域名系统安全扩展（DNSSEC）

DNSSEC是“域名系统安全扩展”（Domain Name System Security Extensions）的缩写，是一种增强型协议，旨在确保DNS服务器所提供信息的真实性。它利用公钥加密和数字签名来解决传统DNS协议中的安全漏洞。DNS开发于1983年，是一种将域名（主机名）解析为IP地址的系统，但因缺乏强有力的安全机制而受到质疑。其中一个重大漏洞是容易遭受DNS缓存投毒攻击。

DNS基础设施主要由两类服务器组成：

DNS内容服务器（权威服务器）：负责管理实际的域名信息。
DNS缓存服务器（名称服务器）：这类服务器代表客户端查询内容服务器，并在指定时间内临时缓存响应，以便处理后续类似请求，无需重复查询。

如果缓存中存储了恶意或错误数据（“缓存中毒”），DNS缓存服务器可能会向客户端提供错误的IP地址，将其重定向到欺诈网站。这种蓄意利用行为称为DNS缓存投毒。之所以会发生这种情况，是因为服务器之间的DNS通信使用无状态的UDP协议，而该协议缺少发送方验证机制。攻击者通过精确控制伪造响应数据包的发送时机，使其与合法请求相匹配，从而实施缓存投毒。

DNSSEC通过引入加密验证来缓解这一问题。权威DNS内容服务器会生成一对加密密钥，即私钥和公开密钥。响应查询时，服务器使用私钥对DNS响应进行签名。DNS缓存服务器收到响应后，使用公钥验证数字签名。此过程可确保数据的完整性和真实性，从而有效防范DNS缓存投毒攻击。