针对 Willem Toorop 提出的“DoT 可替代 DNSSEC”观点，本文分析两者技术定位差异，结论明确：可信 DNS 离不开 DNSSEC，无论 DoT 发展如何，两者解决不同威胁模型，属于互补而非替代关系。
DNSSEC 的核心保障机制：
DNSSEC 通过在区文件添加数字签名相关资源记录类型（RRTypes），为 DNS 数据提供三重保障：一是真实性，验证通过即证明响应数据与区管理员原始录入完全一致，未被篡改；二是时效性，签名过期时间防止重放陈旧数据，虽无法保证绝对最新（受 DNS 传播延迟影响），但能排除早于管理员指定日期的旧信息；三是篡改检测，验证失败明确指示响应不可信，但不提供修正能力，也无法指出正确答案。DNSSEC 作为 DNS 扩展集，不改变 DNS 基本架构。
DoT 与 DNSSEC 的威胁模型差异：
DoT 通过 TLS 加密传输通道，保护查询与响应在网络路径上的机密性与完整性，解决的是窃听与中间人篡改传输层数据的问题。但 DoT 无法验证权威服务器返回数据本身的真实性——若权威数据被污染或服务器被劫持，DoT 仍会忠实传递错误数据。DNSSEC 则在数据层面提供源头认证，独立于传输通道。两者防御面正交：DoT 守住“管道”，DNSSEC 守住“内容”，缺一不可。
对网络工程师而言，部署 DoT 不能免除 DNSSEC 部署责任。递归解析器需同时启用 DNSSEC 验证与 DoT 加密，权威服务端需签名区数据；唯有双管齐下，才能在传输与数据两个层面构建可信 DNS 链路。
原文: APNIC Blog（2018-08-20）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog