邱实牟承晋：《美国查封伊朗网站的严重警示》相关问题探讨的参考认知

点击：作者：邱实牟承晋来源：昆仑策网【原创】发布时间:2021-07-03 09:37:14

1.webp (26).jpg

《美国查封伊朗网站的严重警示》发表后，引起广泛关注。归纳相关问题，参考认知如下。

一、关于全球注册的互联网顶级域名（TLD）

1、根据威瑞信公司（Verisign）的统计，全球互联网（Internet，下同）注册的域名数量为3.635亿个。其中（截至2021年3月底）：注册的通用顶级域名（gTLD）1.842亿个，占比50.7%；国家/地区顶级域名（ccTLD）1.565亿个，占比43%；新通用顶级域名（ngTLD）0.228亿个，占比6.3%。

鉴于，威瑞信公司不仅管理及推送根域名的区块文件（Zone Files），而且运营及服务“.com”、“.net”、“.name”、“.cc”、“.tv”的顶级域名解析。因此，威瑞信公司的统计数据具有排他的显著权威性。

例如，中国互联网络信息中心（CNNIC）的域名数量统计（截至2020年12月底），“.CN”域名数量为1,897万个；而威瑞信公司的“.CN”统计数量为2,070万个（注：中国信息通信研究院“.CN”的统计数量为2,300万个）。

此处顶级域名统计数据，指的是在顶级域名下注册的有效域名（不一定是在用域名），包括互联网所有的二级（权威）域名。

但是，从根域名的层面，“顶级域名”指的是根域名的区块文件，其中包括因特网名称与数字地址分配机构（ICANN）授权的所有顶级域名gTLD、ccTLD、ngTLD等，与威瑞信公司的域名数量统计不能等同，亦是不同的层次以及不同的域名注册机构。

根据因特网数字分配机构（IANA）的公开“根区数据库”，全球因特网共有1,589个授权的顶级域名（截至2021年6月30日），其中：

根据ICANN的分类定义，通用顶级域名（gTLD）是4个，新通用顶级域名（ngTLD）是1,240个：

在“赞助专用”的顶级域名中包括：

2、有提出质疑，

就原理部分而言，根域名对顶级域名的控制权、顶级域名对二级（权威）域名的控制权，无可非议。如果从根域名上删除“.com”，就会屏蔽全部.com；如果从.com顶级域名删除比如12306.com（二级域名），所有的*.12306.com 都会被屏蔽。

请注意，“根域名”主要包括两个方面，1）注册和授权顶级域名，即区块文件，且是公开的；2）运营和服务，即是全球因特网的13个分布式的根域名系统（和1,381个节点/Instance）。

但是无论理论或规范，这两个方面都不应该涉及二级域名（如：12306.com），既没有二级域名的注册信息，也无需为二级域名提供解析服务。因此，在“根域名”层面，只能看到或删除某个“顶级域名”（缺省删除的是该顶级域名下的所有二级域名及其关联的子域名）。

在任何常态情况下根域名系统都不可能删除通用顶级域名（gTLD），充其量只可能删除某个或某些国家/地区的顶级域名（ccTLD）；一旦发生这种情况，应是进入了战争状态。例如，1991年第一次海湾战争，伊拉克的国家顶级域名“.IQ”一度被删除。换言之，从根域名上也可以删除中国国家顶级域名“.CN”，也就间接且无差别地删除了所有“.CN”下的2,070 万个权威域名（包括“12306.cn”），但不能直接仅删除“12306.cn”。

二、关于gTLD 与ccTLD、ngTLD

1、目前，通用顶级域名（gTLD）的应用最为广泛，或者可以说，互联网应用和业务的互联互通主要依托在gTLD。此外，一些国家出于不同的原因限制其国家顶级域名（ccTLD）的注册量和使用范围，例如：“.US”（美国），“.RU”（俄罗斯）。同样，新通用顶级域名（ngTLD）往往与特定的业务或地区相关，受到不同程度的约束。

所以，域名注册的数量是一个指标，更为重要的指标是“活跃”（在用）应用域名的数量分布及其占比。

显然，“.com”表现出一枝独秀，或是难以改变的一个“瓶颈”。

2、有提出质疑，

从根域名上删除.com，在没有备份根域名的情况下，所有.com的域名，包括12306.com、*.12306.com 都会被屏蔽；如果有备份根域名，那么影响范围就不包括备份根域名的服务区域；当然，可访问范围因此而受到限制。

这个理解似有偏差。

即使根域名的备份或镜像中包含所有请求数据，也必须在13个根域名解析服务系统中（和全球1,381个节点/Instance）同步。现实中，对于每天数以百亿计的域名请求数据量，备份没有可能也没有必要。

请注意，Verisign不仅是根域名区块文件的管理者和维护者，而且运营和服务“.com”等顶级域名。

一方面，“任播”（Anycast）技术目前唯一成功的应用是DNS，简化信息的同步是其中的一个必要条件。正因为如此，DNS的解析服务被分成三个层次迭代的“各司其职”过程。

另一方面，根域名和顶级域名，不论是注册授权（机构），还是解析服务（公司），都必须服从于美国法律的司法管辖；既然“关上门就是一家”（都在美国的司法管辖范围），又何必授人以柄、自找麻烦（激化矛盾）！

因特网的国家主权、技术垄断、司法管辖等都在美国掌握之中，这是一个不可回避的不争事实！

三、关于“绝对意义的断服功能”

