# 什么是DNS安全扩展？给网址查询上保险 **DNS安全扩展（DNSSEC），说白了就是给互联网的“电话簿”每一条记录都盖上防伪公章**——你查任何网址，都能验一验这页电话簿是不是被人偷改过。防伪章这事听起来平平无奇，但它是互联网地基里最重要、也最被忽视的一块砖：技术上已经打磨了三十年，可直到今天，全世界只有大约1%的域名查询真正用上了它。最近两年，“要不要放弃DNSSEC”的大争论、能拖垮全网域名查询的KeyTrap漏洞、微软用它保护邮件系统等新闻接连出现，让这个“老古董”重新回到了聚光灯下。 **本文目录** 1. DNS安全扩展是什么？——会被人“下毒”的电话簿 2. 为什么最近这么火？——一场“要不要放弃它”的争论 3. 一张图看懂：层层对暗号的信任链 4. 和我有什么关系？——普通人、站长、从业者各自的角度 5. 一分钟总结 6. 延伸阅读 --- ## 一、DNS安全扩展是什么？——会被人“下毒”的电话簿 先说背景。**DNS（域名系统）**，就是互联网的电话簿：你输入 www.example.com，DNS 负责告诉你这个网址对应哪台电脑的“门牌号”（IP地址，比如 93.184.216.34）。没有它，你就得背一堆数字才能上网站。 问题是：这本电话簿**生来就没有防伪功能**。它诞生于上世纪80年代，那个年代的设计者满脑子想的是“怎么把大学实验室的几台电脑连起来”，压根没考虑有人会捣乱。 于是就有了**“缓存投毒”攻击**。DNS 查询结果会被**缓存**（临时记在小本本上，下次直接查小本本，快）。攻击者只要抢在真正的回复到达之前，往这个“小本本”里塞一条假记录——比如把某银行网址对应的门牌号改成攻击者自己的服务器——之后所有用户就会被神不知鬼不觉地引到假网站。1990年，安全研究员 Steve Bellovin 就指出了这个致命缺陷；2008年，研究员丹·卡明斯基（Dan Kaminsky）更是发现了一种几乎可以给全球 DNS 服务器批量“下毒”的手法，逼得全世界 DNS 软件紧急打补丁。这类攻击最可怕的地方在于：**用户完全无法察觉**——网址是对的、界面也是仿的，只有底下的门牌号被掉了包。 **DNSSEC（Domain Name System Security Extensions，域名系统安全扩展）就是给这本电话簿补上的防伪体系**，由互联网标准组织 IETF（互联网工程任务组，负责给互联网定规矩的机构）制定。它做三件事： - **防篡改**：每条 DNS 记录都附带一个**数字签名**（RRSIG记录，可以理解为记录旁边盖的一个“骑缝章”），内容哪怕被改动一个字符，签名就对不上了； - **防冒充**：签名用的是网站主人手里的私钥（一把只有本人有的“刻章刀”），别人想伪造也刻不出这个章； - **防“查无此人”的骗局**：连“这个域名不存在”这个答复本身都有签名（用 NSEC/NSEC3 记录证明），攻击者没法假装“查不到”来糊弄你。 这套体系怎么让人放心？靠一条**信任链**，很像户籍系统的层层背书：你身份证的真伪，是派出所背书、公安局盖章、公安部备了案的。DNSSEC 也一样——你的域名(example.com)的密钥，由 .com 顶级域（管理所有 .com 网址的“省级机构”）用一个叫 **DS 记录**（存的是你公钥的“指纹”，即一段防伪摘要）来背书；.com 自己的密钥，又由根区（互联网的“总部公证处”）背书。查号的时候逐级验章，任何一环对不上，整个回答就被判为“不可信”。 具体干活的是几条新记录，一张表说清： | 记录 | 人话解释 | |---|---| | RRSIG | 每条记录旁边的“防伪签名章” | | DNSKEY | 验章用的“公章印模”（公钥） | | DS | 存在父级那里的“密钥指纹”，相当于上一级背书你的凭据 | | NSEC3 | 证明“这个域名真不存在”的签名凭据 | 另外，域名主人手里通常有两把钥匙：**KSK**（密钥签名密钥，相当于公章，用来签发下面那把）和 **ZSK**（区签名密钥，相当于日常私章，用来给海量普通记录盖章）。公章换得慢、管得严，私章换得勤、用得随意——分工明确，既安全又省事。 要特别诚实地说清 DNSSEC **不能**干什么：它只负责“验明正身”，**不加密**（你查的内容还是明文传输，路人能看见你查了什么）、**不抗攻击**（坏人发起流量洪水它也挡不住）、也**管不了假网站本身**（真网址指向假服务器，那是 TLS/HTTPS 证书的活儿）。它是地基的钢筋，不是整栋楼的保安。 ## 二、为什么最近这么火？