專利名稱：基于域名系統(tǒng)技術(shù)的網(wǎng)站可信標(biāo)識(shí)安裝及識(shí)別方法
技術(shù)領(lǐng)域：
本發(fā)明涉及網(wǎng)絡(luò)瀏覽器技術(shù)領(lǐng)域,尤其涉及一種基于DNS (Domain NameSystem,域名系統(tǒng))技術(shù)的網(wǎng)站可信標(biāo)識(shí)安裝及識(shí)別方法。
背景技術(shù)：
根據(jù)互聯(lián)網(wǎng)發(fā)展研究報(bào)告，從2009年下半年開始電子商務(wù)快速發(fā)展。數(shù)據(jù)顯示2010年上半年的網(wǎng)絡(luò)購物用戶增長了 4千萬，用戶數(shù)增長得非?？?，表現(xiàn)出電子商務(wù)市場的巨大潛力。但是與電子商務(wù)蓬勃發(fā)展相對(duì)應(yīng)的是廣大網(wǎng)民對(duì)網(wǎng)絡(luò)交易信任度不高，網(wǎng)絡(luò)釣魚網(wǎng)絡(luò)欺詐等誠信問題越來越嚴(yán)重?！?009年中國網(wǎng)民網(wǎng)絡(luò)信息安全狀況調(diào)查報(bào)告》顯示，2009年有超過九成網(wǎng)民遇到過網(wǎng)絡(luò)釣魚，在遭遇過網(wǎng)絡(luò)釣魚事件的網(wǎng)民中，4500萬網(wǎng)民蒙受了經(jīng)濟(jì)損失，占網(wǎng)民總數(shù)11.9%。網(wǎng)絡(luò)釣魚給網(wǎng)民造成的損失已達(dá)76億元。針對(duì)電子商務(wù)用戶的調(diào)查發(fā)現(xiàn)，網(wǎng)民對(duì)網(wǎng)站信息的不信任使進(jìn)入實(shí)質(zhì)性的交易環(huán)節(jié)的用戶只有最 初的I %，這對(duì)電子商務(wù)發(fā)展來講是一個(gè)非常重要的瓶頸。為了避免上述事件的發(fā)生，一些公司推出了不同的信息驗(yàn)證系統(tǒng)，通過向使用者展示網(wǎng)站相關(guān)企業(yè)的工商信息、域名信息等，幫助用戶識(shí)別網(wǎng)站或相關(guān)企業(yè)的真?zhèn)巍庵饕莢erisign發(fā)布的verisign trust seal,國內(nèi)類似的有可信網(wǎng)站驗(yàn)證、itrust、信用網(wǎng)
站認(rèn)證等。網(wǎng)站驗(yàn)證服務(wù)在驗(yàn)證網(wǎng)站身份和可信性后，通常需要給網(wǎng)站增加可信標(biāo)識(shí)，來標(biāo)記網(wǎng)站可信認(rèn)證情況。這就涉及到網(wǎng)站可信標(biāo)識(shí)的安裝和標(biāo)記。目前網(wǎng)站可信標(biāo)識(shí)主要有3種安裝方法，第一種、頁面圖標(biāo)安裝方法；第二種、信息文件安裝方法；第三種、服務(wù)器證書安裝方法。I、對(duì)于第一種頁面圖標(biāo)安裝方法來說該方案的缺點(diǎn)是客戶端每次刷新可信標(biāo)識(shí)時(shí)，都需要到服務(wù)器端動(dòng)態(tài)獲取代碼和標(biāo)識(shí)，需要額外的網(wǎng)絡(luò)連接，會(huì)影響可信標(biāo)識(shí)在被驗(yàn)證網(wǎng)站頁面的打開速度。對(duì)有一定頁面打開速度要求的網(wǎng)站和非常嚴(yán)格安全性要求的網(wǎng)站，可能限制這種額外的訪問行為。另外因?yàn)榉?wù)器端的壓力是所有安裝可信標(biāo)識(shí)網(wǎng)站訪問量的總和，所以該方案對(duì)服務(wù)器端壓力非常大。2、對(duì)于第二種信息文件安裝方法來說是一個(gè)基于PKI (Public Key Infrastructure,公鑰基礎(chǔ)設(shè)施)體系的可信標(biāo)識(shí)安
