腾讯云DNSPod已全面支持DNSSEC服务。

李洋博客

域名系统(DNS)就如同互联网的电话簿:它告诉计算机向哪里发送信息,从哪里检索信息。可惜的是,它也接受互联网提供给它的任何地址,而不会进行任何询问。

DNSSEC(域名系统安全扩展)是 Internet 工程任务组(IETF)为了解决域名解析过程中的威胁(例如缓存中毒攻击和 DNS 欺骗),对确保由域名系统(DNS)中提供的关于互联网协议网络使用特定类型的信息规格套件。它是对域名服务器 提供给 DNS 客户端(解析器)的 DNS 数据来源进行认证,并验证不存在性和校验数据完整性验证。通过采用基于公共密钥加密的数字签名,DNSSEC增强了DNS数据验证强度。

腾讯云DNSPod已全面支持DNSSEC服务。 第1张

为什么使用DNSSEC?

DNS 设计于上世纪 80 年代,当时互联网规模小得多,安全性并非首要设计考虑因素。因此,当递归解析器向权威域名服务器发送查询时,解析器无法验证响应真实性。解析器仅可检查做出响应的 IP 地址与解析器发送初始查询的 IP 地址是否相同。但是,依赖响应对应的源 IP 地址并非强验证机制,因为 DNS 响应数据包的源 IP 地址很容易仿冒或伪造。

鉴于最初设计 DNS 时,解析器无法轻易识别某一项查询的仿冒响应。攻击者很容易冒充看似来自权威服务器的响应,继而伪装成解析器最初查询的权威服务器。换言之,攻击者可以悄无声息地将用户重定向至潜在恶意网站。

举一个例子:2014 年 9 月,CMU 的研究人员发现本应通过 Yahoo!、Hotmail 和 Gmail 服务器发送的电子邮件通过流氓邮件服务器进行路由。这是因为攻击者利用了域名系统(DNS)中存在数十年的漏洞——由于这个漏洞的存在,DNS 未经检查凭据就会接受应答。

这个问题的解决方案之一是DNSSEC的协议。通过提供身份验证,它在 DNS 之上添加了一个信任层。

当 DNS 解析器寻找www.dnspod.cn 时,.cn名称服务器帮助解析器验证针对 dnspod.cn返回的记录,而dnspod.cn名称服务器帮助验证针对www.dnspod.cn返回的记录。根DNS 名称服务器帮助验证 .cn,而根目录发布的信息将通过彻底的安全程序(包括“根签名仪式”)进行审核。

DNSSEC运作方式概述

对数据来源的校验(权威DNS的证书校验):DNSSEC 通过使用私钥加密来为授权区域数据进行数字签名,让互联网社区免受伪造 DNS 数据的危害。DNSSEC 验证能够向用户确保数据来自规定的来源,并且在传输过程中未遭修改。DNSSEC 还可以证明某个域名不存在。简单的说,DNSSEC依靠数字签名保证DNS应答报文的真实性和完整性。

来自DNSSEC保护区的所有应答都经过数字签名。通过检验数字签名,DNS解析器可以核查信息是否与区域所有者发布的信息相同(未修改和完整),并确系实际负责的DNS服务器所提供。

腾讯云DNSPod已全面支持DNSSEC服务。 第2张

对数据合法性的校验(数据未被篡改):最终用户想要访问网站时,首先会向递归服务器请求域名解析。递归服务器向授权服务器请求该记录后记录的同时,还会请求与该区域对应的 DNSSEC 密钥。使用该密钥,服务器可以验证其接收的地址记录是否与授权名称服务器上的记录一致。

如果递归服务器确定地址记录已被授权名称服务器发送并且在传输过程中未遭修改,递归名称服务器就会解析该域名,之后用户就可以访问该网站。上述过程称为验证。如果地址记录被更改或者不是来自规定的来源,那么递归名称服务器就不会允许用户访问欺诈地址。DNSSEC 还可以证明某个域名不存在。

因此,DNS 查询和响应可以避免中间人 (MITM) 攻击以及可能将互联网用户重定向至网络钓鱼和网址嫁接网站的伪造欺诈行为的危害。

DNSSEC如何添加DS记录

如何开启DNSSEC?

第一步:DNSPod 控制台开启 DNSSEC 服务。

[控制台]- DNS 解析 - 我的域名 - 域名设置 - DNSSEC ,点击开启,即可查看该域名的 DS 记录。

腾讯云DNSPod已全面支持DNSSEC服务。 第3张

第二步:前往域名注册商控制台添加 DS 记录。

前面拿到的 DS 记录,还需在您域名注册商的控制台进行添加。(如果您的域名同样注册于腾讯云(DNSPod),则该步骤自动完成。)

注意:目前只有少数注册商支持 DNSSEC ,如果您域名所在注册商不支持,可先将域名转入腾讯云,转入后方便一站管理,更可一键开启(带转入链接)

PS:这个功能目前只有收费版才能开启,免费版解析无此功能。

文章版权声明:除非注明,否则均为李洋个人博客原创文章,转载或复制请以超链接形式并注明出处。

发表评论

表情:
评论列表 (有 4 条评论,3456人围观)
网友昵称:龙
V铁粉2021-04-30沙发 回复 Google Chrome 80.0.3987.163 Windows 10 x64
为什么到处都是腾讯云,阿里云怎么都不推荐,我也用的腾讯
网友昵称:李洋博客
李洋博客V博主2021-04-30 回复 Sogou Explorer Windows 10 x64
@龙 推荐嘛,毕竟得自己真实使用啊,本站目前在用的就是腾讯云,所以基本都是腾讯云,这并不代表不推广阿里,只是链接较少,哈哈~
网友昵称:龙
V铁粉2021-04-30 回复 MQQBrowser 6.2 Android 10
@李洋博客 能不能常年优惠,我域名,主机都是腾讯,另外请你帮我看看这个域名是不是有问题,我很尴尬
网友昵称:李洋博客
李洋博客V博主2021-05-06 回复 Sogou Explorer Windows 10 x64
@龙 什么问题?没看出有什么问题啊
取消
微信二维码
微信二维码
支付宝二维码