今天，互联网已经发展成为了一张覆盖全球、连接数十亿设备的巨大网络，承载着对生产生活十分重要的通信任务。为了使得距离遥远、互不相识的两个节点能够可信、可靠地通信，互联网提供了相应的基础设施。从网络层到应用层，共有 3 个最重要的基础设施，如图 1所示。
・边界网关协议（border gateway protocol,BGP）通过将 IP 地址前缀关联到自治域和域间拓扑，计算域间路由，实现了全球互联网的基础连通性。
・域名系统（domain name system，DNS）通过将域名映射为 IP 地址，将应用层服务名与网络层地址关联起来，使得服务能够在网络中被访问。
・公钥基础设施（public key infrastructure， PKI）通过将企业身份信息和其他信息关联到公钥，将网络通信实体与真实世界的真实身份关联起来，使得通信变得可信。
当前，这些基础设施或其背后所依赖的安全可信系统都采取了如（a）所示的中心化的设计。该设计的基本原理是，单一可信根节点为整个系统的信任锚点，它为中间层的可信节点 “背书”，中间层节点进而再为叶子节点 “背书”，可信关系由根层层传递到叶子。以 BGP 为例，BGP 本身虽然是分布式的协议，但其可信基础是资源公钥基础设施（RPKI），用以验证 BGP 地址前缀宣告的合法性、保障 BGP 的安全。RPKI 采用了中心化、层次化的机构，RPKI 的系统设计的具体介绍如（b）所示。RPKI 以 IANA 为根节点，全球五大地区的 RIR 为第二层节点，向下可能还包含国家 NIR 节点，各个运营商为叶子节点。RPKI 自顶向下的信任关系靠逐级颁发的资源证书（resource certificate，RC）来承载，RC 用于声明某个节点对某个 IP 地址前缀的所有权。最终，拥有资源证书的叶子节点可以通过发布路由源认证（route origin authorization，ROA）授权某个自治系统（AS）号，允许该 AS 在发出的 BGP 消息中进行该节点持有的 IP 地址前缀的宣告。相应地， BGP 路由器在收到 BGP 消息后可以利用 PRKI 形成的证书链来验证 BGP 前缀宣告的合法性。类似地，DNS 系统也是以根服务器为中心的层次化系统，各级顶级域名服务器为中间节点，权威域名服务器为叶子节点。DNS 系统的安全扩展 DNSSEC 仍然依赖于 DNS 的系统结构，自上而下逐级进行公钥背书和签名，其基本安全原理仍然是中心化的。而 PKI 系统也同样采取了具有中心根节点的层次化结构。
以上这类中心化的系统存在一些根本的问题。该类系统中，中心化的权威节点是系统的信任锚点，其权利过大，可以单方面地通过撤销证书或者数字签名，移除对后继节点的信任背书或者给虚假节点授信，从而损害真实节点的利益。由于这些基础设施是全球化的，所以一个中心节点的恶意操作带来的负面影响是全球性的。比如一个中心节点可以为其他国家的节点进行信任背书，撤销授信或者为虚假节点授信，都会对其他国家的可信服务带来破坏性的影响。这些中心权威节点可能有各种各样的原因去做这样的操作，比如因为被黑客控制或者管理员错误配置。一个中心节点也可能无法做到完全中立，由于利益冲突、政治或法律原因而存在偏见。以下列举了一些现实中由于前述中心化架构而导致的安全事件。
分布式账本层为名字空间管理层提供去中心化的基础能力，主要关注构建去中心化的底层基础平台。名字空间管理层在分布式账本层提供的基础平台上，实现互联网名字空间的去中心化。同时，又为依赖这些名字空间的应用层 App 提供可信基础，实现更贴近用户业务的应用开发。
近些年来，以区块链为代表的分布式账本技术得到了快速的发展。然而，分布式账本更重要的价值，是作为去中心化的平
台，支持去中心化的网络应用。D 利用分布式账本的如下能力，构建去中心化的互联网基础设施。