裝方案。該方案原理是PKI的基礎(chǔ)技術(shù)包括加密、數(shù)字簽名、數(shù)據(jù)完整性機(jī)制、數(shù)字信封、雙重?cái)?shù)字簽名I)通過驗(yàn)證機(jī)構(gòu)的數(shù)字證書私鑰對(duì)被驗(yàn)證網(wǎng)站的基本信息網(wǎng)址、IP地址、網(wǎng)站名稱、企業(yè)信息等進(jìn)行簽名；2)將被驗(yàn)證網(wǎng)站的基本信息、簽名信息共同保存在一個(gè)文件中，上傳到被驗(yàn)證網(wǎng)站根目錄特定位置。3)客戶端在訪問被驗(yàn)證網(wǎng)站時(shí)，到網(wǎng)站根目錄特定位置獲取簽名文件。利用客戶端內(nèi)置的公鑰對(duì)簽名信息進(jìn)行校驗(yàn)，如果通過簽名校驗(yàn)，證明網(wǎng)站信息文件是真實(shí)的，則瀏覽器解析網(wǎng)站信息文件中包含的網(wǎng)站基本信息。
4)客戶端根據(jù)網(wǎng)站基本信息中的網(wǎng)址、IP地址和訪問站點(diǎn)的網(wǎng)址、IP地址進(jìn)行比對(duì)，如果信息匹配，則在客戶端地址欄顯示網(wǎng)站可信標(biāo)識(shí)。否則不會(huì)顯示。該方案的缺點(diǎn)是無法解決動(dòng)態(tài)IP或⑶N情況，也無法動(dòng)態(tài)改變網(wǎng)站的驗(yàn)證情況。大型網(wǎng)站基本都采用了 CDN加速或在世界范圍內(nèi)有多個(gè)節(jié)點(diǎn)，IP地址是不固定的，將IP地址放在網(wǎng)站信息文件中，會(huì)導(dǎo)致CDN的網(wǎng)站無法通過客戶端驗(yàn)證。第二個(gè)缺點(diǎn)是如果被驗(yàn)證網(wǎng)站因?yàn)閽祚R或其他原因被取締，由于驗(yàn)證文件保存在網(wǎng)站根目錄，所以客戶端仍然會(huì)認(rèn)為網(wǎng)站是可信的，會(huì)顯示可信標(biāo)識(shí)。3、對(duì)于第三種服務(wù)器證書安裝方法來說服務(wù)器證書是基于PKI體系，由國際公認(rèn)的CA機(jī)構(gòu)在確認(rèn)了網(wǎng)站身份后簽發(fā)的數(shù)字證書。該證書文件需要裝載網(wǎng)站web服務(wù)器的應(yīng)用服務(wù)器中，并在應(yīng)用服務(wù)器中進(jìn)行配置。其缺點(diǎn)是1)服務(wù)器證書中驗(yàn)證的內(nèi)容比較簡單，不能增加企業(yè)信息、工商信息等自定義內(nèi)容。2)服務(wù)器證書在現(xiàn)階段還不能解決虛擬主機(jī)網(wǎng)站安裝的問題。國內(nèi)大部分中小企業(yè)網(wǎng)站都是使用虛機(jī)提供對(duì)外服務(wù)的，所以應(yīng)用性不好。3)服務(wù)器證書無法在使用⑶N加速的大中型網(wǎng)站使用。因?yàn)棰荖服務(wù)的原理和服務(wù)器證書的安全性要求，決定了⑶N無法提供https的加速服務(wù)。4)使用服務(wù)器證書對(duì)僅有網(wǎng)站身份驗(yàn)證需求，沒有數(shù)據(jù)傳輸加密需求的網(wǎng)站來說，增加額外的傳輸加密功能會(huì)給服務(wù)器帶來很大的負(fù)載，增加網(wǎng)站運(yùn)營成本。5)服務(wù)器證書按照有一定的技術(shù)門檻，對(duì)于普通企業(yè)網(wǎng)站管理員安裝過程比較復(fù)雜，需要配置web服務(wù)器，安裝過程中對(duì)web服務(wù)有一定影響。

發(fā)明內(nèi)容