1、标准化的域名解析是一个不可逆的“供应链”服务，包括：根域名、顶级域名、权威域名。

理论上，从根域名的区块文件中删除一个顶级域名，这个顶级域名及其所有的二级域名就从互联网中无差别地消失了。但是，从顶级域名的区块文件中可以屏蔽一个或一组二级域名及其所有的子域名（例如：这次伊朗注册在顶级域名“.com”和“.org”下的36个二级域名），所达到的断服断网效果更为精细精准，既有目标性和针对性，又不影响同一顶级域名下的其他二级域名。

虽然二级域名（即权威域名）作为资产，似乎是被掌握在注册人手中，但是从服务供应链的角度，完全受制于顶级域名的管理者和运营者，而对根域名的“镜像”无济于事。二级域名（权威域名）的拥有者只能管理其二级域名下的子域名（如三级、四级、…），例如：www.abchina.com（中国农业银行的门户网站），www.bankcomm.com（中国交通银行的门户网站）。

显见，尽管根域名（包括根域名的“镜像”）正常地提供域名解析服务，但是顶级域名解析服务的“断链”即造成断服断网，致使被精细精准“断链”的网络（站）断网和瘫痪。

美国利用Verisign，Afilias或PIR精准地切断伊朗的部分网站，不仅依照美国法律“理由充分”、“合理合法”，而且避免造成对ICANN/IANA（因特网数字分配机构）的国际化影响及被诟病。同时，也是对竞争对手的一次“杀鸡儆猴”警告。

需要指出的是，在域名解析服务的不可逆供应链中，还包括“递归域名解析服务”以及CDN的“专属专用”域名解析服务，超出了对伊朗事件的讨论范围。

2、有认为，

从根域名屏蔽顶级域名最有杀伤力和具有绝对意义的断服功能，原因是根域名容易备份，而权威域名被掌握在注册人手中。美国此次屏蔽伊朗网站的“操作”，就是从.com顶级域名中修改伊朗网站的NS（域名服务器）记录，导致无法正确解析到伊朗网站的“域名服务器”。

这个认识似有失偏颇。

如果说“从根域名屏蔽顶级域名最有杀伤力”，那仅仅是能够对某一个或多个顶级域名造成无差别的断服断网，而且是最为极端的可能性。根据美国司法部的公告及其检察官的起诉书，查封伊朗网站是因为美国公司“依法”不能为这些网站的属主提供服务。而分布式的根域名服务系统有3个分别在欧洲和日本，不属美国管辖，在根域名服务器层面查封伊朗部分网站（顶级域名）难以实现同步。此外，修改NS记录必须在所有根域名DNS服务器中同步，这个“动静”太大，欧洲和日本不会轻易承担这个（与伊朗及伊朗的盟国为敌）责任。

显然，Verisign轻而易举就可以做到，且可称其是“守法”、“遵令”。所以，真正具有实战力且具有威慑力的是：顶级域名的解析服务。设想，如果从顶级域名解析服务中（“合理合法”地）屏蔽二级（权威）域名“abchina.com”（中国农业银行），中国的金融体系就基本瘫痪了，而无须从根域名中删除“.CN”，或承担导致中美之间正面（或全面）冲突激化的风险和危机。

3、还有认为，

如果根域名、顶级域名可信赖，二级（权威）域名又由自己控制，“供应链”就相对安全。

需要注意的是，根域名、顶级域名、二级（权威）域名只是因特网数字资源（静态）供应链的组成部分，伴随着的是（动态）信息通信技术和服务（ICTS）供应链以及对风险管理的模式和方式，静态和动态的“供应链”进而形成了复杂的生态系统。也就是说，“可信赖”仅是一个期望目标，是否可及有待于持续不断地、系统性地发现和解决已知问题及未知风险。

因此，必须明确“可信赖”的边界、条件和场景以及历史与现状，且“可信赖”绝不是一个单调的技术问题，或不存在技术上的“一招鲜”。

四、综述

1、对域名解析服务供应链造成断服断网“功能”的认知包括：

1）根域名，所能造成的“断服”是全面性的，即目标是顶级域名（尤其是国家/地区的顶级域名），所造成的影响范围是对国家（地区）的无差别断服断网。

2）顶级域名（一级域名），所能造成的“断服”是精准性的，即目标是有针对性的（尤其是针对特定国家/地区的具体行业产业），所造成的影响范围虽然可能是有限的或局部的断服断网，所产生的破坏性的经济政治社会影响、混乱（和灾难），将可能是全局性、持久性或难以修（平）复的。

3）权威域名（二级域名），所能造成的“断服”是潜伏性的，包括服务体系、管理治理模式，以及DNS系统（指挥和控制）的关键技术。

2、正确地认识和理解“标准化的域名解析是一个不可逆的‘供应链’服务”极有必要，从“断服”角度看：

“供应链”之所以是“链”，其中的任何一个环节“断链”，供应链就不复存在了，即发生断服断网。因此，任何一个“链”的环节都具有“绝对”杀伤力，“相对安全”是不存在的，即“零信任”。

在“太阳风”事件中，虚假域名成为该事件的“杠杆”，DNS域名解析的CNAME（“旋转门”），被利用成为该事件的“始作俑者”和“支点”。这个案例再一次警示我们，ICTS（信息通信技术）供应链无所不在、无所不用。所以，网信安全无绝对，攻防一体无边界。

3、当前的斗争和竞争中一再地证明了“技术第一定律”：