(1) 去中心化的系统结构 系统中没有恒定的特权节点（尽管在某段时间内有些节点拥有更大的权力，但如果该节点用特权作恶，则会被其他节点替代），长期来看所有节点的地位是平等的。这符合去中心化互联网基础设施的信任模型。
(2) 分布式共识机制 这是分布式账本技术的核心，所有节点采用去中心化的机制达成共识。D 需要共识机制来实现互联网名字空间等网络资源所 有权的唯一性以及相关应用的一致性。
(3) 智能合约 运行于分布式账本之上的计算环境，先进的智能合约能够支持图灵完备的计算模型，理论上支持任何应用程序。D 对于互联 网名字空间的管理需要复杂的逻辑，而开放的应用层则需要支撑任意的应用程序，因此需要智能合约技术。
(4) 可信交易的能力 各个账户之间可以通过交易相互转账，这赋予了分布式账本内在的价值传递能力。利用该能力，不仅可以为第三方的开 发者提供技术平台，还能够提供技术变现能力。
3.1D 川对分布式账本的技术需求 当前的分布式账本主要分为两类：公有链和联盟链，然而这两类分布式账本均存在一定问题，不能直接用于 D 系统。 公有链以比特币和以太坊为代表，运行在公有互联网之上，开放给任意节点加入，具有很好的动态性。但是由于其不对 加入节点做任何限制，导致节点数量过于庞大且系统过于暴露，进而导致系统共识效率低下，且恶意攻击层出不穷。
作为互联网核心资源 (P 地址、ASN、域名等) 的管理平台，从安全的角度考虑，不希望任何人都能不加约束地随意加入；从需求角度 讲，也并非任何人都有申请核心资源的需求 (例如只有 SP 或者较大组织才有申请大块地址的需求)。
公有链并不满足以上要 求。 联盟链以超级账本为代表，一般运行在局部网络中，只有被认证准入的节点才能够加入，节点数量较少。相比公有链，联 盟链具有更高的性能和更好的安全性，即使出了问题也可以通过认证渠道进行追责和解决。但是，联盟链技术难以直接应用于 D. 这是因为 D 作为全球互联网的基础设施，参与的节点数量是非常庞大的。而当前联盟链依赖静态配置的准入列表，难以适
联盟链以超级账本为代表，一股运行在局部网络中，只有被认证准入的节点才能够加入，节点数量较少。相比公有链，联
盟链具有更高的性能和更好的安全性，即使出了问题也可以通过认证渠道进行追责和解决。但是，联盟链技术难以直接应用于
D. 这是因为 D 作为全球互联网的基础设施，参与的节点数量是非常庞大的。而当前联盟链依赖静态配置的准入列表，难以适
应庞大系统的动态性。比如 Hyperledger 就需要手动静态配置节点列表，列表的更新需要系统重启，甚至会引入中心化管理配
置。
3.2 准入控制机制
现有公有链没有准入机制，但有很好的动态性，节点可以动态加入和下线。而联盟链拥有准入机制，但是系统扩展性一般较
差，容纳节点数有限。为了仅允许合格的组织 (如运营商、企业、高校) 等动态加入系统申请资源，简单给出一种同时实现背书
准入机制和动态节点管理的机制，该机制允许 D 川系统中的已有背书节点为新节点背书或者停止背书，从而实现节点加入和离
开。
该机制的基本原理如图 4 所示。DI 川系统初始化会有一个背书者 (endorser) 列表，该列表中记录了 D 系统内有背书能力的
节点信息。所有要加入的节点均需要通过一个或多个背书者的背书才允许加入该系统。图 4 中以各大地区的互联网注册中心
RIR (AFRINIC、APNIC、ARIN、LACNIC、RIPE NCC) 以及各个国家的注册中心 NIR (如 CNNIC、JPNIC 等) 作为背书机
构，只有被至少一个背书机构准入的组织才有资格加入 D 川，其账户信息才被写入由智能合约维护的准入节点列表。实际使用
中，该列表的初始化确定需要通过线下的沟通和协商。背书机构的名单也可以增加或减少，这由背书机构彼此投票来确定。具体
的加入流程如下。
(1) 假如某个 NSPX 要加入 DI 系统，X 需要首先在本地下载 DI 系统的区块链客户端，并生成自己的账户 (account)) 和节点
标识符 (node ID).