本發(fā)明所要解決的技術(shù)問題是提供一種基于DNS技術(shù)的網(wǎng)站可信標(biāo)識(shí)安裝及識(shí)別方法，以解決現(xiàn)有網(wǎng)站可信標(biāo)識(shí)的安裝問題以及無法識(shí)別DNS劫持等安全識(shí)別問題。為解決上述技術(shù)問題，本發(fā)明提供了一種基于域名系統(tǒng)技術(shù)的網(wǎng)站可信標(biāo)識(shí)安裝及識(shí)別方法，其特征在于，包括網(wǎng)站管理設(shè)備將需要進(jìn)行可信標(biāo)識(shí)安裝的網(wǎng)站信息和企業(yè)基本信息交給第三方網(wǎng)站驗(yàn)證機(jī)構(gòu)進(jìn)行可信驗(yàn)證；如可信驗(yàn)證通過，所述第三方網(wǎng)站驗(yàn)證機(jī)構(gòu)將生成的具有簽名的可信標(biāo)識(shí)文件給所述網(wǎng)站管理設(shè)備；所述網(wǎng)站管理設(shè)備將被驗(yàn)證域名的主機(jī)名部分使用散列算法轉(zhuǎn)碼方式生成被驗(yàn)證域名的可信查詢域名，并由所述第三方網(wǎng)站驗(yàn)證機(jī)構(gòu)將所述可信標(biāo)識(shí)文件的壓縮分組，將所述可信標(biāo)識(shí)文件轉(zhuǎn)換成至少I個(gè)文本字符串，添加到所述可信查詢域名的記錄中；客戶端設(shè)備訪問網(wǎng)站時(shí)，所述客戶端設(shè)備向域名系統(tǒng)的域名服務(wù)器查詢可信查詢域名的記錄中是否含有生成的被訪問網(wǎng)站的域名的可信查詢域名，如有將查詢到的所有記錄，按照可信標(biāo)識(shí)文件轉(zhuǎn)碼相反的過程，將可信標(biāo)識(shí)文件內(nèi)容還原，對(duì)還原后的可信標(biāo)識(shí)文件做驗(yàn)證，如驗(yàn)證通過則所述客戶端設(shè)備顯示該網(wǎng)站可信驗(yàn)證標(biāo)識(shí)。進(jìn)一步地，其中，所述第三方網(wǎng)站驗(yàn)證機(jī)構(gòu)提供所述可信標(biāo)識(shí)文件的轉(zhuǎn)碼工具或由被驗(yàn)證域名的網(wǎng)站將所述可信標(biāo)識(shí)文件的壓縮分組。進(jìn)一步地，其中，還包括當(dāng)所述第三方網(wǎng)站驗(yàn)證機(jī)構(gòu)將被驗(yàn)證域名的主機(jī)名部分使用散列算法轉(zhuǎn)碼方式生成被驗(yàn)證域名的可信查詢域名后，將所述生成的被驗(yàn)證域名的可信查詢域名添加到所述第三方網(wǎng)站驗(yàn)證機(jī)構(gòu)提供的公共查詢域名中，然后由所述第三方網(wǎng)站驗(yàn)證機(jī)構(gòu)提供所述可信標(biāo)識(shí)文件的轉(zhuǎn)碼工具或由被驗(yàn)證域名的網(wǎng)站將所述可信標(biāo)識(shí)文件的壓縮分組，將所述可 信標(biāo)識(shí)文件轉(zhuǎn)換成至少I個(gè)文本字符串，添加到所述可信查詢域名的記錄中。進(jìn)一步地，其中，所述散列算法轉(zhuǎn)碼方式為消息摘要算法或安全哈希算法的散列算法轉(zhuǎn)碼方式。進(jìn)一步地，其中，所述記錄為域名系統(tǒng)的txt記錄。