证书和终端实体证书.CA证书是用来证明某个实体对互联网基础号码资源的所有权;终端实体证书是用来对IP地址前缀的路由源信息添加签名的.传统上，IP地址和AS号码的分配是有全球五大地址注册机构负责的，所以，在RPKI体系中，IP地址和AS号码的所有权是主要由五大地址注册机构认定的，并通过对传统的X.509证书以关键扩展的方式体现在X.509的CA证书中，RFC3779就是该扩展的标准化文件，RFC3779详细规定了IP地址和AS号作为扩展域在X.509证书中的编码格式.另外，当需要授权某个AS为其特定的IP地址前缀通告路由可达信息时，IP地址的所有者使用其持有的CA证书签发一个EE证书来声明这种关系，然后再用EE证书产生一个路由源声明签名项.这样，一个路由源声明则包含了一个AS号码和若干IP地址前缀的对应关系，真实性是由CA证书、EE证书的签名来保证的.当RPKI需要验证时，RPKI验证者通过验证EZOA来验证一个路由通告中的IP地址资源、AS号码资源以及两者的对应关系是否是持有者签署声明的.

同时，RPKI相关支撑技术的标准化工作正在IETF域间路由安全工作组持续开展，2012年2月，IETF的SIDR工作组发布了14个和RPKI相关的RFC文档,涵盖RPKI的体系结构、操作模型、密钥算法、证书策略、运行管理等支撑RPKI运行的各个关键环节，标志着RPKI在技术层面已经基本成熟.RPKI成为ICANN下一个重点推广和部署的互联网基础设施.伴随着APNIC、RIPENCC等全球五大地址注册机构开始提供基于RPKI的资源认证服务，RPKI及其衍生的资源认证服务将对互联网的运行产生重大影响.

当然，实际工作中还有一些复杂问题需要进一步改进.比如，RPKI的认证关系由互联网码号资源的分配关系决定，APNIC, RIPE NCC互联网注册机构通过签发证书作为RPKI的一般信任锚点ม对RPKI体系施加管理和控制，但是有人认为本地信任锚点也应该成为传统信任锚点的补充和加强，具体实现方法仍然需要互联网社区范围中进一步讨论.

3结语

针对互联网中的服务提供者身份可信问题，本文从网域路由、域名解析和互联网应用服务ข3个层面讨论了互联网中服务提供者身份可信问题的理论研究的成果和实践，包括解决网域路由的身份可信问题的RPKI体系的原理和最新进展、反域名劫持的DNSSEC技术的主要原理和最新进展、以及网站可信标识体系的主要原理和最新进展.

可以说，高可信性是互联网下一步发展的重要方向，而目前互联网在高可信性方而的发展，也正是沿着以上三个方向展开，深刻认识并积极参与可信互联网的建设，对互联网的良性发展具有不可估量的正而作用.RPKI和DNSSEC技术都是由国外互联网社区主导推进的，而网站可信标识体系是由我国互联网社区发明并持续推动的、具有重大意义.