(2) X 通过线下的方式向某个背书者申请背书，并将自己的信息 (加入 D 设备的 P 地址信息、X 的账户和节点标识符) 发送
给某个背书者 A。同时 X 还要通过线下方式获取背书者 A 的相关信息（如能证明其身份的某个公钥）。
(3) 背书者 A 在 Dl 系统中发起背书交易，将 X 的节点标识符信息写入区块链的背书清单 (endorsement list) 中。背书清
单保存有当前系统里所有的节点背书信息。
(4) 背书者 A 向 X 提供的 IP 地址发起节点问询 (ping node) 消息，确定该背书申请确实是 X 发起的；节点问询消息中还要携带 A 的签名，用于 X 验证 A 的身份。节点问询消息为以太坊系统中节点间的握手消息为准，此处以此消息为例，不同系统可能有 不同消息，但功能大致类似。
(6) X 根据背书清单和相关节点发现算法进行节点发现，接入 D 川系统。虽然 D 系统中仍然存在 RIR 和 NR 等作为背书者的角色存在，但他们的职能与现有 RPKI 等中心化系统不一样。首先，在 DI 中，这些背书者只做申请组织的身份背书和准入认证，但并不主导资源分配。一个组织一旦被准入，即可独立地申请和拥有相关 资源，且资源归屋权不依赖于背书者。其次，一个组织可以从多个背书机构得到背书，因此即便有背书机构单方面撤销背书，该 组织仍然符合准入条件。
因此，D 大大消除了这些组织的中心化权利。 以上只是给出了准入控制的一个基本原理，在具体实现过程中，可以依照上述原理对已有的分布式账本技术（如以太坊等） 进行改造和增强，也可以按照实际需求实现定制化的分布式账本。此外，可以根据不同的应用需求来设计多个背书者列表，并根 据不同的背书者列表实现相应的准入控制实例；
这些背书者列表等信息以及后续所有 D 系统维护的信息均可以通过智能合约或 者类似的方式来实现。总之，以上问题都是需要在未来的研究和具体实现中进一步详细设计和深入解决的，本文不再详细展开。
4 名字空间管理层 互联网名字空间是 TCPP 协议的核心，也是互联网基础设施的核心。互联网最重要的两大基础设施， 即 BGP 与 DNS, 都是 围绕名字空间展开的。其中 BGP 将 P 地址前缀映射到 ASN (AS 号) 和 AS path (AS 路径)，从而计算出 IP 地址空间的域间路由。 可信的 P 地址前缀归屋权和映射关系十分重要，否则将存在 BGP 前缀劫持和路径劫持等网络攻击。DNS 将域名空间映射到 P 地址 空间，从而让服务在网络层能够被访问。可信的域名归屋权和映射关系也十分关键，否则将存在域名缓存污染等漏洞。
可信可靠的名字归屋和名字映射是基础设施可信可靠的甚础。正因如此，将名字空间管理层作为 D 架构的中间层，通过去 中心化的可信的名字归属和映射，保障互联网基础设施的安全可信，进而支持可信的上层应用。
4.1IP 地址和 AS 号管理 当前 P 地址和 ASN 的可信基础设施为 RPW.RPW 沿用了全球 P 地址分配系统的中心化树状结构，一方面通过中心权威机 构保障 P 地址和 ASN 的保证归属权的唯一性，另一方面要评估申请者的合理使用需求，在分配过程中防止名字空间的耗尽并防 止路由碎片化。 下面分析采用去中心化的方式实现全球 P 地址分配的可行性。
如果 P 地址初始归属权确定，则 P 地址转移可以采用交易的方 式在分布式账本上完成，过程相对简单，不展开阐述。此处主要介绍地址的初始分配过程。由于 PV4 地址空间已经分配完毕，此 处聚焦 IPv6 地址。DI 系统中，考虑 Pv6 地址分配的基本单位为 / 32，与 32 位 ASN 的可分配数量是相近的。
下面分析采用去中心化的方式实现全球 P 地址分配的可行性。如果 P 地址初始归属权确定，则 P 地址转移可以采用交易的方
式在分布式账本上完成，过程相对简单，不展开阐述。此处主要介绍地址的初始分配过程。由于 PV4 地址空间已经分配完毕，此
处聚焦 IPv6 地址。DI 系统中，考虑 Pv6 地址分配的基本单位为 / 32，与 32 位 ASN 的可分配数量是相近的。
IPv6 地址分配的系统如图 5 所示。已被准入的组织可以发起 IPv6 地址申请。以 ISPB 为例，它首先发起一个分布式账本交易，
