DNS根服务器开始为DNS请求添加数字签名

mwater

DNS根服务器5日部署SEC协议 http://tech.sina.com.cn/i/2010-05-05/15084148001.shtml
小引一段：北京时间5月5日下午消息，据国外媒体报道，以ICANN(互联网域名与数字地址分配机构)为首的全球顶级域名授权商将在全球互联网的13个根服务器上完成DNSSEC(DNS安全扩展)协议的第一阶段部署。
　     　DNSSEC为每一个DNS请求都添加了一个数字签名，从而为网民提供了额外的保障，确保通过域名可以访问到正确的网站或邮箱。
     　　DNSSEC是为了防范“中间人”攻击而开发的。在这种攻击中，黑客会拦截域名请求，并返回虚假信息诱骗用户的系统访问错误的网站。

添加后能防范一些ISP的DNS劫持，但好像我朝的CISCO壁垒，早已不是停留在DNS劫持这种初级阶段了；
据说现在加密https协议也可以监控了？
在技术层面上，CISCO的确很强大

goldstein

简单，把国外DNS全封掉，逼屁民们只能用国内的DNS。

这个数字签名也只是ICANN的紧急应对措施，最终DNS解析还是应该全程加密，以应对从私人到御用各种级别的无赖和流氓。

HTTPS协议目前天朝还无法监控，要不通过Gmail早有上千人被捕了。虽然无法破解SSL，但可以伪造和劫持。天朝已经有了CA权限，可以肆意伪造SSL证书了，这是个危险的捷径。

参考：

1. CNNIC CA：最最最严重安全警告！
   
2. 
   
3. http://autoproxy.org/zh-CN/node/66

复制代码