网络安全现状尴尬：AWS 与 Google 官网均未启用 DNSSEC 协议

近日，Hacker News 上的一则讨论引发了技术社区对互联网基础安全的广泛关注。话题指出，尽管 DNSSEC（域名系统安全扩展）协议作为保障 DNS 解析安全的关键标准已存在多年，但科技巨头 Amazon（aws.com）和 Google（google.com）的主域名至今仍未启用该协议。资深网络安全专家 Thomas Ptacek 在评论中证实，这两家公司在历史上从未为其主域名签署 DNSSEC。相关统计数据进一步揭示，目前北美地区启用 DNSSEC 的域名比例极低，不足 5%，且在过去几年中，这一数字甚至出现了下滑趋势。DNSSEC 的设计初衷是通过数字签名验证 DNS 数据的完整性和来源，从而有效防止 DNS 缓存投毒攻击。然而，其在实际落地中却面临巨大的阻碍。业界普遍认为，DNSSEC 的实施成本高昂，不仅显著增加了系统运维的复杂性，还引入了密钥管理的潜在风险。此外，攻击者可能利用 DNSSEC 进行 DNS 放大攻击，从而引发 DDoS 灾难。鉴于 TLS/HTTPS 等应用层加密技术已提供了相对成熟的通信安全保障，许多大型互联网公司选择不部署 DNSSEC。这一现象深刻反映了当前互联网基础设施安全领域的现实困境：理论上必要的安全协议，往往因为工程实施难度与风险收益的不对等，而被顶级厂商在实际操作中搁置。

事件分析

💡 核心观点：顶级域名弃用 DNSSEC 证实了产业界的务实选择：修补底层古董协议的复杂度已远超依靠上层加密构建防御深处的收益。