内容是申请一个 32Pv6 地址的一年使用权，并支付地址使用年费。其他节点收到该交易后，通过智能合约检查申请者的合法性
和年费，并采用稀疏委托 (sparse delegation) 算法为 lSPB 计算出一个适合它的地址前缀。该算法的基本功能是为每个申请者
计算连续的地址空间，从而防止地址碎片化及路由膨胀。由于算法是确定的，全网对地址的分配也就是一致的、唯一的。使用权
到期之前，申请者要发起一个续约的交易并续交年费，否则该前缀将被智能合约重新放回地址池。
域名的管理与 P 地址有所不同。首先，域名是层次化的，P 地址空间是扁平的：其次，域名空间现实中是不可耗尽的，而 P
地址空间是有限的。对于 D 川来说，最应关心的是属于全人类共同资产的域名空间，而非归属于某个国家或机构的域名空间。本
文重点讨论通用二级域名 (如 example.com、example.net 等)。这是因为：
,.com、ne 等通用顶层域名属于人类共同资产，可以自由申请的就是相应的二级域名：
・在二级域名归属权确定后，相应的三级域名一股受同一管理域内管理，属于私有资产，不在去中心化管理范围内。此外，
国家码顶级域名 (。cn、jp 等) 需要线下协商，受篇幅所限不在本文中讨论。
域名管理逻辑可以在单独的智能合约中实现。不同于 P 地址申请者（以大型组织结构为主），域名申请者包括大量的个人和
小微组织，其部署分布式账本、承担维护开销的意愿较低。因此，可以利用当前域名管理体系中的域名中介代替申请者参与去中
心化域名申请过程，同时要避免权力的集中化。
去中心化的域名申请与转移如图 6 所示，二级域名 (SLD) 的申请者首先要生成一对公私钥 (公钥即 kX 和私钥 skX)。它将
自己的公钥 pkX 和要申请的域名 example.com 提交给某个域名代理 A.A 先检查该域名是否仍然闲置，如果闲置，则在分布式账
本中发起一个交易，内容是 pkX 伸请域名 example.com。其他节点收到交易后，同样要检查域名的可用性，如果可用，则写入
“example.com 的所有者是 pkX”。域名的申请与 lP 地址不同，前者采取先到先得的办法，后者需要用算法防止地址碎片化。域
名使用年费以及续期和逾期的处理办法与 P 地址类似，这里不再整述。
虽然 D 采用了域名中介在分布式账本上代替申请者管理域名，但域名的所有权仍然受申请者自身控制，不存在中心化问
题。这是因为，分布式账本中写入的是域名归属于 kX, 而只有持有相应私钥 skX 的申请者才能证明对域名的拥有权。即使域
名代理不为该申请者提供服务，申请者也可以通过其他的中介进行域名管理，而不会被中介绑定或挟持。以图 6 中的域名转移
为例，域名持有者需要通过私钥签名，才能操作相关域名的转移。其申请时可以通过中介 A, 转移时可以通过中介 B, 从而独立
掌握了域名的控制权。
由于域名解析数据量巨大且动态性极高，把全部解析数据 (如将域名 ww.example.com 映射到某些 IP 地址) 全部存储在分
布式账本上是不现实的。因此，D 仅将对安全域名解析最关键的信息存储在分布式账本中。域名 example.com 的特有者仅将自
己的公钥和域名的权威名字服务器的地址存储在分布式账本中，如图 7 所示。这些信息的特点是占用的存储量小、动态性小，不
会对分布式账本的性能和可扩展性带来过大的挑战。而存储量大、动态性高的信息存储在权威服务器中。
5.2BGP 路径算改检测 当恶意 AS 通过发布虚假 AS path 劫特路由时，通过现有 BGP 本身很难发现 AS path 被篡改，导致路由被劫持到恶意 AS, 造 成巨大危害。图 9 给出了一种 BGP 路径篡改的例子，AS400 伪造前缀 20.20.0.0/16，并发布虚假 AS path (400,200).AS600 收 到 2 条到达 20.20.0.0/16 的 AS path (400,200) 和 (500,100,200),AS600 根据最短路径原则，优选 AS400 到达 20.20.0.0/16。结果是，AS600 中目的地址为 20.20.0.0/16 的流量被劫特到 AS400 中。 基于 DI 系统，可以采用如下的 BGP 路径验证方法来检测 BGP 路径篡改。 AS 的拥有者可以通过交易的方式在 DI 上发布和其他 AS 之间的邻居关系，其他节点会验证发布者是否为该 AS 的真正拥有 者，验证通过后，该 AS 的邻居关系会被其他节点写入 D 川系统。由于发布虚假信息会导致某个 AS 的流量被劫持或进入黑洞，受 害者只有该 AS, 因此，AS 的真正拥有者不会有动机来发布虚假信息，即 DI 系统维护的 AS 邻居关系表是安全并且可信的。路由婴收 BCP 前图雨新当自
