域名系統(tǒng)(DNS)是一項(xiàng)明文服務(wù)，能搭上網(wǎng)線的人都能捕獲用戶的DNS流量，看看他們?cè)L問(wèn)的是不良網(wǎng)站還是正常網(wǎng)站。于是，為強(qiáng)化用戶的隱私安全，一組研究人員提出了更加“隱身”的DNS協(xié)議。

       研究人員解釋稱，甚至加密DNS（比如TLS加密的DNS）也依然暴露在遞歸域名解析服務(wù)器面前（直接連接客戶端的DNS），因?yàn)樵摲?wù)器要解密用戶DNS請(qǐng)求才可以獲得用戶想訪問(wèn)站點(diǎn)的IP地址。

       換句話說(shuō)，無(wú)論用的是ISP的域名解析服務(wù)器，還是第三方提供的域名解析服務(wù)器，比如谷歌或Cloudflare的，在某種程度上，用戶不得不信任該解析服務(wù)器會(huì)好好處理你的DNS請(qǐng)求。

       而身處司法機(jī)構(gòu)對(duì)互聯(lián)網(wǎng)流量監(jiān)控越來(lái)越嚴(yán)的時(shí)代，DNS請(qǐng)求也需要端到端的保護(hù)，因?yàn)檫\(yùn)營(yíng)商可能就是司法機(jī)構(gòu)要求數(shù)據(jù)的對(duì)象。

       看看IPv6艱難的推進(jìn)過(guò)程就知道，互聯(lián)網(wǎng)基礎(chǔ)設(shè)施擁有者幾乎不可能部署需要對(duì)自身裝備大舉重構(gòu)的技術(shù)。

       為避免遭遇到和IPv6相同的窘境，“隱身DNS”被設(shè)計(jì)成無(wú)需對(duì)現(xiàn)有DNS做任何修改即可操作的模式，能在當(dāng)前DNS服務(wù)器毫無(wú)改動(dòng)的情況下提升數(shù)據(jù)隱私安全。

       “隱身DNS”是在當(dāng)前系統(tǒng)的基礎(chǔ)上增加2個(gè)基礎(chǔ)設(shè)施組件：遞歸域名解析服務(wù)器和客戶端之間插進(jìn)一個(gè)存根解析服務(wù)器；并新增一個(gè)主域名服務(wù)器，.odns處于根服務(wù)器和頂級(jí)域名服務(wù)器相同的層級(jí)。

       這種模式下：

• 存根服務(wù)器接受用戶查詢（“某域名的IP地址是什么呀？”），以會(huì)話密鑰/公鑰的組合加密該查詢請(qǐng)求；

• 遞歸域名解析服務(wù)器接收該被加密過(guò)的請(qǐng)求（附加了.odns域）和會(huì)話密鑰；

• 遞歸解析服務(wù)器看到.odns就會(huì)將該請(qǐng)求轉(zhuǎn)給ODNS主域名服務(wù)器，由主域名服務(wù)器解密該請(qǐng)求并像遞歸服務(wù)器一樣按正常的模式處理該DNS解析請(qǐng)求（繼續(xù)傳遞給上一級(jí)域名服務(wù)器或就地解析）；

• ODNS加密返回的解析結(jié)果并將之傳回給存根服務(wù)器，再由存根服務(wù)器發(fā)回客戶端。

       這樣就能將DNS解析請(qǐng)求與用戶的身份解耦了。

用戶連接的遞歸服務(wù)器知道用戶的IP地址，但不知道用戶的查詢請(qǐng)求內(nèi)容；ODNS解析服務(wù)器可以看到查詢請(qǐng)求，但只知道用戶連接的遞歸服務(wù)器的IP地址，而不知道用戶的IP地址。

 

同樣地，可以訪問(wèn)域名服務(wù)器的攻擊者不可能看見(jiàn)用戶的IP地址，因?yàn)橛脩舻挠蛎樵冋?qǐng)求來(lái)自于ODNS服務(wù)器。

       提出“隱身DNS”協(xié)議的研究人員均為標(biāo)準(zhǔn)制定社區(qū)中的大拿級(jí)人物。他們?cè)?月底的時(shí)候貼出了會(huì)議演講內(nèi)容，并強(qiáng)調(diào)，“隱身DNS”還在不斷完善中。
 

https://odns.cs.princeton.edu/pdf/ODNS_OARC28.pdf