37、DNS安全：攻击、防护与加密方案

DNS安全：攻击、防护与加密方案

1. DNS响应中的附加记录

DNS响应可能包含额外的记录，以提高整个DNS的性能。例如，为加速对ruhr - uni - bochum.de域下其他子域的请求，会列出三个权威名称服务器，并且在附加记录部分给出这些服务器的IP地址，方便DNS客户端直接访问。

然而，这些额外信息是否会被用于DNS缓存投毒攻击呢？攻击者可以发送包含小图片的HTML格式垃圾邮件，图片需从www.attacker.org加载。电子邮件客户端会对该域名发起DNS查询，攻击者控制的权威名称服务器ns.attacker.org在回复正确IP地址的同时，发送恶意附加记录：

attacker.org: type NS, class inet, ns www.realbank.com
www.realbank.com: type A, class inet, addr 192.168.1.123

这样，任何对www.realbank.com的请求都会被重定向到攻击者的服务器，这就是一个简单的名称链攻击案例。

在1997年之前，名称服务器会接受与请求无关的附加记录。但1997年6月的一次安全更新修复了BIND中的这一漏洞，如今名称服务器不再接受此类越界答案。为应对名称链攻击，引入了域内策略，只有与请求域名有共同顶级域的附加记录才会被接受。例如，对www.attacker.org的请求会接受ns.attacker.org的附加记录，而不接受ns.attacker.net或www.realbank.com的记录。

2. Kaminski攻击