仍然以图 9 为例。假设 AS200 发布的邻居关系见表 1，当 AS600 收到 AS400 发布的 AS path (400,200) 时，可以通过表 1 验 证 AS200 同 AS400 域间邻居关系的可信性。显然 AS200 没有发布同 AS400 域间邻居关系，表明 AS200 没有同 AS400 建立域间邻居坐弦大比 AS600 可 l▣品川山 AC400 号 H 的口 GP nath 信自为志用言自
5.3BGP 路由泄露检测
互联网工程任务组 IETF) 的标准 RFC7908 针对 BGP 路由泄毒进行了分类，本节提供检测该 RFC 定义的前 4 种路由泄毒
类型的方法。具体路由泄盡类型如下。
AS 将接收自提供商的路由通告给了其他的提供商；
AS 将接收自对等者的路由通告给了其他的对等者；
AS 将接收自提供商的路由通告给了它的对等者；
AS 将接收自对等者的路由通告给了它的提供商。
AS200 收到来自提供商 AS100 的前缀 30.30.0.0/16，通告给了它的对等者 AS300, 该行为符合上述 BGP 路由泄毒类型 3，如
图 10 所示。AS300 根据现有的 BGP 无法识别出 AS200 泄露了前缀 30.30.0.0/16，如果 AS300 到 30.30.0.0/16 的流量优选 AS200 转
发，导致流量被错误地吸引到 AS200, 如果 AS200 负载能力不足，可能号致流量转发延迟或者被丢弃。
传统网站的可信性主要通过 PKⅪ 证书来保障两类信息的实现：域名的所有权和运营者的真实身份。只提供域名所有权证明的 证书被称为 DV 证书，而同时提供这两类信息保障的证书被称为 EV 证书，一股认为后者的可信性更高。基于第 4 节中介绍的域名 管理，D 可以利用智能合约提供的信息来提供网站运营者对该域名的所有权，即 DV 证书不再依赖任何第三方数字证书认证机构 (CA), 网站运营者可以自行向其用户提供智能合约相关信息来证明其对该域名的所有权。
在此基础上，可以在 D 中引入 CA 角色作为参与节点。CA 节点可以通过智能合约发布对其他节点账户的身份背书信息。逻 辑上，该身份背书信息完全独立于域名管理系统信息。如果某个节点在已有身份背书的同时也拥有某些域名，则其可以同时提供 给其网站用户相关的域名所有权信息和身份背书信息。
用户可以基于 D 来对这两类信息进行验证，从而实现 V 证书级别的认 证。 需要说明的是，网站在通信中使用的公钥仅与域名所有权绑定，而不与身份背书绑定。因为域名所有权的证明已经完全地去 中心化了，安全性更高，而后者仍然依赖于 CA. 在 D 川中，一个网站可同时从多个 CA 获得身份背书，以避免当前 PN 证书体系下单个 CA 单方撤销证书而造成网站信任锚 点的情况。在最坏的情况下，即使所有 CA 同时取消对某个节点账户的身份背书，也无法剥夺其域名所有权，最多将该账户所运 营网站的可信性从 EV 级别降到 DV 级别，从而削弱了中心化 CA 单方面操作造成的影响。
由于现有的互联网核心资源 (包括 P 地址、ASN 和域名) 的分配和管理已成为事实并广泛使用，不可能一次全部转移到 D 川
系统上，本节提供了一种可以从当前集中式资源管理方式进行演进的方案，在不影响资源使用的基础上，逐步实现核心资源的去
中心化管理。
6.1IP 地址管理和 ROA 能力
D 川系统可以在不改变现有 P 地址分配系统的基础上，通过收集现网 BGP 前缀信息、获取 P 地址归属权和 ASN 映射关系，进而
