“DNSCrypt工具对从顾客端计算机到OpenDNS服务器的DNS通信”

域名系统服务提供商opendns推出了一种开源工具，用于加密dns通信，以保护您的计算机和企业服务器之间的互联网连接。 opendns月6日宣布，dnscrypt工具旨在保护纯拷贝dns流量，保护顾客免受中间人攻击。 dns协议充当web的电话目录，将域名转换为实际ip站点托管的服务器的地址。 使用dns，客户不需要记住数字地址。

安全专家长期以来一直警告说，dns基础设施容易受到攻击，需要保护。 comodo首席执行官兼首席安全设计师melih abdulhayoglu最近告诉eweek，攻击者可以拦截顾客并将其重定向到恶意网站，或者通过中间人攻击窃听顾客活动。 。

根据f5 networks最近的报告，dns攻击是组织面临的最常见的攻击类型。 另据报道，防御最困难，对公司影响最大。

opendns首席执行官david ulevitch在博客上发布了DNS脚本工具。 不幸的是，由于dns是以纯粹的拷贝方式传输的，因此总是存在固有的弱点。

根据ulevitch的说法，尽管为确保dns的安全做出了一些努力，但在最后一英里(客户端计算机与互联网服务提供商或dns提供商之间的连接)中没有开展许多业务。 乌里奇写道，最后一英里是最有可能发生侦察、篡改、流量侵占等恶劣事件的时候。 对中间人的攻击也很成熟。 例如，咖啡店的不安遍布整个网络时尤其如此。

ulevitch表示，加密所有dns通信是一个根本性的改进，可以提高安全性，以防止任何窃听互联网活动的人看到他们访问的网站和通信 dnscrypt使用椭圆曲线加密技术对客户服务器和opendns服务器之间的流量进行加密。

安全研究员jacob appelbaum表示，dnscrypt将更有效地过时多种形式的dns审查制度，阻止试图实施审查制度的监控系统。

根据ulevitch的说法，dnscrypt是很强的第一步，不能代替dnssec，dnssec是以验证和验证域名为目的的安全协议。

多个注册商部署了dnssec以防止dns篡改。 使用公钥加密技术对网站的dns记录进行数字签名，防止篡改和缓存中毒。 dnssec提供了一种验证dns记录中列出的服务实际上是域中所有用户指定的服务的方法。

该企业在dnscrypt的faq页面上写道:“即使全世界的所有人都采用dnssec，加密所有dns流量的指控也不会消失。”

由于该公司使用与ssl包装器http通信相同的方法加密dns通信，因此建议dnscrypt类似于安全套接字层。 根据常见问题解答，dnscrypt将包装dns通信量，而dnssec将对部分通信量进行签名和验证。

目前仅适用于mac os x的opendns还发布了dnscrypt源代码。 据ulevitch称，这仍是一个技术预览，将根据需要更新代码。