当DNS over HTTPS（DoH）在2018年作为RFC 8484标准发布时，网络安全界曾将其视为对抗域名劫持的终极解决方案。这项技术通过将DNS查询封装在HTTPS隧道中，确实解决了传统DNS协议存在的几个关键漏洞——但要说它能彻底防止域名劫持，这个结论下得为时过早。
DoH的核心优势在于加密传输和认证机制。与传统DNS使用53端口明文传输不同，DoH通过443端口与经过认证的DoH服务器建立TLS加密连接。这意味着中间人攻击者无法像以前那样，在咖啡馆的公共WiFi上轻易嗅探到你的DNS查询记录。根据Cloudflare的实测数据，采用DoH后，公共网络中的DNS欺骗成功率从传统环境的23%降至不足2%。
但问题在于，DoH只是加固了客户端到解析器这段通道，而域名解析系统的其他环节依然脆弱。想象这样一个场景：某企业员工使用DoH访问公司内部系统，但恶意软件已经感染了他的设备，直接修改了hosts文件。这时DoH的加密保护形同虚设，因为请求根本不会离开本地设备。
2022年发生的某大型云服务商DoH服务器遭入侵事件颇具代表性。攻击者通过供应链攻击渗透了DoH基础设施，虽然未能大规模篡改DNS记录，但成功收集了大量用户的查询模式数据。这个案例揭示了一个残酷现实：当安全措施变得普及时，攻击者的目标也会随之升级。
更令人担忧的是，DoH的集中化特性可能创造新的单点故障。目前主流DoH服务主要由Cloudflare、Google等少数厂商提供，这种架构虽然提升了效率，却也使得针对性的攻击可能影响更广泛用户。
真正有效的域名劫持防护需要多层防御策略。DoH应该与DNSSEC配合使用——前者保护传输过程，后者验证应答真实性。企业环境还可以部署DNS过滤解决方案，结合证书钉扎（Certificate Pinning）技术，形成纵深防御。
有意思的是，某些高级威胁已经开始适应DoH环境。研究人员最近发现的新型恶意软件，会故意使用DoH通道与C&C服务器通信，既隐藏了流量特征，又绕过了传统DNS监控。安全领域的猫鼠游戏，从来不会因为某项技术的出现而终结。
说到底，DoH是网络安全进化的重要一步，但它更像是一把更高级的锁，而不是坚不可摧的堡垒。在数字世界里，绝对的安全本就是一种奢望，我们能做到的，只是让攻击者的成本越来越高。
参与讨论
DoH是进步，但别把它当绝对保护，终端安全才是关键。
有点意外现在还会有单点故障风险，谁来负责这些集中化服务的审计？
好文，尤其认同那段关于恶意软件绕过DoH的描述，别光盯着传输层，设备管好才是根本。