维护在 D 系统中，为后续应用提供真实可信的信息。具体方案如图所示。
步骤 1ISPA 通过现有 IPv6 地址分配机制获得地址 2001da8:32.ISPA 向其他 AS 发布 BGP 消息，该消息携带地址前缀 2001:da8:32、AS path100 以及所有者的公钥信息 pkA。该消息实际上实现了两个功能，一是将 1P 地址 2001:da8:32 和公钥 pkA 进行了绑定，在步骤 3 中被其他节点用来验证该 1P 地址在 D 系统中的归屋权；二是将 P 地址 2001:da8:32 和 AS100 进行了绑 定，在步票 3 中被其他节点用来验证 ROA 详细的合法性。公钥信息 pkA 可以通过扩展现有的 BGP 更新 (update) 消息来携 带，具体的消息格式不在本文阐述。 步票 2SPA 在 D 川系统中发起 IP 地址归屋权和 ASN 映射关系的交易。交易内容是公钥 PkA 所对应的私钥特有者 (即 ISPA) 是 IPv6 地址 2001da8:32 的所有者，并通过 AS100 发布相应的前缀”。为了防止作恶，路由被短暂地劫特，该路由需要在网络中 稳定存在一段时间。例如 10 天内，稳定存在 5 天以上，其他节点才会认为 lSPA 是该地址的真正所有者。ISPA 待路由满足上述规 则后，再发起交易，确保网络中的节点都认同该前缀相关信息的可信性，避免交易失败。 步骤 3 验证节点收到交易后，获取 P 地址前缀、所有者的公钥信息和授权进行 BGP 宣告的 ASN。然后验证节点再从路由器获 取该地址前缀的相关路由信息，包括在本地存储路由的存活时间、ASN、地址所有者的公钥等信息，对交易的信息进行验证。
如 果路由器上的消息和交易消息一致，则验证通过。验证节点达成共识后，将 P 地址的归属信息和 ROA 信息写入分布式账本。 通过上述方法，路由的 ROA 存储在分布式账本中。各个网络可以读取 ROA, 并生成路由的验证列表，写入 BGP 路由器，进 行 BGP 源地址验证，提升路由安全]。
地址的所有者对于 ROA 有完全的控制权限，并不依赖于任何第三方权威，避免中心节点单 方面撤销授信或者为虚假节点授信，对可信服务带来破坏性的影响。 6.2ASN 管理和域间邻居关系 DI 系统可以在不改变现有 ASN 分配系统的基础上，通过收集现网 BGP 信息，将 ASN 的归属信息存储在分布式账本中，进而支持 AS 所有者在分布式账本中存储可信的 AS 域间邻居关系，实现去中心化的 AS 域间邻居关系管理。ASN 的管理类似于 P 地址管 理方式，具体方案如图 12 所示。
(1) ISPB 通过现有 ASN 分配机制获得 ASN200.ISPB 向其他 AS 发布前缀信息时，携带 ASN:200 和该 ASN 所有者的公钥信息 pkB。该方案需要扩展 BGP 更新消息，携带 ASN 所有者的公钥信息，从而绑定 ASN 和所有者的关系，具体的消息格式不在本 文阐述。
(2) ISPB 发起拥有 ASN:200 的交易，交易内容是 " 公钥 kB 所对应的私钥的特有者 (即 ISPB) 是 AS200 的所有者”。为了
防止作恶，ASN 信息需要在网络中稳定存在一段时间，再发起交易，确保网络中的节点都认同 ASN 所有者信息的可信性，避免交
易失败。
(3) 验证节点收到交易后，根据 ASN 获取 ASN 所有者的公钥信息，验证通过后接收该交易。验证节点达成洪识后，将 ASN
所有者的信息存储在分布式账本中。
明确了 ASN 的所有权后，ASN 的所有者可以发起该 AS 域间邻居关系的交易。验证节点收到该交易后，先验证 ASN 的所有
权，只有 ASN 的所有者才能发起 ASN 的相关交易。验证节点达成共识后，将 AS 域间邻居关系存储在分布式账本中，见表 1。可
信的域间邻居关系可以应用于 BGP 路径算改和路由泄露检，方法详见第 5 节。
6.3 域名管理
D 川可以在不改变基于现有域名分配系统的基础上，基于既成事实的域名所有权状态来实现 D 川系统里的域名所有权的初始
化。基本原理如图 13 所示。
(1)假设某个用户 A 已经通过现有域名管理系统获得域名 example.com。用户 A 需要启用该域名，并该域名对应网站的 P
