瞭解 DNSSEC

什麼是 DNS 安全擴展（DNSSEC）？

DNSSEC 是對網域名系統（DNS）協議的一種擴展，旨在為 DNS 增加安全保護，使其抵禦某些攻擊，如數據竄改攻擊（例如快取投毒）。它是 DNS 的一組擴展，能夠提供 DNS 數據的來源認證、數據完整性保護以及不存在數據的經認證的否認。

DNSSEC 有哪些優勢？

DNSSEC 區域可防止中間人攻擊。任何使用支持 DNSSEC 解析器的客戶都不會面臨此類攻擊風險。

DNSSEC 向後兼容現有 DNS 基礎設施。未使用 DNSSEC 的客戶不會受到任何不利影響。雖然他們無法獲得安全保護，但照常訪問域名，體驗與以往無異。

DNSSEC 是構建未來安全可信互聯網的基礎，包括安全網頁瀏覽，以及為各類互聯網服務（如電子郵件、IP 語音等）增加附加安全服務。

DNS 是關鍵的互聯網基礎設施協議，用戶在網上進行的幾乎所有操作都依賴於它。保護 DNS 以確保用戶連接到其期望通信的服務，是構建安全可信互聯網的基礎。

DNSSEC 如何抵禦此類攻擊？

域名的每條 DNS 信息都附有數位簽名。當用戶在瀏覽器中輸入域名時，解析器使用類似 TLS/SSL 的密鑰機制來驗證簽名。如果簽名不匹配，解析器將丟棄該響應並等待另一個響應。

DNSSEC 確保您收到的響應信息與域名註冊人希望您收到的信息一致。當註冊人在互聯網上註冊域名時，他們還可以通過 DNSSEC 保護該域名。註冊人通過向其註冊商提交額外信息來對域名進行“簽名”，從而確保所有 DNS 響應都經過 DNSSEC 數位簽名。通過校驗數位簽名，DNS 解析器能夠檢查信息是否與註冊人希望您收到的信息一致（即正確且完整）。

DNSSEC 能夠抵禦哪些攻擊？

DNSSEC 旨在保護互聯網解析器（客戶端）免受偽造 DNS 數據的侵害，例如 DNS 快取投毒所產生的數據。目前，DNS 解析器向互聯網發送查詢，然後不加驗證地接受其收到的第一個響應。如果惡意系統發回錯誤的響應，解析器將使用該地址，直到其快取過期。如果只是單個用戶的計算機收到錯誤數據，情況已經夠糟；如果是為 ISP 應答查詢的另一個名稱伺服器收到錯誤數據，則會更糟——將影響成千上萬的用戶。

NameMart支持開啟DNSSEC，不知道如何設置？請參考指南- https://www.namemart.com/zh/support/help-details?id=2416