DNSSEC 的发展面临着重大的挑战，尽管它已经被部署在大多数顶级域名（TLD）中，且有免费的开源代码库和工具集，但其经济效益并未如预期般理想。DNSSEC 的设计问题可能是其采用率低的主要原因。其架构最初是在 1990 年代设计的，当时互联网仍处于“尽力而为”的时代，连接的主机和协议都不安全，且没有太多的最佳实践来应对和恢复恶意活动。
DNSSEC 的设计目标
DNSSEC 的设计目标是保护数据在 DNS 系统中流动的过程中，包括数据的认证、完整性和负面答案的认证。为了实现这些目标，DNSSEC 使用了数字签名来提供认证和完整性。然而，当时的主机安全性很差，私钥必须存储在离线计算机中，并使用可移动介质来桥接空气间隙。因此，协议设计要求所有响应都预先计算好，不允许根据查询生成响应数据。
DNSSEC 的局限性
DNSSEC 的设计存在一些局限性，例如其对负面答案的处理方式。预先计算好的负面答案容易受到重放攻击，因此 DNSSEC 采用了一种需要对区数据进行排序并揭示数据范围的方法，以便查询者可以确定所需的数据不存在。这种方法的缺点是响应数据更大，揭示了更多不必要的信息。另外，DNSSEC 对合成查询和重定向响应的处理也存在问题，需要揭示更多的信息。
对网络工程师的影响
对于网络工程师来说，DNSSEC 的发展困境有着重要的意义。它表明了网络安全协议的设计需要考虑到实际的网络环境和安全需求。网络工程师需要了解 DNSSEC 的局限性和潜在的安全风险，以便更好地设计和实现网络安全解决方案。同时，DNSSEC 的发展也需要网络工程师的参与和贡献，以便推动其发展和改进。
原文: APNIC Blog（2024-07-05）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog