在互联网的底层架构中,域名系统（DNS）扮演着“电话簿”的角色，负责将我们易于记忆的网址（如www.example.com）翻译成机器能够理解的IP地址，这个基础的查询过程在传统上是以明文形式进行的，就像一张寄送的信件，任何人都可以在中途窥探其内容，甚至进行篡改，为了应对这一安全风险，DNS加密技术应运而生，但正如任何安全措施都会催生更高级的攻击手段一样，DNS加密劫持也随之成为网络世界中一个隐蔽而危险的威胁。
什么是DNS加密？
DNS加密,顾名思义，就是对DNS查询和响应的过程进行加密，防止中间人窃听或篡改，目前主流的加密协议有两种：
- DNS over TLS (DoT)：它将DNS查询封装在TLS（传输层安全）协议中，与HTTPS网站使用的加密技术同源，DoT使用专门的TCP端口853，其特点是为DNS流量建立了一条专用的、加密的通道。
- DNS over HTTPS (DoH)：它将DNS查询伪装成普通的HTTPS流量，通过标准的443端口进行传输，这使得DNS流量与正常的网页浏览流量混杂在一起，更难被网络管理员或防火墙识别和阻断，因此也带来了关于网络管理和可控性的争议。
这两种技术的核心目的都是保护DNS查询的隐私性和完整性,确保用户访问的确实是其意图访问的网站。
| 协议 | 端口 | 加密方式 | 特点 |
|---|---|---|---|
| 传统DNS | 53 | 无（明文） | 易于监控和拦截，但无隐私和安全性可言 |
| DNS over TLS (DoT) | 853 | TLS | 专用通道，易于识别和管理，隐私性好 |
| DNS over HTTPS (DoH) | 443 | HTTPS (TLS) | 伪装成普通网页流量，隐蔽性极高，难以管控 |
DNS加密劫持：新型攻击的“矛”
当DNS查询被加密后,传统的在网络上嗅探并篡改DNS响应的劫持方式便失效了，攻击者并未就此罢休，而是将攻击目标转向了加密链条中的其他薄弱环节，形成了所谓的“DNS加密劫持”，这种攻击的核心思想是：既然无法在传输过程中破解密文，那么就在源头或终点做文章。
常见的DNS加密劫持手段
DNS加密劫持的手段更加隐蔽和复杂,主要可以分为以下几类：
-
终端设备篡改：这是最直接也最常见的方式，攻击者通过恶意软件、病毒或不安全的软件安装包，感染用户的个人电脑、手机甚至路由器，一旦设备被控制，攻击者会直接修改设备或路由器的DNS设置，将其指向一个由攻击者控制的恶意DNS服务器，这个恶意服务器可能也支持DoH或DoT，用户会看到自己的连接是“加密”的，从而放松警惕，但实际上，所有查询请求都被发送到了攻击者的“假冒电话簿”，他们可以随心所欲地将用户引导至钓鱼网站、植入广告或进行窃密。
-
本地DNS解析器劫持：在一些企业或局域网环境中，如果内部的DNS解析器被攻击者攻破，那么所有经过该解析器的查询请求都可能被劫持，即使终端设备向解析器发起的是加密查询（DoH/DoT），攻击者控制的解析器依然可以返回虚假的IP地址。
-
证书信任链攻击：这是一种更为高阶的攻击，DoH和DoT的安全性依赖于TLS证书体系，如果攻击者能够骗取或伪造一个受信任的证书，或者攻陷用户设备上的根证书存储，他们就可以搭建一个“中间人服务器”，当用户的设备尝试连接到真实的DoH/DoT服务器时，攻击者会拦截这个连接，并用自己的服务器冒充真实服务器，由于设备信任了攻击者的伪造证书，它会以为自己正在与一个安全的DNS服务器通信，而实际上所有查询都经过了攻击者的篡改。
如何构建坚固的“盾”？
面对不断演进的攻击手段,我们需要构建多层次、纵深化的防御体系：
- 使用可信的公共DNS服务：选择如Cloudflare（1.1.1.1）、Google（8.8.8.8）或Quad9（9.9.9.9）等声誉良好、支持加密且具备安全过滤功能的公共DNS服务。
- 定期检查设备DNS设置：时常检查电脑、手机及路由器的DNS服务器地址，确保其未被篡改为陌生或可疑的地址。
- 安装和更新安全软件：强大的杀毒软件和反恶意软件工具能够有效查杀和预防用于篡改DNS设置的恶意程序。
- 启用DNSSEC：DNS安全扩展（DNSSEC）是另一项重要技术，它通过数字签名来验证DNS响应的真实性，确保你收到的IP地址确实来自该域名的合法所有者，DNSSEC与DNS加密是互补关系，前者保障“真实性”，后者保障“机密性”。
- 保持系统和软件更新：及时更新操作系统、浏览器和路由器固件，修复可能被利用的安全漏洞。
从明文到加密,DNS的安全演进是一场永无止境的攻防战，DNS加密极大地提升了网络隐私和基础安全性，但它并非万能的“银弹”，DNS加密劫持的出现提醒我们，网络安全是一个系统工程，需要技术、意识和良好习惯三者的结合，只有理解了威胁的本质，采取全面的防护措施，我们才能在享受加密带来的便利时，有效规避潜藏在阴影中的风险。
相关问答FAQs
我使用的浏览器（如Chrome、Firefox）已经默认开启了DNS over HTTPS（DoH），这是否意味着我完全不会遭受DNS劫持了？
答： 不完全是，浏览器开启DoH确实能防止你在公共Wi-Fi等网络环境中被中间人窃听和篡改DNS查询，这是一个巨大的进步，它无法防御针对设备本身的攻击，如果恶意软件已经感染了你的电脑或手机，并直接修改了操作系统的网络设置或hosts文件，那么它可以在浏览器发起DoH查询之前就将网址重定向到恶意IP，如果攻击者控制了你连接的恶意DNS服务器（并使其支持DoH），你的浏览器虽然在进行加密查询，但询问的对象本身就是“骗子”，DoH是重要的防御层，但并非万无一失，仍需结合设备安全、可信DNS源等综合措施。
DNS加密（DoH/DoT）和DNSSEC有什么区别？我需要同时使用它们吗？
答： 它们是两个解决不同问题的互补技术，并非相互替代。
- DNS加密（DoH/DoT）：主要解决的是隐私和传输安全问题，它将你的DNS查询内容（你要访问哪个网站）加密，防止网络上的窃听者知道你的浏览行为，也防止他们在传输过程中篡改查询结果，它的核心是“保密”。
- DNSSEC：主要解决的是数据完整性和真实性问题，它通过数字签名来验证DNS服务器返回的答案是否被篡改过，并确保这个答案确实来自该域名的授权管理者，它的核心是“认证”。
DNS加密确保你和DNS服务器之间的“信件”在邮递过程中不被偷看和替换；DNSSEC则确保你收到的“信件”上的公章是真的，内容确实是发件方写的，为了获得最全面的保护，强烈建议同时使用两者，一个安全的网络环境既需要加密的通道，也需要可信的数据源。