地址维护到现有的 DNS 系统中。对应的网站 (以 www.example.com 为例) 需要有提供验证信息的能力。
(2) 用户 A 在 DI 系统上发起交易，宣告对 example.com 的拥有权，并将该域名和某个公钥 PK 绑定，即声明公钥 PK 对应的
私钥的持有者才是该域名的拥有者。
(3) 验证节点 (如 C) 收到交易后，从当前 DNS 系统中获取目标网站对应的 IP 地址。
(4) 验证者 C 和该网站建立连接并执行验证；验证通过后，C 认为该交易合法。
(5) 多数节点验证通过后，该域名的所有权信息被写入 D 系统。
验证的方式取决于网站自身，D 不做任何限制，本文提供两种思路供读者参考。第一种方式，网站上可以发布某个随机数和相关私钥 sk 对应的签名，验证者凭 D 系统上获取的公钥 k 可以对签名进行验证，验证通过则说明该域名的拥有者持有的私钥 sk 和 D 上发布的公钥 pk 是一对密钥对，即私钥 sk 的持有者就是域名的拥有者。第二种方式，网站可以使能某种交互能力，验证者 生成一个随机数，用公钥 k 加密并发送该网站，要求网站回复私钥 sk 解密后的随机数，解密的随机数正确，说明该网站拥有 D 川 系统上公钥 PK 对应的私钥 sk. 明确了域名的所有权后，域名的所有者可以撤销现有 DNS 系统内的发布信息，并将该信息维护在 D 系统上，进而可以用图 7 所示的方式来提供 DNS 服务。
以上 3 种过渡方案仅给出了如何将既成的资源所有权事实同步到 D 系统中。一旦资源所有权信息同步到 D 系统中以后， 就可以在 D 川系统上增加新的资源回收能力，资源过期后由智能合约回收到 D 资源池。资源池中的资源则可以使能第 4 节所述 完全去中心化的管理方式。资源的回收和再分配将受到国际机构间的策略和博弈的影响，超出了技术范畴，本文不再详细讨论。
互联网基础设施的去中心化议题已经得到了越来越多的关注。国际互联网工程任务组（IETF）成立了去中心化互联网基础设施研究组（DINRG）。在 DINRG，斯坦福大学的团队提出了适合互联网基础设施的去中心化一致性协议 SCP [9]；伯克利大学提出去中心化的映射系统 [10]；去中心化身份基金会推动去中心化身份系统 [11]，受到了学术界和工业界的广泛关注。
针对 RPKI 的中心化问题，Cloud Flare 推出了 RPKI Transparency 技术和产品 [12]，但只是采用事后审计的方式来检查中心节点的恶意行为，无法做事前预防。单点问题的本质是中心节点的权威和数据，DII 通过分布式共识取代了中心权威节点，通过分布式账本取代了中心数据库，从根本上解决了中心化问题。西班牙加泰罗尼亚理工大学（UPC）分析采用 Proof of Stake 算法管理 IP 地址空间 [13]。西班牙马德里卡洛斯三世大学（UC3M）则基于以太坊开展了用区块链管理 IP 地址空间的实验 [14]。
针对于域名系统的中心化问题，业界已经有多个去中心化域名项目，如 Namecoin [15]、BNS （Blockstack Naming System）[16]、ENS（Ethereum Naming Service）[17] 等。这些方案都聚焦于解决中心化问题，但也带来了域名解析过程中的其他问题。Namecoin 和 BNS 中，DNS 客户端仍然需要无条件信任某些本地的域名解析器，而无法对解析结果进行验证。这些本地域名解析器可通过单方面的信息篡改对客户端和域名持有者作恶。ENS 中，客户端虽然可以对解析结果进行验证，但是每次请求需要付出巨大的验证开销。
针对 PKI 的中心化问题，谷歌提出了证书透明化（certificate transparency，CT）方案 [18]。该方案利用一个额外的 Log 系统来记录证书发布的所有历史，同时各网站合法运营者会通过监控器（monitor）实时监测相关证书的发布行为。一旦出现 CA 作恶的情况，监控器会向合法的网站运营者进行告警。CT 在一定程度上可以缓解 PKI 体系的中心化问题，但由于它是一种被动式的防御方案，只能在事后进行弥补，无法从根本上阻止中心化问题带来的恶意行为。