IETF93 会议上关于 DNS 的讨论主要集中在 DNS 安全的后果。其中一些最常见的问题包括：DNSSEC 密钥滚动更新是否安全？如何知道？如何找到答案？如果我们有 DNSSEC，如何利用它在其他协议中获得好处？例如，给定 DNSSEC，是否可以传递 DANE 记录来保护 TLS 会话，以便客户端即使中间 DNS 服务无法执行 DNSSEC 也可以启动 TLS？如果我们有指向相同信息但位于不同域空间的替代名称，如何指示它们之间的关系？如何防御 DNS？
DNSSEC 的重要性
DNSSEC 是大多数问题的基础。例如，如果没有人使用 DNSSEC，密钥滚动更新的风险问题就变得无关紧要：没有用户就意味着没有损害。APNIC 实验室已经测量了 DNSSEC 的使用情况，以及 DNSSEC 变化的后果，这些变化可能会破坏验证。TLS 信任依赖于 DNSSEC 来保护在 DNS 中提供的语句。如果 TLSA 记录本身没有签名， никто就不能信任传输的数据。因此，TLS-DANE 的依赖性是显式的。DANE 实际上是由于 DNSSEC 存在而为应用协议提供的安全性改进。
DANE 和 TLSA_DANE
DANE 问题也指出了新兴 DNS 软件的处理 DNSSEC 相关查询和验证检查的问题。TLSA-DANE（如 DANE 工作组所讨论的）提供了一种方法，可以绕过中间 DNS 系统，如果它们还不能处理 DNSSEC。它不会消除需要有效的 DNSSEC 签名数据的必要性，但它确实消除了使用 DNS 查询的必要性。
结论
IETF93 会议上关于 DNS 的讨论强调了 DNSSEC 的重要性。DNSSEC 是大多数问题的基础，DANE 和 TLSA_DANE 的依赖性是显式的。对于运维和网络工程师来说，理解 DNSSEC 和 DANE 的重要性对于确保网络安全至关重要。
原文: APNIC Blog（2015-07-22）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog