導(dǎo)讀:PC相關(guān)PC相關(guān)DNS(域名系統(tǒng))類似于Internet的電話簿：它告訴計算機在哪里發(fā)送信息，在什么地方搜索信息。遺憾的是，它也接受因特網(wǎng)提供給它的任何地址，這并不成問題。 itil系統(tǒng)知識itajai旅游知識問答。

DNS(域名系統(tǒng))類似于Internet的電話簿：它告訴計算機在哪里發(fā)送信息，在什么地方搜索信息。遺憾的是，它也接受因特網(wǎng)提供給它的任何地址，這并不成問題。

域名系統(tǒng)安全擴展是因特網(wǎng)工程任務(wù)小組(IETF)為應(yīng)對域名解析過程中的威脅(例如緩存中毒攻擊和DNS欺騙)，確保域名系統(tǒng)(DNS)為因高端網(wǎng)站建設(shè)特網(wǎng)協(xié)議網(wǎng)絡(luò)提供一套特定類型的信息規(guī)范。通過域名服務(wù)器向DNS客戶機(解析器)提供的DNS數(shù)據(jù)源的認(rèn)證，驗證其無存在性，驗證數(shù)據(jù)的完整性。DNSEC利用基于公鑰加密的數(shù)字簽名技術(shù)來提高DNS數(shù)據(jù)驗證的強度。

為什么要用DNSSEC？

在1980年代，DNS設(shè)計的互聯(lián)網(wǎng)規(guī)模較小，而安全性并不是設(shè)計的首要考慮。因此，當(dāng)遞歸解析器將查詢發(fā)送到權(quán)威域名服務(wù)器時，解析器不能驗證響應(yīng)的真實性。解析器只能檢查發(fā)出響應(yīng)的IP地址是否與發(fā)出初始查詢的IP地址相同。但是，DNS響應(yīng)包的源IP地址很容易被偽造或篡改，依賴于響應(yīng)對應(yīng)的源IP地址不是一種強大的驗證機制。

考慮到DNS的最初設(shè)計，分析器不能很容易地識別查詢的假反應(yīng)。攻擊方很容易以權(quán)威服務(wù)器為回應(yīng)對象，然后以解析器為初始查詢對象。換言之，攻擊者可以悄悄的將用戶重定向到潛在的惡意網(wǎng)站。

例如，2014年9月，CMU的研究人員發(fā)現(xiàn)可以通過Yahoo！由Hotmail和Gmail服務(wù)器通過流氓郵件服務(wù)器傳送的電子郵件。因為攻擊者利用域名系統(tǒng)(DNS)進行攻擊已有數(shù)十年之久，而且由于此漏洞的存在，DNS將接受未經(jīng)檢查證書的回應(yīng)。

DNSSEC協(xié)議是解決這個問題的一個方法。DNS的信賴層通過提供身份驗證而增加。

在DNS解析器查找www.dnspod.cn時，.cn名稱Server幫助解析器驗明由dnspod.cn返回的記錄，而dnspod.cn則幫助驗明由www.dnspod.cn返回的記錄。rootDNS名稱服務(wù)器有助于驗證.cn，并且root發(fā)布的信息會被完整的安全程序?qū)彶?包括root簽名儀式)。

概述DNSEC運行模式。

DNSSEC利用私有密鑰加密技術(shù)對授權(quán)區(qū)域數(shù)據(jù)進行數(shù)字簽名，有效地防止了互聯(lián)網(wǎng)社區(qū)偽造DNS數(shù)據(jù)的行為。通過DNSEC驗證，可以確保數(shù)據(jù)來自建設(shè)網(wǎng)站公司指定的源，且不會在傳輸期間修改。DNSEC還能證明域名不存在。簡言之，DNSEC依靠數(shù)字簽名來保證DNS應(yīng)答件的真實性和完整性。

關(guān)鍵詞標(biāo)簽: PC DNSSEC