DNS安全扩展（DNSSEC），说白了就是给互联网的“电话簿”每一条记录都盖上防伪公章——你查任何网址，都能验一验这页电话簿是不是被人偷改过。防伪章这事听起来平平无奇，但它是互联网地基里最重要、也最被忽视的一块砖：技术上已经打磨了三十年，可直到今天，全世界只有大约1%的域名查询真正用上了它。最近两年，“要不要放弃DNSSEC”的大争论、能拖垮全网域名查询的KeyTrap漏洞、微软用它保护邮件系统等新闻接连出现，让这个“老古董”重新回到了聚光灯下。
本文目录
先说背景。DNS（域名系统），就是互联网的电话簿：你输入 www.example.com，DNS 负责告诉你这个网址对应哪台电脑的“门牌号”（IP地址，比如 93.184.216.34）。没有它，你就得背一堆数字才能上网站。
问题是：这本电话簿生来就没有防伪功能。它诞生于上世纪80年代，那个年代的设计者满脑子想的是“怎么把大学实验室的几台电脑连起来”，压根没考虑有人会捣乱。
于是就有了“缓存投毒”攻击。DNS 查询结果会被缓存（临时记在小本本上，下次直接查小本本，快）。攻击者只要抢在真正的回复到达之前，往这个“小本本”里塞一条假记录——比如把某银行网址对应的门牌号改成攻击者自己的服务器——之后所有用户就会被神不知鬼不觉地引到假网站。1990年，安全研究员 Steve Bellovin 就指出了这个致命缺陷；2008年，研究员丹·卡明斯基（Dan Kaminsky）更是发现了一种几乎可以给全球 DNS 服务器批量“下毒”的手法，逼得全世界 DNS 软件紧急打补丁。这类攻击最可怕的地方在于：用户完全无法察觉——网址是对的、界面也是仿的，只有底下的门牌号被掉了包。
DNSSEC（Domain Name System Security Extensions，域名系统安全扩展）就是给这本电话簿补上的防伪体系，由互联网标准组织 IETF（互联网工程任务组，负责给互联网定规矩的机构）制定。它做三件事：
这套体系怎么让人放心？靠一条信任链，很像户籍系统的层层背书：你身份证的真伪，是派出所背书、公安局盖章、公安部备了案的。DNSSEC 也一样——你的域名(example.com)的密钥，由 .com 顶级域（管理所有 .com 网址的“省级机构”）用一个叫 DS 记录（存的是你公钥的“指纹”，即一段防伪摘要）来背书；.com 自己的密钥，又由根区（互联网的“总部公证处”）背书。查号的时候逐级验章，任何一环对不上，整个回答就被判为“不可信”。
具体干活的是几条新记录，一张表说清：
| 记录 | 人话解释 |
|---|---|
| RRSIG | 每条记录旁边的“防伪签名章” |
| DNSKEY | 验章用的“公章印模”（公钥） |
| DS | 存在父级那里的“密钥指纹”，相当于上一级背书你的凭据 |
| NSEC3 | 证明“这个域名真不存在”的签名凭据 |
另外，域名主人手里通常有两把钥匙：KSK（密钥签名密钥，相当于公章，用来签发下面那把）和 ZSK（区签名密钥，相当于日常私章，用来给海量普通记录盖章）。公章换得慢、管得严，私章换得勤、用得随意——分工明确，既安全又省事。
要特别诚实地说清 DNSSEC 不能干什么：它只负责“验明正身”，不加密（你查的内容还是明文传输，路人能看见你查了什么）、不抗攻击（坏人发起流量洪水它也挡不住）、也管不了假网站本身（真网址指向假服务器，那是 TLS/HTTPS 证书的活儿）。它是地基的钢筋，不是整栋楼的保安。
DNSSEC 不是新词：1997年出了第一版标准，2010年7月15日根区完成签名，2011年4月 .com 正式接入信任链。但最近几年，它接连上了新闻：
第一，KeyTrap 漏洞敲响了警钟。2024年1月，德国安全研究中心 ATHENE 的研究团队披露了一个编号为"KeyTrap"的严重漏洞：按照标准规范，DNS 验证程序收到签名数据后，要把数据里所有匹配的密钥挨个试过去验签。攻击者只要构造一个恶意数据包，塞进去一大堆“标签相同”的密钥和签名，就能让验证程序做海量无用功——理论上一个包就能把解析器的处理速度拖慢200万倍。打个比方：你进商场，保安要求你把一整面墙的钥匙挨个试锁，攻击者专门递给你一万把长得一模一样的钥匙。全球主流 DNS 软件（Bind、Unbound、 Knot 等）随后都紧急加了防护。这事让行业意识到：DNSSEC 这套三十年的老规范，本身就藏着设计缺陷。
