Kaminsky的发现“不仅帮助人们提高了对DNS漏洞的认识，也让人们更加重视普遍的互联网安全，让我们看到之前的协议在安全方面确实存在缺陷，”美国国家标准与技术协会计算机科学家与DNS安全专家Scott Rose说。

　　“从前DNS漏洞和有关DNSSEC部署的问题总是在社群中讨论来讨论去，但最终反而是从外部得到了最大的推动力，”这要感谢Kaminsky，Rose说。“他揭示了攻击DNS会发生什么问题，不仅是浏览器的重定向，还包括转换电子邮件。还有Kaminsky描述的所有其他攻击都把DNS的问题推到了台面上。”

　　专家说，由于Kaminsky的发现，在过去12个月里，为了加强DNS安全所做的工作已经超过了前十年的总和。然而，如今的DNS在面对缓存中毒攻击时，仍然和往常一样脆弱。 Kaminsky漏洞“是互联网的大问题”，Secure64首席运营官Joe Gersch说，他的公司销售DNS服务器软件和迁移到DNSSEC的自动化工具。Gersch是去年夏天Kaminsky在黑帽大会作报告的现场听众之一，当时在Kaminsky详述DNS缓存中毒威胁时，现场挤得水泄不通。

　　“Kaminsky花了20分钟解释它如何工作，在随后的一个半小时里，他一个接一个的展示被感染的案例，”Gersch说。“他展示了DNS一旦被感染，一切就都被黑客控制了。你甚至不知道袭击是怎么发生的，灾难就突然来临了。” Gersch说Kaminsky让人们认识到DNS内在的不安全性。“这比任何宣传都更有效，人们马上就开始打补丁程序，然后进行……DNSSEC部署，”Gersch说。自那时起，大多数——尽管不是全部——网络工程师都已经针对Kaminsky发现的漏洞修补了他们的DNS服务器。

　　然而补丁只是Kaminsky建议用来短期修补漏洞用的。阻止缓存中毒，对付Kaminsky式攻击的长期办法是DNSSEC，允许网站使用数字签名和公共密钥加密来验证域名和相应的IP地址。现在的问题是，DNSSEC要在互联网达到充分部署才能发挥最佳作用，也就是说从DNS层次的最顶端包括顶级域名如.com和.net等，一直到最底端的个人域名都要部署上DNSSEC。而在此之前，网站仍然容易受到Kaminsky式攻击。

　　Kaminsky漏洞“是部署DNSSEC的最主要催化剂”，NeuStar高级副总裁Rodney Joffe说。而什么时候才能达到充分部署呢?Joffe认为还需要一年或更长的时间。与此同时，ISP和网站运营商们却看到了越来越多的缓存中毒攻击，尽管其中很少被公开披露。7月17日爱尔兰的ISP Eircom报告说它遭受了缓存中毒攻击，导致两个主要服务中断，访问Facebook等网站的客户被重定向到虚假的网站。

　　今年4月，巴西银行Bradesco也证实它的一些顾客被重定向到恶意网站，试图窃取他们的密码，原因是银行的ISP Net Virtua遭受了缓存中毒攻击。 “我们看到缓存中毒攻击事件正变得越来越多，”Joffe说。“一年前，这还是一个理论上的威胁。而今天，它正在爆发。”缓存中毒攻击的危险实际上比一年前还要大得多，因为Kaminsky漏洞在黑客届已经变的众所周知。

　　而作为最终的解决办法，DNSSEC部署在过去的一年也取得了重大进展。美国政府确认到2009年底将在其.gov域名完成DNSSEC部署，而且正在采取步骤以确保DNS根服务器也能在同一时9 7 3 1 2 4 8 :

本文来源：51CTO 作者：佚名