京公网安备11010502063487号DNS 本来没有任何认证:谁抢先回应,谁说了算。DNSSEC 给每条记录加上数字签名,再用“父区担保子区的密钥”的方式串成一条一直通到根的信任链。这篇不依赖任何解析器,自己从根的信任锚开始把 example.com 的链一环一环验完,再故意篡改看验证怎么失败,最后看有多少常见名字真的签了名。
标志 QR RD RA AD;响应 179 字节(不带 DO 时 61 字节);回答区:2 条 A + 1 条 RRSIG RRSIG 的字段:覆盖的类型 A;算法 13(ECDSAP256SHA256);标签数 2;原始 TTL 300;签名过期 2026-10-16 08:28 UTC;签名开始 2026-10-14 06:28 UTC;密钥标签 34505;签名者 example.com.;签名本身 64 字节 这条签名的有效期长度 50.0 小时;距离过期还剩 25.0 小时 不带 DO 位时:标志 QR RD RA(没有 AD),72 字节,没有 RRSIG
带 DO 位的查询会多返回 RRSIG,验证过的解析器置 AD 位。响应从 72 字节变成 179 字节。
根的 DNSKEY:3 个(flags [<Flag.ZONE: 256>, <Flag.SEP|ZONE: 257>, <Flag.SEP|ZONE: 257>];256 = 区签名密钥 ZSK,257 = 密钥签名密钥 KSK);签名者 [38696] 内置的信任锚(IANA 公布的根 KSK 的 DS 摘要,密钥标签 20326 和 38696)与响应里的 KSK 匹配:[20326, 38696] ✓ 根的 DNSKEY 记录集被某个 KSK 签名,签名验证通过(用信任锚确认过的那个 KSK) ✓ com. 的 DS 记录(在父区 . 里,由父区的密钥签名)验证通过;DS 内容:密钥标签 [19718],算法 [<Algorithm.ECDSAP256SHA256: 13>],摘要类型 [<DSDigest.SHA256: 2>] ✓ com. 的 DNSKEY 里有一个 KSK(密钥标签 [19718])的哈希等于父区 DS 里的摘要 ✓ com. 的 DNSKEY 记录集(3 个密钥)的签名验证通过 ✓ example.com. 的 DS 记录(在父区 com. 里,由父区的密钥签名)验证通过;DS 内容:密钥标签 [2371],算法 [<Algorithm.ECDSAP256SHA256: 13>],摘要类型 [<DSDigest.SHA256: 2>] ✓ example.com. 的 DNSKEY 里有一个 KSK(密钥标签 [2371])的哈希等于父区 DS 里的摘要 ✓ example.com. 的 DNSKEY 记录集(4 个密钥)的签名验证通过 ✓ example.com 的 A 记录集的 RRSIG 验证通过(用 example.com 的 ZSK) 整条链全部通过:根(信任锚)→ com. 的 DS → com. 的密钥 → example.com. 的 DS → example.com. 的密钥 → A 记录
根 KSK 的 DS 摘要是信任锚;根签名 com. 的 DS,com. 签名 example.com 的 DS,example.com 的密钥签名 A 记录。每一环都验证通过。
把 104.20.23.154 改成 104.20.23.155 → 验证失败:ValidationFailure 把签名中的 1 个比特翻转 → 验证失败:ValidationFailure 把验证时间设到签名过期后 1 小时 → 验证失败:ValidationFailure(签名有有效期,过期的签名即使没被改过也无效)
改地址、翻转一个签名比特、签名过期,验证都失败。
1.1.1.1:默认 → RCODE SERVFAIL,回答 0 条,标志 QR RD RA,扩展错误(EDE) [(<EDECode.DNSKEY_MISSING: 9>, 'no SEP matching the DS found for dnssec-failed.org.')];加 CD → RCODE NOERROR,回答 1 条 A,标志 QR RD RA CD 8.8.8.8:默认 → RCODE SERVFAIL,回答 0 条,标志 QR RD RA,扩展错误(EDE) [(<EDECode.DNSKEY_MISSING: 9>, 'No DNSKEY matches DS RRs of dnssec-failed.org')];加 CD → RCODE NOERROR,回答 1 条 A,标志 QR RD RA CD
dnssec-failed.org 在验证型解析器上 SERVFAIL 并带 EDE 9;加 CD 位才能拿到数据。
名字 RRSIG AD DS
example.com 有 是 有
cloudflare.com 有 是 有
github.com 无 否 无
google.com 无 否 无
wikipedia.org 无 否 无
ietf.org 有 是 有
iana.org 有 是 有
python.org 无 否 无
amazon.com 无 否 无
microsoft.com 无 否 无
apple.com 无 否 无
kernel.org 无 否 无
已签名(有 DS)的名字 4 / 12随手选的 12 个常见名字里,只有 4 个有 DS;没签名的域名得不到保护。