DNSSEC 是一种为 DNS 提供安全保障的协议，但最近的研究发现，它存在一个根本性的设计缺陷，导致了 KeyTrap 算法复杂性攻击的产生。这种攻击可以通过单个 DNS 数据包使得所有广泛使用的 DNS 实现和公共 DNS 服务提供商的 CPU 耗尽，从而导致 Internet 访问瘫痪。DNS 是 Internet 的关键基础设施，任何对 DNS 的攻击都可能产生深远的影响。
DNSSEC 的设计和部署
DNSSEC 的设计初衷是为了防止 DNS 攻击，通过对域名进行数字签名和验证来确保 DNS 记录的真实性。然而，DNSSEC 的部署进展缓慢，根据 APNIC 的测量，目前只有 31% 的 Web 客户端使用 DNSSEC 验证的 DNS 解析器。部署缓慢的原因之一是人们担心 DNSSEC 验证可能会由于加密运算或传输加密材料而导致连接问题或负载增加。此外，新机制的部署可能会导致配置错误和故障，例如密钥过期或未正确配置，或者解析器不支持域名所有者用于签名的加密密码。
KeyTrap 攻击的影响
KeyTrap 攻击的影响非常严重，攻击者可以有效地禁用任何使用 DNSSEC 验证的 DNS 解析器的 Internet 访问。这种攻击可以通过单个 DNS 数据包实现，使得所有广泛使用的 DNS 实现和公共 DNS 服务提供商的 CPU 耗尽。为了防止这种攻击，需要重新评估 DNSSEC 的设计和部署，确保 DNSSEC 验证的安全性和可用性。原文未给出具体数据关于 KeyTrap 攻击的详细机制和防御措施，但这次发现的安全漏洞无疑是 DNSSEC 发展中的一个重要挑战。
DNSSEC 的未来
DNSSEC 的设计初衷是为了提供安全保障，但其部署和实施中存在许多挑战。KeyTrap 攻击的发现凸显了 DNSSEC 设计中的根本性缺陷，需要重新评估和改进。为了确保 DNS 的安全性和可用性，需要继续研究和开发新的安全机制和技术，例如改进的加密算法和更高效的验证机制。同时，网络工程师和运维人员需要注意 DNSSEC 的安全性和可用性，确保 DNS 服务的正常运行和安全性。
对运维和网络工程师来说，KeyTrap 攻击的发现是一个重要的警示，需要重新评估 DNSSEC 的设计和部署，确保 DNS 服务的安全性和可用性。同时，需要继续研究和开发新的安全机制和技术，来应对不断演变的网络安全威胁。通过共同努力，才能确保 Internet 的安全性和可用性。
原文: APNIC Blog（2024-02-19）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog