什么是DNSSEC，您是否应该为您的网站启用它？

DNS 是在 30 多年前设计的&＃xff0c;当时安全并不是互联网的主要关注点。如果没有额外的保护&＃xff0c;MITM 攻击者就有可能欺骗记录并将用户引导到网络钓鱼站点。DNSSEC 阻止了这种情况&＃xff0c;而且很容易开启。

DNS 本身并不安全
DNS 系统没有内置方法来验证对请求的响应不是伪造的&＃xff0c;或者过程的任何其他部分没有被攻击者中断。这是一个问题&＃xff0c;因为每当用户想要连接到您的网站时&＃xff0c;他们都必须进行 DNS 查找以将您的域名转换为可用的 IP 地址。如果用户从不安全的地方&＃xff08;例如咖啡店&＃xff09;进行连接&＃xff0c;则恶意攻击者可能会坐在中间并欺骗 DNS 记录。这种攻击可能允许他们通过修改 IP 地址 A 记录将用户重定向到恶意页面。

幸运的是&＃xff0c;有一个解决方案——DNSSEC&＃xff0c;也称为 DNS 安全扩展&＃xff0c;可以解决这些问题。它通过使用公钥签署您的 DNS 记录来保护 DNS 查找。启用 DNSSEC 后&＃xff0c;如果用户收到恶意响应&＃xff0c;他们的浏览器可以检测到。攻击者没有用于签署合法记录的私钥&＃xff0c;无法再伪造。

DNSSEC 的密钥签名一直沿链而上。当您连接到 时example.com&＃xff0c;您的浏览器首先连接到由 IANA 管理的 DNS 根区域&＃xff0c;然后连接到扩展的目录&＃xff08;.com例如&＃xff09;&＃xff0c;然后连接到您的域的名称服务器。当您连接到 DNS 根区域时&＃xff0c;您的浏览器将检查由 IANA 管理的根区域签名密钥以验证它是否正确&＃xff0c;然后是.com 目录签名密钥&＃xff08;由根区域签名&＃xff09;&＃xff0c;然后是您站点的签名密钥&＃xff0c;即由.com 目录签名&＃xff0c;不可伪造。

值得注意的是&＃xff0c;在不久的将来&＃xff0c;这不会是一个大问题。DNS 正在转移到 HTTPS&＃xff0c;这将保护它免受各种 MITM 攻击&＃xff0c;使 DNSSEC 变得不必要&＃xff0c;并防止 ISP 监视您的浏览历史——这解释了康卡斯特为什么要游说反对它。尽管如此&＃xff0c;它是 Chrome 和 Firefox 中的一项可选功能&＃xff08;Windows 很快将支持操作系统&＃xff09;&＃xff0c;因此您仍然希望在此期间启用 DNSSEC。

如何启用 DNSSEC
如果您正在运行一个网站&＃xff0c;尤其是处理用户数据的网站&＃xff0c;您需要打开 DNSSEC 以防止任何 DNS 攻击媒介。它没有任何缺点&＃xff0c;除非您的 DNS 提供商仅将其作为“高级”功能提供&＃xff0c;就像 GoDaddy 一样。在这种情况下&＃xff0c;我们建议您使用合适的 DNS 提供商&＃xff0c;例如 Google DNS&＃xff0c;他们不会为了基本安全而对您一分钱一分货。您可以在此处阅读我们的使用指南&＃xff0c;或阅读有关转移域的更多信息 。

如果您使用的是 Google Domains&＃xff0c;则设置实际上只是一个按钮&＃xff0c;可在域控制台的“DNS”下侧边栏中找到。选中“启用 DNSSEC”。这将需要几个小时才能完成并签署所有必需的密钥。Google Domains 还完全支持基于 HTTPS 的 DNS&＃xff0c;因此启用该功能的用户将完全安全。

对于 Namecheap&＃xff0c;此选项也只是域设置中“高级 DNS”下的切换&＃xff0c;并且完全免费&＃xff1a;

如果您使用的是 AWS Route 53&＃xff0c;很遗憾&＃xff0c;它不支持 DNSSEC。这是弹性 DNS 功能的一个必要缺点&＃xff0c;它首先使它变得很棒&＃xff1a;别名记录、DNS 级别负载平衡、健康检查和基于延迟的路由等功能。由于 Route 53 无法在每次更改时合理地对这些记录进行签名&＃xff0c;因此 DNSSEC 是不可能的。但是&＃xff0c;如果您使用自己的域名服务器或不同的 DNS 提供商&＃xff0c;仍然可以为使用 Route 53注册的域启用 DNSSEC&＃xff0c;但 不能为使用 Route 53 作为其 DNS 服务的域。