上一篇
https对域名解析有影响吗？https配置导致域名解析失败
HTTPS 协议本身并不直接参与域名解析过程，域名解析是由 DNS（域名系统）完成的，HTTPS 的安全机制与域名解析之间存在紧密的协作关系，特别是在验证服务器身份和建立加密通道时，理解这一过程需要区分“解析域名”和“验证证书”两个阶段。
基础概念：DNS 解析与 HTTPS 的分工
在用户访问一个 HTTPS 网站时,流程通常分为两个主要部分：
- DNS 解析：将人类可读的域名（如 www.example.com）转换为机器可读的 IP 地址（如 184.216.34），这一步是纯文本查询,不涉及加密。
- HTTPS 握手：客户端（浏览器）与服务器在获得 IP 地址后，通过 TLS/SSL 协议建立加密连接,并验证服务器持有的数字证书是否合法。
关键点：HTTPS 并不“解析”域名，而是依赖 DNS 解析得到的 IP 地址来建立连接，并在连接建立后验证该 IP 对应的域名是否与证书中的域名匹配。
HTTPS 与域名解析的协作流程
以下是用户访问 HTTPS 网站时，DNS 解析与 HTTPS 验证的完整交互流程：
| 步骤 | 操作阶段 | 详细说明 |
|---|---|---|
| 1 | DNS 查询 | 浏览器检查本地缓存，若无结果则向递归 DNS 服务器发起查询，最终获取域名的 A 记录（IPv4）或 AAAA 记录（IPv6）。 |
| 2 | 发起 TCP 连接 | 浏览器使用解析得到的 IP 地址，与服务器建立 TCP 连接（三次握手）。 |
| 3 | TLS 握手开始 | 浏览器发送 Client Hello 消息，包含支持的加密套件、TLS 版本等信息。 |
| 4 | 服务器响应证书 | 服务器发送 Server Hello 及其数字证书，证书中包含服务器的公钥、颁发机构（CA）信息以及受保护的域名列表（Subject Alternative Name, SAN）。 |
| 5 | 证书验证 | 浏览器验证证书的有效性： 证书是否由可信 CA 颁发？ 证书是否在有效期内？ 证书中的域名是否与用户请求的域名一致？ |
| 6 | 建立加密通道 | 验证通过后，双方交换密钥，建立加密通道，开始传输 HTTPS 数据。 |
域名匹配验证：HTTPS 安全的核心
HTTPS 安全性的关键之一在于域名匹配验证，这是防止“中间人攻破”的重要机制。
- 证书绑定域名：现代 SSL/TLS 证书通常包含一个“主题备用名称”（SAN）字段，列出了该证书保护的所有域名，一个证书可能同时保护 www.example.com 和 example.com。
- 浏览器检查：当浏览器收到服务器证书后，会严格检查证书中的域名是否与用户地址栏中输入的域名完全匹配（或符合通配符规则）。
- 如果用户访问 www.example.com，但证书只保护 api.example.com，浏览器将显示“不安全”警告。
- 如果证书过期或域名不匹配，HTTPS 连接将被中断,用户无法继续访问。
DNSSEC 与 HTTPS 的协同增强
虽然 DNS 解析本身是明文的，但可以通过 DNSSEC（域名系统安全扩展）来增强其安全性，从而间接支持 HTTPS 的安全生态。
- DNSSEC 的作用：对 DNS 响应进行数字签名，确保域名解析结果未被改动，防止攻破者将 www.example.com 解析到恶意 IP 地址。
- 与 HTTPS 的关系：
- DNS 解析被改动（如 DNS 截持）,用户可能被引导至杜撰的服务器。
- 即使 HTTPS 证书是合法的，如果用户被引导至一个拥有合法证书但非目标服务器的 IP（攻破者部署了一个镜像站点并获取了相同域名的证书），HTTPS 本身无法完全阻止这种攻破。
- DNSSEC + HTTPS 提供了端到端的安全保障：DNSSEC 确保解析正确，HTTPS 确保通信加密和身份验证。
常见误区澄清
| 误区 | 正确理解 |
|---|---|
| “HTTPS 会加密 DNS 查询” | 默认情况下，HTTPS 不加密 DNS 查询，但可以使用 DoH（DNS over HTTPS）或 DoT（DNS over TLS）来加密 DNS 查询，这与网站本身的 HTTPS 无关。 |
| “HTTPS 证书包含 IP 地址” | 传统证书主要绑定域名，而非 IP 地址，虽然存在 IP 证书，但极少使用，且浏览器通常不信任仅绑定 IP 的证书用于公共网站。 |
| “解析域名后 HTTPS 自动生效” | 解析域名只是第一步，必须正确配置服务器证书，并确保证书域名与访问域名一致，HTTPS 才能正常工作。 |
相关问题与解答
问题 1：DNS 解析被截持，将域名指向了一个错误的 IP 地址，HTTPS 还能保护用户吗？
解答：
HTTPS 本身无法完全防止 DNS 截持带来的风险,但可以提供部分保护。
- 如果攻破者截持 DNS 并将用户引导至一个没有合法证书的服务器，浏览器会立即显示“不安全”警告，用户不会继续访问,从而避免了数据泄露。
- 如果攻破者截持 DNS 并将用户引导至一个拥有合法证书的服务器（攻破者通过社会工程学或漏洞获取了目标域名的证书，或部署了一个具有相同域名的恶意站点），则 HTTPS 握手会成功，用户可能无法察觉异常，HTTPS 无法区分“真正的服务器”和“拥有合法证书的杜撰服务器”。
- 解决方案：结合使用 DNSSEC 来确保 DNS 解析的真实性，或使用 HSTS（HTTP 严格传输安全）策略，强制浏览器只通过 HTTPS 访问，并预加载可信域名列表,减少首次访问时被截持的风险。
问题 2：为什么有些网站使用通配符证书（如 .example.com），而有些网站需要为每个子域名单独申请证书？
解答：
- 通配符证书：适用于拥有大量子域名的场景（如 a.example.com, b.example.com），它简化了证书管理，只需申请一个证书即可保护所有第一级子域名，但通配符证书不保护多级子域名（如 sub.a.example.com），且安全性相对较低，因为一旦私钥泄露,所有子域名都受影响。
- 单域名证书：为每个子域名单独申请证书，安全性更高，因为每个证书独立管理，私钥泄露影响范围小，但管理成本高,证书数量多。
- 选择建议：对于小型网站或子域名较少的场景，通配符证书更经济便捷；对于高安全要求或子域名层级复杂的场景，建议使用单域名证书或组合使用,并定期轮换密钥。
