ICS 33.040.40 CCS L78 YD 中华人民共和国 通信行业标准 YD/T XXXXX—XXXX 基于TLS和DTLS的DNS传输技术应用场景 Transmission technology scenarios for DNS over TLS and DNS over DTLS 点击此处添加与国际标准一致性程度的标识 （报批稿） XXXX - XX - XX发布 XXXX - XX - XX实施 中华人民共和国工业和信息化部 发 布 YD/T XXXX—XXXX I目 次 前言 .................................................................................. II 引言 ................................................................................. III 1　范围 ................................................................................ 1 2　规范性引用文件 ...................................................................... 1 3　术语和定义 .......................................................................... 1 4　缩略语 .............................................................................. 2 5　安全问题分析 ........................................................................ 2 6　应用场景分析 ........................................................................ 3 6.1　请求数据场景 .................................................................... 3 6.2　缓存监听场景 .................................................................... 3 6.3　数据传输场景 .................................................................... 4 6.4　服务器端场景 .................................................................... 4 6.4.1　DNS服务器 ................................................................. 4 6.4.2　递归服务器 .................................................................. 4 6.4.3　权威服务器 .................................................................. 4 6.5　身份行为分析 .................................................................... 5 YD/T XXXX—XXXX II前 言 本文件按照 GB/T 1.1—2020《标准化工作导则 第1部分：标准化文件的结构和起草规则》给出的规 定起草。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。 本文件由中国通信标准化协会提出并归口。 本文件起草单位：中国互联网络信息中心。 本文件起草人：董科军、周琳琳、张曼、延志伟、姚健康、李洪涛。 YD/T XXXX—XXXX III引 言 DNS（domain name system，域名系统）是互联网上最为关键的基础设施，其主要作用是将枯燥难 记的主机名称映射为易于记忆的 IP地址。随着互联网日新月异的快速发展，互联网的“中枢神经系统 ” DNS现已成为最为重要的基础服务 ，例如 WEB访问、Email服务在内的众多网络服务都和 DNS息息相关 ， DNS的安全则直接关系到整个互联网应用能否正常使用。 由于 DNS 协议缺乏必要的认证机制，客户无法确认接收到的信息的真实性和权威性，基于名字的 认证过程并不能起到真正的识别作用 ，而且接收到的应答报文中往往含有额外的附加信息 ，其正确性也 无法判断。此外， DNS的绝大部分通信使用 UDP，数据报文容易丢失，也易于受到劫持和欺骗。 因此分析加密传输的 DNS的风险及其应用场景是对 DNS协议进行改进的基础 ，为制定加密 DNS协议 提供隐私问题分析内容及场景分析。YD/T XXXX—XXXX 1基于TLS和DTLS的DNS传输技术应用场景 1　范围 本文件规定了改进的基于 TLS和DTLS的DNS传输技术应用场景，包括请求数据、缓存监听、数据 传输、服务器端和身份行为分析。 本文件适用于域名相关注册管理机构和服务机构。 2　规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款 。其中，注日期的引用文件 ， 仅该日期对应的版本适用于本文件 ；不注日期的引用文件，其最新版本（包括所有的修改单 ）适用于本 文件。 GB/T 33134- 2023 信息安全技术 公共域名服务系统安全要求 3　术语和定义 GB/T 33134- 2023界定的以及下列术语和定义适用于本文件。 3.1　 域名 domain name 域名系统名字空间中，从当前节点到根节点的路径上所有节点标记的点分顺序连接的字符串。 [来源：GB/T 33134-2023 3.2] 3.2　 顶级域 top level domain 域名系统名字空间中根节点下最顶层的域。 [来源：GB/T 33134-2023 3.4] 3.3　 资源记录 resource record 域名系统中存储的与域名相关的属性信息。 [来源：GB/T 33134- 2023 3.5] 注：每个域名对应的记录可能为空或者多条。域名的资源记录由名字、类型、种类、生存时间、记录数据长度、记 录数据等字段组成。 3.4　 解析器 resolver 向名字服务系统发送域名解析请求，并且从名字服务系统返回的响应消息中提取所需信息的程序 。 YD/T XXXX—XXXX 2[来源：GB/T 33134- 2023 3.12] 注：解析器软件通常集成到操作系统内核或者应用软件中。 3.5　 权威域名服务器 authoritative name server 对于某个或者多个区具有权威的服务器，保存其原始域名资源记录信息。 [来源：GB/T 33134-2023 3.13] 注：简称“权威服务器”。 3.6　 递归域名服务器 recursive name server 负责接收用户端发送的请求，然后通过向各级权威服务器发出查询请求获得用户需要的查询结果 ， 最后返回给用户端的解析器。 [来源：GB/T 33134- 2023 3.14] 注：简称“递归服务器”。 4　缩略语 下列缩略语适用于本文件。 ccTLD 国家代码顶级域 Country Code Top Level Domain DHCP 动态主机配置协议 Dynamic Host Configuration Protocol DNS 域名系统 Domain Name System DTLS 数据包传输层安全性协议 Datagram Transport Layer Security HTTP 超文本传送协议 Hypertext Transfer Protocol IAP 互联网接入提供商 Internet Access Provider IP 网际互连协议 Internet Protocol IPSec 互联网安全协议 Internet Protocol Security TCP 传输控制协议 Transmission Control Protocol TLS 传输层安全性协议 Transport Layer Security UDP 用户数据报协议 User Datagram Protocol VPN 虚拟专用网络 Virtual Private Network 5　安全问题分析 域名服务系统（ DNS）是重要的互联网基础设施组成部分之一。客户端（又称解析器， stub resolver）向递归服务器发出 DNS查询，例