对于有通配符记录的区域，NSEC域枚举会发生吗？

Question

在DNSSEC中，NSEC记录被用来证明不存在。麻烦的是，这些记录提供了指向现有域名(两个方向上最接近的已知域)的指针，构建了一个链，该链可以“遍历”，最终通过进一步的失败查询来泄露给定区域中的所有域名。

据我所知，该方法依赖于对没有相应记录的域进行查询。带有通配符DNS记录的区域是否仍然容易受到此攻击？

Answer 1

它们仍然是脆弱的，因为通配符记录被签名为"*“。关于如何处理通配符结果的详细信息包括RFC 2535 (DNSSEC)、RFC 3845 (NSEC3格式)和RFC 5155 (NSEC3哈希响应)。

这个简单的描述帮助我理解了如何证明通配符响应：“接收名称服务器可以从'*.example.com‘中合成记录'www.example.com’，并相应地检查签名。”

在通配符响应的情况下，某些工具和脚本可能会失败，但这并不能证明攻击仍然是不可能的。

Answer 2

如果您担心攻击者会遍历您的区域，则应该将其配置为使用NSEC3而不是NSEC进行拒绝。这适用于通配符记录，在任何一种情况下都不影响区域行走。

NSEC3使用名称的散列来断言记录的不存在。攻击者无法从其散列中获取原始名称，因此不会收到指向区域中相邻名称的提示。

与NSEC的情况一样，攻击者仍然可以知道响应是由于通配符记录的存在而引起的。但是，无论区域是否包含通配符记录，使用NSEC (在NSEC3中是不可能的)区域遍历是可能的。

Windows在Server 2012 (及更高版本)中支持NSEC3，并绑定9+。旧版本只支持NSEC的DNSSEC。