什么是域名系统安全扩展（DNSSEC）？

域名系统安全扩展通过引入各种安全措施来提升域名系统的功能。这些安全措施以签名的形式呈现。 这样可以防止用户在接收信息的过程中受到各种网络攻击的威胁，比如缓存中毒攻击以及中间人攻击等。 DNSSEC能够确保对DNS查询的响应来自正确的来源，从而让互联网成为用户和企业更加安全的环境。 通过DNSSEC技术，各组织能够提升其网站及所发送信息的可信度和可靠性。

什么是域名系统安全扩展？

DNSSEC（域名系统安全扩展）是一组旨在确保存储的DNS数据具有完整性和可靠性的协议。 它确保了从DNS查询中获得的响应不会与额外的、不必要的字符串混合在一起，也不会被伪造。这些响应来自可靠的来源，因此可以放心使用。 这是通过使用DNSSEC来实现的。DNSSEC利用的是对DNS数据的签名，而这些签名可以被解析器验证。 这种方法可以减少攻击者篡改或污染DNS响应的可能性，从而确保网络的安全性。这进一步提升了互联网基础设施的安全性。 无论如何，DNSSEC试图为DNS系统引入一种信任机制。不过，从本质上来说，DNSSEC本身并不具备安全性。

DNSSEC的特点/优势

• 数据来源验证：DNSSEC能够确保由DNS返回的信息确实来自正确的来源，且这些信息是准确无误的。
• 数据完整性：此外，该方法还确保DNS数据在传输过程中不会被篡改，因为采用了数字签名技术来防止这种情况的发生。
• 经认证的“不存在性确认”：DNSSEC不再需要将证明某些特定DNS记录不存在这一挑战交给攻击者来处理，从而有效阻止了攻击者伪造不存在的域名的行为。
• 信任链：它从根区域开始，一直延伸到所有区域的权威名称服务器，从而形成了一条信任链。这样能够提升DNS区域的安全性。
• 防止缓存中毒的保护措施：在DNSSEC中，DNS响应会被验证，从而消除了这种可能性。DNS缓存欺骗.

DNSSEC的组成部分

DNSKEY记录

• 描述：这些记录中包含了用于与DNS数据一起进行签名的公钥。每个区域都包含一个或多个DNSKEY记录。
• 目的：它们被用于确认/验证某事。数字签名这些内容都包含在 RRSIG 记录中。

RRSIG记录

• 描述：这些就是与DNS数据相关的数字签名。所有DNS记录的集合（即资源记录集）都通过私钥进行加密处理。
• 目的：RRSIG记录用于确认所传递的数据没有被修改，且数据仍然是原始的。

DS Records

• 描述：DS记录被用于父区域中，以验证子区域中存在的DNSKEY记录的有效性。
• 目的：它建立了一种信任链，这一链条从父母与孩子的区域开始。

NSEC记录和NSEC3记录

• 描述：无论是NSEC还是更先进的NSEC3，都提供了对数据存在性的确认。
• 目的：这表明，某个特定的域名或资源记录并不存在。

信任链

• 描述：这并非具体的记录，而是一種概念性的要素，它通过DNS区域来建立信任关系。这种信任关系从根区域开始，一直延伸到各个DNS区域中。
• 目的：c“信任的层次结构”使得DNS层级中的其他层次也能被信任，而这一切都是基于从最高层获取到的签名数据来实现的。

DNS安全扩展的目的

• 数据完整性：DNSSEC确保从DNS查询中获取的信息在处理过程中不会受到任何篡改。这是通过为DNS数据添加数字签名来实现的，这样接收方就可以验证这些数据是否发生了更改。

• DNS数据的认证：另一方面，DNSSEC还被用于签署DNS数据，从而确保用户所接收到的数据具有有效性。通过这种方式，可以确认所接收到的数据确实来自该域名的权威DNS服务器，而不是来自虚假或恶意来源的数据。

• 防御攻击措施：DNSSEC能够抵御多种针对DNS的威胁，包括DNS欺骗、缓存污染等。中间人攻击除此之外，这种攻击方式也可以通过DNSSEC得到有效遏制。因为DNSSEC只接受经过验证的DNS响应字符串，从而大大降低了这种攻击的可能性。

• 信任链：DNSSEC建立了一条“信任路径”，从根DNS服务器开始，一直延伸到具体的域名。DNS层次结构中的每一层都经过了签名和验证处理，这意味着从根服务器到特定域名的所有数据都是安全的。

• 防止DNS欺骗行为：DNS欺骗是指攻击者向用户提供错误的DNS记录，这些记录会将用户的请求指向攻击者的网站。而DNSSEC则通过确保DNS响应尽可能真实可靠来防止这种欺骗行为的发生。

• 确保域名不存在：DNSSEC还提供了一种机制，可以用来表示某些域名并不存在，比如使用NSEC或NSEC3这样的表示方法。因此，这些信息不会被任何人伪造。

DNS与DNSSEC之间的区别

参数

DNS（域名系统）

DNSSEC（域名系统安全扩展）