5154

吴洪声与DNS的渊源

• 早期经历：吴洪声作为知名个人站长，在互联网领域有着深厚的积累，他创立的DNSPod最初是为了满足自己和朋友的建站需求，随着互联网的发展，逐渐成长为一个具有广泛影响力的DNS服务提供商。
• 职业发展：从DNSPod创始人到腾讯云中小企业产品中心总经理，再到ServBay创始人，吴洪声在不同阶段都致力于解决互联网基础资源相关的问题，尤其在DNS领域有着深入的研究和实践。

DNS面临的安全挑战

• 常见的攻击方式
  • 大流量DoS攻击：通过向DNS服务器发送大量请求，耗尽服务器资源，导致服务不可用。
  • 基于DNS的漏洞攻击：利用DNS协议或相关软件的漏洞进行攻击，获取非法权限或篡改数据。
  • DNS劫持、欺骗攻击：劫持DNS请求、发送欺诈性DNS响应报文造成DNS缓存毒化等方式，引导用户访问恶意网站，造成信息泄漏和经济损失。
• 典型案例：2016年10月，北美地区的重要域名服务商D Y N公司遭到强烈的DDos攻击，导致北美地区大规模的网络瘫痪，这充分说明了DNS攻击的巨大危害。

应对DNS安全挑战的方案

• DNSSEC
  • 原理：DNS数据所有者为DNS数据生成数字签名，接收方通过验证签名的合法性来确认数据的真实性和完整性。
  • 优势：具备数据完整性校验功能，能确保所接收到的DNS数据来源的合法性和数据的完整性，解决了数据校验安全性不足的问题。
  • 局限性：并非强制选项，客户端需拿到根DNS服务器返回的数据包才能知道域名是否开启DNSSEC，可能被客户端解析忽略；会增加服务器负担，包括存储资源和计算性能压力，还会增大DNS报文和网络流量压力；对查询失败的处理不够好，存在抢答攻击风险等。
• DoT/DoH
  • 作用：DNS查询和响应以明文方式发送存在被监听的风险，DoT（DNS over TLS）和DoH（DNS over HTTPS）可以对DNS查询和响应进行加密，保护用户隐私。
  • 局限：只能解决客户端到递归层面的安全问题，无法实现全链路的DNS安全。

DNSPod的发展与创新

• 节点部署：在全球多个地区部署了Anycast节点，从东南亚、美国、欧洲到中东，超过48个节点在运作，并计划在南半球建设节点，争取两年内实现全球覆盖，提升了服务能力和稳定性。
• 产品创新：推出了DoH、DoT产品，实现了全链路的DNSSEC支持，在守护用户DNS安全方面走在行业前列，基于F Stack开发新一代DNS Server软件，单机处理能力超过1亿QPS，大大提高了性能。

吴洪声对独立开发者的建议

• 开发环境管理：深入理解Docker原理，编写Dockerfile和compose文件，避免无脑使用，以更好地管理开发环境，ServBay在这方面提供了更便捷的解决方案。
• 云服务平台选择：根据个人需求选择合适的云服务平台，利用免费试用等政策降低成本。
• 申请资源技巧：建立完善的LinkedIn资料，提高申请云服务免费资源的成功率。
• 海外公司注册：注册海外公司可保护个人和业务，提高申请云服务资源的信任度，美国、香港和新加坡各有优势，开发者应根据自身情况选择，同时要注意英国公司存在的连坐制度和高税收风险。
• 支付平台选择：银行账户比支付机构更安全，应谨慎选择支付平台，避免将大量资金存放在支付机构账户中。
• 商业思维培养：技术出身的开发者需建立商业思维，从商业角度思考问题，以更好地理解市场需求并做出决策。

相关问题与解答

问题1：DNSSEC为什么不能百分百解决域名劫持问题？ 解答：因为DNSSEC并非强制选项，客户端需拿到根DNS服务器返回的数据包才能知道域名是否开启DNSSEC，攻击者可能抢在根服务器返回前响应用户，传输不包含签名的域名数据包，误导用户以为域名不支持DNSSEC，从而采纳恶意响应，访问恶意IP，DNSSEC还存在其他缺陷，如使用该方案的DNS流量少、可能被客户端解析忽略、证书链要求严格、对查询失败处理不佳以及会增加服务器负担等，所以不能完全避免域名劫持。

问题2：独立开发者在选择云服务平台时应注意什么？ 解答：应根据个人需求和业务情况选择合适的云服务平台，可以考虑平台的性能、价格、功能、稳定性等因素，要充分利用免费试用等优惠政策，降低开发成本。