DNSSEC采用公鑰技術對DNS 信息進行數字簽名，DNSSEC提供兩方面的驗證：DNS源發送方身份認證；DNS數據包完整性驗證。

DNS 數據認證需要用請求者接收的公鑰對接收的DNS 數據進行解密比對以保證數據完整性與正確性，DNSSEC采用委托信任鏈機制實現公鑰的分發與認證，DNSSEC 建立一個信任鏈表，使得ZONE 父區對子區的公鑰進行認證，保證解析請求者本地DNS 獲得正確的公鑰。

DNSSEC在原有的DNS域名解析體系上加入公鑰技術為ZONE區域產生一個公鑰/私鑰對并存放于權威域名服務器中，權威DNS服務器利用私鑰對DNS 數據進行數字簽名，域名解析請求者本地DNS 服務器利用得到的公鑰對接收到的加密DNS 數據進行解密，如果驗證通過則確定DNS 數據是由正確的權威DNS發送，同時保證了DNS 數據傳輸中沒有被篡改。

[[29434]]

圖 發送方對DNS數據進行數字簽名

圖中為DNS消息發送方先使用Hash函數對要發送的DNS信息進行Hasn 計算得到相應的的Hash 信息摘要，然后發送方利用非對稱私鑰對其數字簽名，最后將經簽名后的摘要數據和DNS原數據一起發送至接收方。

[[29435]]

圖 接收方對簽名后的DNS數據進行解密

圖中為接收方利用先前接收到的非對稱公鑰對接收到的DNS數據包中加密過的數據進行解密得到Hash摘要，然后利用與發送方相同的Hash函數對接收到的DNS原始數據進行Hash 計算，得到Hash摘要，將此Hash摘要與解密后得到的Hash摘要進行比對，如果兩者相同則接收發送方的身份，同時確認接收到的DNS信沒有被篡改。

在以上通信過程中，DNS數據包發送前經過了一次Hash計算和一次非對稱加密計算，DNS 數據包在接收后再次進行了一次Hash計算和一次非對稱加密計算，兩次對DNS信息的非對稱密鑰計算在一定程度上加大了雙方CPU 計算時間和負載。

更多相關資料請閱讀：

淺析基于混合加密機制的DNSSEC

淺析基于公鑰技術的技術方案實施復雜度

【編輯推薦】

1. 生成和交換預共享密鑰
2. PKI基礎內容介紹（1）
3. 破解你的密碼需要多長時間？
4. 信息安全的核心之密碼技術 上
5. 揭露維基解密竊取機密信息新手段
6. 防御網絡威脅UTM技術解密（圖示）