22、域名系统（DNS）与下一代Wi-Fi的安全挑战与解决方案

域名系统（DNS）与下一代Wi-Fi的安全挑战与解决方案

1. DNS安全问题的起源与现状

近年来，DNS投毒、隧道攻击和劫持等风险呈指数级上升。例如，近期出现了一系列影响政府、电信和互联网基础设施实体所属多个域名的DNS劫持攻击。这引发了对诸如域名系统安全扩展（DNSSEC）以及相关或替代技术（如基于TLS的DNS，即DOT；基于HTTP/s的DNS，即DOH）的广泛讨论。

1.1 DNS安全问题的具体表现

• DNS劫持与投毒事件激增 ：过去十年间，DNS劫持和投毒事件持续增加，近期一些备受瞩目的案例更是让这一问题凸显。对于允许员工通过VPN在家工作的企业，安全团队有时会发现内部服务器返回外部IP地址。这通常是由于用户在脱网时混合使用DNS服务器，这些信息驻留在本地DNS缓存中，即使建立VPN连接后仍会存在。
• DNS隧道攻击 ：异常实体利用DNS隧道进行数据泄露和信标活动。

1.2 DNS及可用保护技术概述

技术名称	功能描述	相关RFC	优点	缺点
DNS	将域名转换为IP地址，信息从A记录中获取	RFC 1034	基础的域名解析功能