2025年5月到12月，一个和俄罗斯军事情报机构存在关联的黑客组织，实施了一次影响范围很大的攻击行动。他们入侵大量家用、小型办公路由器，设备以MikroTik和TP-Link为主，篡改路由器内部DNS配置，用户完全察觉不到。你输入网址之后，路由器本该转发查询请求到运营商或者自定义DNS服务器，现在被劫持指向攻击者控制的服务器。攻击者返回伪造IP，用户跳转至钓鱼页面，账号登录凭证也会被窃取。到2025年12月，代号“FrostArmada”的攻击已经影响超过5000台设备、200多个组织，受害目标包含英国国防部以及北约后勤承包商。
这件事暴露一个很多人不清楚的事实：传统网络环境下DNS查询采用明文传输。输入域名后，查询请求从你的设备发出，途经路由器、运营商网关以及沿途各类网络设备，全程没有加密。任何人都可以看到你查询了哪些域名，也能够篡改返回的解析结果。网页打不开、莫名跳转到陌生页面，很多情况就是中间人篡改了DNS响应。
加密域名系统的设计目标，就是应对这类威胁。它要实现两层能力：一是中间人看不到查询内容，保障机密性；二是中间人无法篡改返回结果，保障完整性。两层能力依靠不同技术实现，缺少任意一层都不算完整防护。
DoH和DoT负责隐藏查询内容。 DNS over HTTPS把DNS查询封装在普通HTTPS请求内，使用443端口。从外部流量来看，查询域名产生的流量和普通网页浏览流量一致，都是加密HTTPS，中间设备没办法区分哪些数据包是DNS查询。DNS over TLS使用853端口，搭建专用加密通道，结构简单，但流量特征更容易识别。两者共同目标是，链路监听者看不到DNS查询内容，同时无法篡改查询结果。Cloudflare和微软文档都明确说明，DoH、DoT可以有效抵御窃听和中间人劫持攻击。
DNSSEC负责校验数据来源。 DoH和DoT加密传输通道，但存在一个短板：如果DNS服务器本身被攻陷或者本身就是恶意的，加密传输返回的依旧是虚假解析结果。DNSSEC依靠数字签名，确保拿到的DNS记录来自域名合法管理者，传输过程没有被改动。ICANN在2026年5月发布公告，DNSSEC根区密钥签名密钥是DNSSEC信任锚的核心加密密钥，用来验证DNS响应合法，并且确认传输途中没有被修改。ICANN计划在2026年10月轮换该密钥，属于维护DNS长期安全的重要操作。
两项技术属于互补关系，不能互相替代。 ICANN的政策研讨会上，参会人员专门澄清这个容易混淆的点。DNSSEC保障资源记录本身安全，TLS保障传输通道安全。DNSSEC类似信件验签，确认信件确实由目标发件人寄出，内容没有改动。DoH、DoT相当于加密信封，保证信件运输途中不会被拆开偷看。验签不会隐藏信件内容，加密信封也不能替代来源校验。两项技术配合使用，才能同时确认解析结果真实，并且查询过程不会被窃听。
加密DNS在特定场景价值突出。 企业环境就是典型场景。企业内部自建DNS集群处理内网域名，公网域名查询需要转发到外部DNS。如果转发采用明文UDP 53协议，攻击者可以在链路劫持请求，诱导员工访问钓鱼站点。阿里云、AWS都提供企业自建DNS通过DoH转发公网查询的方案，核心目的就是防范域名劫持。
物联网是另一个重点关注场景。IETF物联网DNS安全指南提到，绝大多数物联网设备使用明文DNS，DNS流量能够被捕获和篡改。这份指南建议物联网设备至少支持DoT或者DoQ这类加密DNS传输协议，提升隐私防护，缓解攻击风险。智能摄像头、智能门锁一旦遭遇DNS劫持，攻击者可以引导设备连接伪造固件更新服务器，植入恶意代码。物联网设备算力有限，但DNS查询加密开销不高，是性价比很高的防护手段。
对普通用户，加密DNS解决很实际的问题，避免别人获知你的网站访问记录，同时防止被引导至虚假站点。运营商DNS劫持插入广告、公共WiFi环境伪造DNS响应、路由器被入侵篡改流量转发，这些都不是理论风险，现实中持续发生。DoH和DoT至少保护设备到递归解析服务器这一段链路，中间人无法查看和篡改。
落地现状是技术持续迭代，但普及程度不足。 DNSSEC部署数据可以直观体现。截至2026年，全球顶级域名大约94%完成DNSSEC签名，但顶级域名之下二级域名签名率很低。.com区域内DNSSEC签名率仅4.5%左右。全球2000强企业中，只有11%启用DNSSEC，对比六年前3%有所增长，但整体占比依旧偏低。DNSSEC全球验证率在34%至40%区间浮动，超过半数DNS查询没有经过DNSSEC校验。DNSSEC被诟病数十年，主要问题是协议复杂、部署繁琐，用户感知不到这项功能，缺少推动落地的动力。
DoH、DoT情况相对好一些，浏览器厂商在推动落地。Firefox2019年在美国默认开启DoH，后续扩展到加拿大，Chrome、Edge也提供DoH配置选项。但这主要是终端侧加密，路由器层面支持率很低。国内绝大多数家用路由器不支持加密DNS，用户需要在每台设备单独配置，使用门槛偏高。并且国内DoH、DoT服务可用性参差不齐，海外服务商经常无法连通，国内只有阿里、腾讯、360等少数厂商提供可用加密DNS服务。
还有更深层局限。加密DNS只保护用户到递归解析服务器这段链路。递归解析服务器到权威服务器之间，很多场景依旧使用明文传输。学术研究测算，超过90%域名可以依靠递归与权威侧部署加密DNS获得隐私保护，但大约6.28%敏感域名无法受益。说明加密DNS是分段防护，不是端到端完整加密。一旦攻击者控制递归解析服务器，或是递归服务器到权威服务器之间链路被控制，加密DNS防护效果会大打折扣。
它的价值到底在哪。 加密域名系统的意义，不在于它是全新技术，而是补上了存在几十年的安全漏洞。DNS诞生初期互联网是规模小、彼此信任的圈子，设计者没有预料到几十年后，DNS承载金融交易、远程办公、物联网控制这类对安全隐私要求极高的业务。明文DNS在早期小规模环境够用，放到现在互联网环境远远不够。
FrostArmada攻击事件里，攻击者最关键操作就是篡改DNS配置。如果路由器原生支持加密DNS，设备和DNS服务器通信走加密通道，攻击者拿到路由器控制权之后依旧可以修改配置，但用户更容易发现解析异常，或者加密通道证书校验失败，攻击隐蔽性下降，更容易被发现。加密不是万能防护，但显著抬高攻击难度与成本。
DNSSEC的KSK密钥轮换也是一个信号。ICANN2026年10月执行这项操作，不是修复某个特定漏洞，而是维护整套信任链长期有效。密码学有一个基础常识：密钥存在生命周期，使用时间越长，泄露或者被破解风险越高。定期轮换密钥是安全体系正常运行的常规操作，不是出现安全事故后的补救措施。
对个人用户，加密DNS能力有限但很实用：减少运营商DNS插广告，降低公共WiFi环境钓鱼风险，让浏览记录不容易被中间人抓取。对企业，加密DNS属于合规要求，也是保护员工账号、内部系统的基础防线。对物联网设备，加密DNS是设备安全链条容易被忽略，但不能缺少的一环。
这项技术不会提升网速，也不会让电脑运行更流畅。它做的是底层保障，确保你输入域名，最终拿到的IP地址真实，传输途中没有被篡改。