——一场“要不要放弃它”的争论 DNSSEC 不是新词：1997年出了第一版标准，2010年7月15日根区完成签名，2011年4月 .com 正式接入信任链。但最近几年，它接连上了新闻： **第一，KeyTrap 漏洞敲响了警钟。**2024年1月，德国安全研究中心 ATHENE 的研究团队披露了一个编号为"KeyTrap"的严重漏洞：按照标准规范，DNS 验证程序收到签名数据后，要把数据里所有匹配的密钥挨个试过去验签。攻击者只要构造一个恶意数据包，塞进去一大堆“标签相同”的密钥和签名，就能让验证程序做海量无用功——**理论上一个包就能把解析器的处理速度拖慢200万倍**。打个比方：你进商场，保安要求你把一整面墙的钥匙挨个试锁，攻击者专门递给你一万把长得一模一样的钥匙。全球主流 DNS 软件（Bind、Unbound、 Knot 等）随后都紧急加了防护。这事让行业意识到：DNSSEC 这套三十年的老规范，本身就藏着设计缺陷。 **第二，“要不要放弃 DNSSEC”的社区大讨论。**2024年5月，互联网measurement领域的元老 Geoff Huston 在 APNIC 官方博客发表了一篇著名长文《Calling time on DNSSEC?》，晒出的数据相当扎心：全球流量前100万的域名里，只有约9.4%正确启用了 DNSSEC；Google、Amazon、Microsoft 等巨头最重要的域名长期都没有签名；把“用户使用支持验证的 DNS”和“查询的域名已签名”两个数据相乘，**今天全球真正经过 DNSSEC 验证的查询只占约1%**。对比之下，HTTPS（TLS加密）在网页流量中的占比早已超过97%。同样是给互联网上“防伪锁”，为什么一个全面普及、一个无人问津？Huston 的答案是经济学：TLS 的成本和收益都落在网站自己身上，而 DNSSEC 的成本要域名主人、注册商、顶级域、运营商多方分担，收益却分散到所有人头上——典型的“三个和尚没水喝”。这篇文章引发了持续数月的激烈争论，也把 DNSSEC 的处境推到了台前。 **第三，新应用反而开始“依赖”它。**争议归争议，DNSSEC 作为“最底层的防伪层”反而在新场景里被点名：2023年9月，微软宣布将基于 **DANE**（一种把网站的加密证书指纹存进 DNS、再靠 DNSSEC 验真的标准）为 Exchange Online 企业邮箱的收件链路加一道防拦截、防窃听的保险；再比如正在推广的 **ECH**（加密客户端问候，把你要访问的网址名也加密起来的隐私技术），它的加密密钥就要写在 DNS 的 HTTPS 记录里——如果 DNS 本身能被篡改，这份密钥就可能被掉包，DNSSEC 本是天然的守护者。只可惜它部署率太低，标准组织不得不准备了不依赖 DNSSEC 的备用方案。此外，Verisign 已在2023年底把 .com/.net/.edu 的签名算法从 RSA 升级到更高效的椭圆曲线算法（ECDSA），根区的新密钥与新算法轮换也在推进中——这场“地基翻修”还在继续。 一句话总结现状：**截至2025年的公开数据，48%的国家和地区顶级域（如 .nl、.se 等）已签名，但 .com 下的具体网站只有约4%开了 DNSSEC**——楼盖好了，住户几乎没搬进来。这正是它反复上新闻的原因：一个最该安全的设施，恰好处在最尴尬的位置。 ## 三、一张图看懂：层层对暗号的信任链 下图是你查询一个网址时，DNSSEC 的“逐级验章”过程（自上而下看）： ```mermaid flowchart TD A[根区：互联网总公证处
存有信任锚点] B[.com 顶级域
存着example.com的密钥指纹DS] C[example.com 权威服务器
持有公钥DNSKEY和记录签名RRSIG] D[递归解析器
你家的114查号台
逐级验章] E[你的手机或电脑
只接收验章通过的答案] A -->|背书 .com 的密钥| B B -->|背书 example.com 的密钥| C C -->|返回IP地址加防伪签名| D D -->|验签通过才放行| E ``` 看懂这张图只需要记住两点：**第一**，信任是一层层传下来的，任何一级的“章”对不上，答案作废；**第二**，攻击者就算能半路截胡 DNS 回复、塞一条假门牌号进来，因为没有合法签名，到验证这一关就会被当场识破——这正是它防缓存投毒的核心原理。 ## 四、和我有什么关系？——三个角度 **如果你是普通网民**：DNSSEC 你大概率“用上了但没感觉”。你手机、电脑自己不验签，而是委托运营商或公共 DNS（如 8.8.8.8、1.1.1.1 等）代劳——它们验签通过后会在回复里打个“已验证”的标记。