第二，“要不要放弃 DNSSEC”的社区大讨论。2024年5月，互联网measurement领域的元老 Geoff Huston 在 APNIC 官方博客发表了一篇著名长文《Calling time on DNSSEC?》，晒出的数据相当扎心：全球流量前100万的域名里，只有约9.4%正确启用了 DNSSEC；Google、Amazon、Microsoft 等巨头最重要的域名长期都没有签名；把“用户使用支持验证的 DNS”和“查询的域名已签名”两个数据相乘，今天全球真正经过 DNSSEC 验证的查询只占约1%。对比之下，HTTPS（TLS加密）在网页流量中的占比早已超过97%。同样是给互联网上“防伪锁”，为什么一个全面普及、一个无人问津？Huston 的答案是经济学：TLS 的成本和收益都落在网站自己身上，而 DNSSEC 的成本要域名主人、注册商、顶级域、运营商多方分担，收益却分散到所有人头上——典型的“三个和尚没水喝”。这篇文章引发了持续数月的激烈争论，也把 DNSSEC 的处境推到了台前。
第三，新应用反而开始“依赖”它。争议归争议，DNSSEC 作为“最底层的防伪层”反而在新场景里被点名：2023年9月，微软宣布将基于 DANE（一种把网站的加密证书指纹存进 DNS、再靠 DNSSEC 验真的标准）为 Exchange Online 企业邮箱的收件链路加一道防拦截、防窃听的保险；再比如正在推广的 ECH（加密客户端问候，把你要访问的网址名也加密起来的隐私技术），它的加密密钥就要写在 DNS 的 HTTPS 记录里——如果 DNS 本身能被篡改，这份密钥就可能被掉包，DNSSEC 本是天然的守护者。只可惜它部署率太低，标准组织不得不准备了不依赖 DNSSEC 的备用方案。此外，Verisign 已在2023年底把 .com/.net/.edu 的签名算法从 RSA 升级到更高效的椭圆曲线算法（ECDSA），根区的新密钥与新算法轮换也在推进中——这场“地基翻修”还在继续。
一句话总结现状：截至2025年的公开数据，48%的国家和地区顶级域（如 .nl、.se 等）已签名，但 .com 下的具体网站只有约4%开了 DNSSEC——楼盖好了，住户几乎没搬进来。这正是它反复上新闻的原因：一个最该安全的设施，恰好处在最尴尬的位置。
下图是你查询一个网址时，DNSSEC 的“逐级验章”过程（自上而下看）：
flowchart TD
A[根区：互联网总公证处<br/>存有信任锚点]
B[.com 顶级域<br/>存着example.com的密钥指纹DS]
C[example.com 权威服务器<br/>持有公钥DNSKEY和记录签名RRSIG]
D[递归解析器<br/>你家的114查号台<br/>逐级验章]
E[你的手机或电脑<br/>只接收验章通过的答案]
A -->|背书 .com 的密钥| B
B -->|背书 example.com 的密钥| C
C -->|返回IP地址加防伪签名| D
D -->|验签通过才放行| E
看懂这张图只需要记住两点：第一，信任是一层层传下来的，任何一级的“章”对不上，答案作废；第二，攻击者就算能半路截胡 DNS 回复、塞一条假门牌号进来，因为没有合法签名，到验证这一关就会被当场识破——这正是它防缓存投毒的核心原理。
如果你是普通网民：DNSSEC 你大概率“用上了但没感觉”。你手机、电脑自己不验签，而是委托运营商或公共 DNS（如 8.8.8.8、1.1.1.1 等）代劳——它们验签通过后会在回复里打个“已验证”的标记。你能做的：把设备的 DNS 换成支持 DNSSEC 验证的公共服务商，相当于给自己找了个更负责的查号台，零成本搭上防投毒的便车。
如果你是站长/开发者：去你的域名注册商后台找“DNSSEC”开关，一键生成密钥即可启用（大部分主流注册商已支持， Often 十分钟搞定）。代价是每年多操心一件事：密钥轮换、换 DNS 服务商时如果 DS 记录没同步好，可能出现“整站打不开”的事故——所以启用前留意服务商的迁移指引。跑了邮件服务器的，可以进一步了解 DANE/TLSA 记录，给邮件传输再加一道锁。
如果你是从业者/投资者：DNS 安全属于典型的“平时没人提、出事就是大事”的领域。KeyTrap 这类漏洞说明老基建的验证软件、防护设备仍有大量迭代需求；微软把 DANE 引入邮箱、ECH 等新协议绕不开 DNS 可信问题，意味着这个“1%普及率”的地基终将被补课。方向上，DNS 验证解析服务、抗 DDoS 与 DNS 劫持检测、企业域名安全管理，都是值得关注的细分赛道。对个人而言，吃透 DNS+DNSSEC 也是网络运维、安全岗位面试里实打实的加分项。
小白可以做的三件事：① 把这篇文章转给还在用默认 DNS 的家人朋友；② 今晚花五分钟把手机 DNS 换成支持 DNSSEC 验证的公共解析服务；③ 想入行网络/安全方向的，把“DNSSEC 如何防缓存投毒”当作一道面试题来研究，弄懂它就弄懂了半个 DNS。
本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。
[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。