摘要
域名系统（DNS）是互联网的一项基础技术，它负责将域名映射到资源信息，例如 IP 地址。DNS 安全扩展（DNSSEC）可确保 DNS 响应的完整性，而通过 TLS 的 DNS（DoT）、通过 HTTPS 的 DNS（DoH）以及通过 QUIC 的 DNS（DoQ）则增强了域名解析通信的机密性。然而，这些技术并不能验证与合法域名相似的域名，或者由合法组织运营的服务域名，是否在组织或运营层面与它们相关联。本文提出了一种框架，利用启用了 DoT 的权威 DNS 服务器所出示的 X.509 证书以及基于 DNS 的命名实体身份验证（DANE）的 TLSA 资源记录。在此框架中，相关域名虽然属于不同的命名空间，但由同一组织、服务提供商或类似实体授权。标准 TLS 证书通过 X.509 公钥基础设施（PKIX）进行验证，而用于指示相关域名的附加证书则通过 DANE 信任锚（DANE-TA）进行验证，以源域名的私有证书颁发机构（CA）作为信任锚。我们实现了附加证书验证、基于服务器名称指示（SNI）的证书选择、解析器端的关系验证以及完整证书缓存。返回给存根解析器或应用程序的证书信息会被转换为与 TLSA 兼容的数据，并附加到 DNS 响应中。评估结果表明，该原型以足够实用的速度运行，且完整证书缓存有效降低了与跨域关系验证相关的延迟。