你能做的：把设备的 DNS 换成支持 DNSSEC 验证的公共服务商，相当于给自己找了个更负责的查号台，零成本搭上防投毒的便车。 **如果你是站长/开发者**：去你的域名注册商后台找“DNSSEC”开关，一键生成密钥即可启用（大部分主流注册商已支持， Often 十分钟搞定）。代价是每年多操心一件事：密钥轮换、换 DNS 服务商时如果 DS 记录没同步好，可能出现“整站打不开”的事故——所以启用前留意服务商的迁移指引。跑了邮件服务器的，可以进一步了解 DANE/TLSA 记录，给邮件传输再加一道锁。 **如果你是从业者/投资者**：DNS 安全属于典型的“平时没人提、出事就是大事”的领域。KeyTrap 这类漏洞说明老基建的验证软件、防护设备仍有大量迭代需求；微软把 DANE 引入邮箱、ECH 等新协议绕不开 DNS 可信问题，意味着这个“1%普及率”的地基终将被补课。方向上，DNS 验证解析服务、抗 DDoS 与 DNS 劫持检测、企业域名安全管理，都是值得关注的细分赛道。对个人而言，吃透 DNS+DNSSEC 也是网络运维、安全岗位面试里实打实的加分项。 ## 五、一分钟总结 1. DNS 是互联网的电话簿，但它生来无防伪，可被“缓存投毒”攻击悄悄掉包网址。 2. DNSSEC 就是给电话簿每条记录盖防伪签名章，靠“根区→顶级域→你的域名”的信任链逐级验章。 3. 它只防篡改和冒充，不加密、不抗流量攻击、不管假网站——是地基钢筋，不是全楼保安。 4. 三十年打磨，普及率却只有约1%：成本多方分摊、收益人人共享，导致没人愿意先投入。 5. KeyTrap 漏洞、行业大争论、微软等巨头在新场景启用它，说明这块地基正在被重新审视——值得你现在就了解。 **小白可以做的三件事**：① 把这篇文章转给还在用默认 DNS 的家人朋友；② 今晚花五分钟把手机 DNS 换成支持 DNSSEC 验证的公共解析服务；③ 想入行网络/安全方向的，把“DNSSEC 如何防缓存投毒”当作一道面试题来研究，弄懂它就弄懂了半个 DNS。 ## 延伸阅读 - **DNS缓存投毒**——DNSSEC 要防的头号敌人，理解了“下毒”手法，才能理解防伪章的价值； - **DoH/DoT（加密DNS）**——DNSSEC 验真不加密，加密传输靠这对搭档补位，两者合体才是完整的 DNS 安全； - **DANE**——把加密证书的指纹存进 DNS 并用 DNSSEC 验真，试图撼动传统证书体系的新玩法，下期可以展开。 ## 参考来源 1. [Domain Name System Security Extensions - Wikipedia](https://en.wikipedia.org/wiki/DNSSEC) — DNSSEC 定义、记录类型、信任链机制、KeyTrap 漏洞与全球部署数据（截至2025年） 2. [域名系统安全扩展 - 维基百科](https://zh.wikipedia.org/wiki/DNSSEC) — 中文视角的定义、四类新增记录说明与根区签名时间线 3. [Calling time on DNSSEC? - Geoff Huston, APNIC Blog](https://blog.apnic.net/2024/05/28/calling-time-on-dnssec/) — “该放弃 DNSSEC 吗”的著名争论原文，含 1% 验证率、9.4% 签名率等关键测算 --- > 本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵**爱卫生**（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 > 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。 > [!tip] 51学通信知识星球 > **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 > **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 > **当前规模**：5200 篇主题 / 990 个回答，198 元/年。 > **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 > **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。