DNS-OARC在2019年5月12日至13日在曼谷举办了第30次会议。在为期两天的DNS主题演讲和讨论中，Geoff Huston分享了他的一些观察和总结。以下是他关注的重点内容：
DANE与DNSSEC的挑战
长期以来，基于域名的X.509证书系统，即WebPKI，一直是互联网安全的一个薄弱环节。这个大规模分布的信任系统在完整性方面难以管理，经常出现虚假颁发的证书被用于入侵攻击、监听用户、篡改数据等多种恶意行为。CAB论坛试图在系统中注入更多信任的努力，效果似乎与将手指插入一个正在泄漏的堤坝一样微乎其微。信任的CA数量已经远远超出了传统信誉的边界，使得用户陷入了一种脆弱的信任状态。尽管有如扩展验证（EV）证书等改进措施，但由于用户对浏览器导航栏内容和颜色的微妙变化免疫，证书透明度日志似乎在实时捕捉CA相关的名称劫持事件方面完全无效。
DANE的机制与目标
定义DANE，即DNS中的域名密钥，是为了提供一种基于名称的保证机制，通过使用DNS向用户传达凭证，而不是依赖第三方操作的X.509 PKI基础设施。DNSSEC提供了一种方式，允许任何实体直接确保从DNS接收到的响应，与DNS中保存的记录确实是那个记录。如果Web PKI和所有这些域名证书发行商的整个目标最终是，将密钥对的控制与DNS中委托域名名的控制联系起来，那么DANE将消除这个中介的混乱，允许域名所有者在DNS中以难以被攻击者篡改的方式存储操作者的公钥。Shumon Huque认为DANE是DNSSEC值得努力的原因（我同意他的观点！）。这是最终将一些稳健的安全性带入名称系统使用的方式，并允许应用程序确保它们确实连接到了真正的命名服务。
DNSSEC验证的延迟问题
浏览器的一个基本问题是DNSSEC验证所需的时间过长。这导致了用户对DANE和DNSSEC的接受度不高，因为它们需要额外的等待时间来验证DNS记录的完整性。尽管DANE提供了一种直接在DNS中存储公钥的方法，但DNSSEC验证的延迟限制了其实际应用。
结尾：对于运维和网络工程师来说，了解DANE和DNSSEC的挑战对于确保网络的安全性至关重要。随着网络攻击手段的不断演变，工程师需要不断更新他们的知识，以应对新的威胁。DNS-OARC 30会议的讨论为工程师提供了宝贵的见解，帮助他们更好地理解和应对网络安全问题。
原文: APNIC Blog（2019-05-27）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog