什么是DNSSEC链式信任模型

DNSSEC（Domain Name System Security Extensions）链式信任模型是 DNSSEC 用来保证 DNS 数据真实性和完整性的核心安全机制。它的本质是一种从受信任根节点开始、逐层向下验证的“信任链（Chain of Trust）”。

下面分步说明：

1. 基本思想

DNS 本身是不安全的，容易被篡改（如 DNS 欺骗）。
DNSSEC 通过数字签名解决这一问题：

• 每个区域的 DNS 数据由该区域的私钥签名；
• 解析器使用上一级区域提供的公钥验证签名；
• 信任从根（Root）一路传递到最底层的域名。

这就是“链式信任”。

2. 信任链的结构

根区 (.)
 └── 顶级域 (如 .com, .cn)
      └── 二级域 (如 example.com)
           └── 子域 (如 www.example.com)

每一层都：

• 拥有自己的 Zone Signing Key（ZSK） 和 Key Signing Key（KSK）
• 由上一层对其公钥进行签名（形成 DS 记录）

3. 关键记录类型

• DNSKEY：区域内公开的公钥
• RRSIG：对某条 RRSet 的签名
• DS（Delegation Signer）：父区域对子区域 DNSKEY 的哈希签名
• NSEC / NSEC3：证明“某记录不存在”

4. 链式验证过程（举例）

以 www.example.com 为例：

1. 根区域被预置在解析器中（根信任锚，Root Trust Anchor）
2. 根用私钥签名 .com 的 DS 记录
3. 解析器用根公钥验证 .com 的 DS
4. .com 用私钥签名 example.com 的 DS
5. 解析器用 .com 公钥验证 example.com
6. example.com 用 ZSK 签名 www.example.com 的 A 记录
7. 解析器验证 RRSIG，确认数据未被篡改

✅ 只要根可信，整条链都可信。

5. 信任锚（Trust Anchor）

• 解析器（如操作系统或递归 DNS）内置根区公钥
• 这是信任的起点
• 一旦根密钥变更（如 2018 年根 KSK 轮转），需同步更新

6. 特点与限制

优点

• 防止 DNS 缓存污染、伪造响应
• 不依赖加密通道（不同于 DoH/DoT）

限制

• 不提供保密性（DNS 内容仍可被监听）
• 配置复杂，易因签名失效导致解析失败
• 依赖全链部署（任一层未签，则链断裂）

一句话总结

DNSSEC 链式信任模型是一种从根到域名的逐级数字签名验证体系，通过父域对子域公钥签名，构建一条可验证、防篡改的 DNS 信任链。

如果你愿意，我也可以画一张信任链示意图或结合实际抓包/配置示例讲。