域名系统安全扩展

域名系统安全扩展（，縮寫為DNSSEC）是Internet工程任务组 （IETF）的对确保由域名系统 （DNS）中提供的关于互联网协议（IP）网络使用特定类型的信息规格套件。它是对DNS提供给DNS客户端（解析器）的DNS数据来源进行认证，并验证不存在性和校验数据完整性验证，但不提供机密性和可用性。

概述
域名系統（DNS）的原始設計不包含任何安全細節；相反的，它被設計成一個可擴增的分散式系統(Distributed system)。域名系統安全擴展（DNSSEC）嘗試在其中添加安全性，同時仍保持向後兼容性。 RFC 3833記錄了DNS的一些已知威脅以及DNSSEC如何應對這些威脅。

DNSSEC旨在保護應用程式（以及服務這些應用程式的緩存解析器）免受偽造或不當操縱的DNS數據所造成的影響（例如域名服务器缓存污染的數據）。來自DNSSEC保護區的所有答案都經過數位簽章。通過檢驗數位簽章，DNS解析器可以核查信息是否與區域所有者發布的信息相同（未修改和完整），並確係實際負責的DNS服務器所提供。雖然保護IP地址的正確性是許多用戶關注DNSSEC的直接課題，DNSSEC還可以保護DNS中發布的其他任何數據：包括文本記錄（TXT）和郵件交換記錄（MX），並可用於引導發布參照存儲在DNS中的加密證書的其他安全系統：例如證書記錄（CERT記錄，RFC 4398），SSH指紋（SSHFP，RFC 4255），IPSec公鑰（IPSECKEY，RFC 4025）和TLS（TLSA，RFC 6698）。

DNSSEC 新增的资源记录
DNSSEC新增的记录如下

RRSIG
即资源记录签名（），资源记录除了A和AAAA之外，也包括DNSKEY、DS、NSEC等记录，RRSIG用于存放各个资源记录的签名，包括

• 算法类型
• 标签 (泛解析中原先 RRSIG 记录的名称)
• 原 TTL 大小
• 签名失效时间
• 签名签署时间
• Key 标签 (用来迅速判断应该用那个 DNSKEY 记录来验证的一个数值)
• 签名名称 (用于验证该签名的 DNSKEY 名称)
• 签名

DNSKEY
该记录用于存放用于检查 RRSIG 的公钥。其包括

• 标识符 (Zone Key (DNSSEC密钥集) 以及 Secure Entry Point (KSK和简单密钥集))
• 协议 (固定值3 向下兼容)
• 算法类型
• 公钥内容

DS
即委派签名者（），该记录用于存放 DNSKEY 中公钥的散列值 ，包括

• Key 标签：用来判断应该用哪个 DNSKEY 记录进行验证的一个数值
• 算法类型：常见的有RSASHA1、RSASHA256、ECDSAP256SHA256，具体可参考附录「算法类型列表」
• 摘要类型：创建摘要值的加密散列算法，主要使用SHA256，具体可参考附录「摘要类型列表」
• 摘要内容: 一串散列数据，由DNSKEY经由摘要类型算法得出

NSEC和NSEC3
即下一个安全（）记录，用于明确表示特定域名的记录不存在。

CDNSKEY和CDS
用于请求对父区域中的 DS 记录进行更新的子区域。

部署
2010年7月18日，根域名服務器（root-servers.net）已经完成DNSSEC签名。

目前已部署在.com、.net、.org、.int、.edu、.mil和.gov等頂級域(gTLD)，以及部分国家和地区顶级域（ccTLD）。

参见
*DNSCrypt
*DNSCurve
*EDNS
*TSIG
*RPKI

外部链接
组织和网站

• [http://www.dnssec.net/ DNSSEC] - DNSSEC information site: DNSSEC.net
• [https://web.archive.org/web/20031008105543/http://www.ietf.org/html.charters/dnsext-charter.html DNSEXT] DNS Extensions IETF Working Group
• [http://www.circleid.com/topics/dnssec/ CircleID - News and Opinions on all DNSSEC related issues]
• [http://www.dnssec-tools.org DNSSEC-Tools Project]
• [http://www.dnssec-deployment.org DNSSEC Deployment Coordination Initiative]
• [http://www.root-dnssec.org DNSSEC Deployment Team]
• [http://dns.icann.org/ksk/ ICANN DNS Operations Team]

标准文档

• RFC 2535 Domain Name System Security Extensions
• RFC 3833 A Threat Analysis of the Domain Name System
• RFC 4033 DNS Security Introduction and Requirements (DNSSEC-bis)
• RFC 4034 Resource Records for the DNS Security Extensions (DNSSEC-bis)
• RFC 4035 Protocol Modifications for the DNS Security Extensions (DNSSEC-bis)
• RFC 4398 Storing Certificates in the Domain Name System (DNS)
• RFC 4470 Minimally Covering NSEC Records and DNSSEC On-line Signing
• RFC 4509 Use of SHA-256 in DNSSEC Delegation Signer (DS) Resource Records (RRs)
• RFC 5155 DNSSEC Hashed Authenticated Denial of Existence
• RFC 6781 DNSSEC Operational Practices, Version 2

其他文档

• [http://www.circleid.com/posts/dnssec_deployment_and_dns_security_extensions/ A Fundamental Look at DNSSEC, Deployment, and DNS Security Extensions] by Geoff Huston
• [https://web.archive.org/web/20080823112208/http://www.nlnetlabs.nl/dnssec/history.html A short timeline of DNSSEC] by Miek Gieben
• [http://wiki.archlinux.org/index.php/DNSSEC Enabling secure name resolution using DNSSEC for various applications]
• [https://web.archive.org/web/20090228171850/http://www.nlnetlabs.nl/dnssec_howto/ DNSSEC Howto] by Olaf Kolkman (RIPE NCC/NLnet Labs)
• [http://www.hznet.de/dns/dnssec-decix050916.pdf Howto secure your (reverse) Zone] by Holger Zuleger
• [http://www.dwheeler.com/essays/easy-email-sec.html Easier Email Security is on the Way?]
• [http://www.denic.de/fileadmin/Domains/DNSSEC/zone-enumeration.pdf "DNSSEC and the Zone Enumeration" by Marcos Sanz]
• [http://ccnso.icann.org/workinggroups/ccnso-iana-wg-dnssec-paper-04feb08.pdf DNSSEC BRIEFING and Root Zone Signing (Part I)] , ccTLD paper on DNSSEC by ccNSO, February 2008
• [https://web.archive.org/web/20120510071334/https://www.isc.org/files/DNSSEC_in_6_minutes.pdf DNSSEC in 6 Minutes by Alan Clegg, Internet Systems Consortium] (PDF-Datei; 315 kB)

*[http://www.cisco.com/web/about/ac123/ac147/archived_issues/ipj_13-2/132_dnssec.html Implementing DNSSEC] Cisco Internet Protocol Journal
*[http://stats.research.icann.org/dns/tld_report/ ICANN's TLD DNSSEC Report] (generated daily)

• [http://sockpuppet.org/blog/2015/01/15/against-dnssec/ DNSSEC is unnecessary - Against DNSSEC]
• [http://blog.easydns.org/2015/08/06/for-dnssec/ DNSSEC is necessary - For DNSSEC]

DNS#DNSSEC