文章指出DNS自诞生即易受欺骗攻击，DDoS攻击者向数万台DNS服务器发送伪造受害者IP的UDP查询，服务器响应流量放大淹没受害者连接。2013年Spamhaus遭攻击达100 Gbps，动用30,000台服务器。根因在于UDP缺乏身份管理。虽DNS支持TCP、DoT、DoH及DNS Cookie等机制，但规范要求服务器必须响应UDP查询，且服务器无法知晓客户端支持协议。研究发现99%支持Cookie的服务器在查询突然不含Cookie时仍正常响应。研究者提出广告机制让服务器独立学习客户端首选协议以过滤伪造查询。
原文: APNIC Blog（2022-02-10）｜摘要由 AI 辅助整理，事实以原文为准。
来源：APNIC Blog