進(jìn)一步地，其中，所述可信標(biāo)識(shí)文件包括網(wǎng)站域名；站點(diǎn)名稱；網(wǎng)站所屬機(jī)構(gòu)或所屬企業(yè)名稱；網(wǎng)站在其企業(yè)中所屬部門；網(wǎng)站所在的市、省、國；網(wǎng)站所屬機(jī)構(gòu)的組織機(jī)構(gòu)代碼證號(hào)或所屬企業(yè)的執(zhí)照號(hào)；所屬機(jī)構(gòu)或企業(yè)的類別；所屬機(jī)構(gòu)或企業(yè)所在的市、省、國；第三方網(wǎng)站驗(yàn)證機(jī)構(gòu)登記的可信編碼；驗(yàn)證級(jí)別；網(wǎng)站安全狀態(tài)；第三方網(wǎng)站驗(yàn)證機(jī)構(gòu)信息；可信標(biāo)識(shí)的狀態(tài)在線查詢地址；IP地址校驗(yàn)開關(guān)；標(biāo)記客戶端設(shè)備是否進(jìn)行IP地址校驗(yàn)；DNSSEC校驗(yàn)開關(guān)；和/或標(biāo)記客戶端設(shè)備是否進(jìn)行DNSSEC校驗(yàn)。 進(jìn)一步地，其中，所述可信標(biāo)識(shí)文件還包括網(wǎng)站圖標(biāo)、網(wǎng)站IP地址列表、和/或DNSSEC校驗(yàn)使用的DNS服務(wù)器地址列表。進(jìn)一步地，其中，所述網(wǎng)站域名還包括單域名、多域名，通配符域名和/或中文域名。進(jìn)一步地，其中，所述第三方網(wǎng)站驗(yàn)證機(jī)構(gòu)信息中還包括有第三方網(wǎng)站驗(yàn)證機(jī)構(gòu)詳細(xì)信息驗(yàn)證地址。進(jìn)一步地，其中，還包括當(dāng)網(wǎng)站信息變化或證書到期前以及該被訪問網(wǎng)站的IP地址變化時(shí)，所述網(wǎng)站管理設(shè)備需要到所述第三方網(wǎng)站驗(yàn)證機(jī)構(gòu)更新驗(yàn)證資料，進(jìn)行重新驗(yàn)證。在通過驗(yàn)證后，所述第三方網(wǎng)站驗(yàn)證機(jī)構(gòu)會(huì)給所述網(wǎng)站管理設(shè)備重新簽發(fā)新的可信標(biāo)識(shí)文件，然后網(wǎng)站管理設(shè)備將新的可信標(biāo)識(shí)文件更新到該被訪問網(wǎng)站的域名系統(tǒng)的記錄中，同時(shí)所述第三方網(wǎng)站驗(yàn)證機(jī)構(gòu)也將新的可信標(biāo)識(shí)文件更新到其公共查詢域名中。與現(xiàn)有技術(shù)相比，本發(fā)明所述的一種基于DNS技術(shù)的網(wǎng)站可信標(biāo)識(shí)安裝及識(shí)別方法，能夠解決現(xiàn)有網(wǎng)站可信標(biāo)識(shí)的安裝問題以及無法識(shí)別DNS劫持等安全識(shí)別問題，且提供一種更加簡單、更安全、更易于辨識(shí)、有更好兼容性的方法。


圖I為本發(fā)明實(shí)施例所述的一種基于DNS技術(shù)的網(wǎng)站可信標(biāo)識(shí)安裝及識(shí)別方法的步驟流程圖。圖2為本發(fā)明實(shí)施例所述的一種基于DNS技術(shù)的網(wǎng)站可信標(biāo)識(shí)安裝及識(shí)別方法中步驟2011至步驟2014的具體執(zhí)行流程圖。圖3為本發(fā)明實(shí)施例所述的一種基于DNS技術(shù)的網(wǎng)站可信標(biāo)識(shí)安裝及識(shí)別方法中步驟2011至步驟2014的另一種具體執(zhí)行流程圖。圖4為本發(fā)明實(shí)施例所述的一種基于DNS技術(shù)的網(wǎng)站可信標(biāo)識(shí)安裝及識(shí)別方法中步驟2013中步驟E)和F)的具體執(zhí)行流程圖。圖5為本發(fā)明實(shí)施例所述的一種基于DNS技術(shù)的網(wǎng)站可信標(biāo)識(shí)安裝及識(shí)別方法執(zhí)行時(shí)各裝置之間的結(jié)構(gòu)框圖。
具體實(shí)施例方式以下結(jié)合附圖對(duì)本發(fā)明作進(jìn)一步詳細(xì)說明，但不作為對(duì)本發(fā)明的限定。如圖I所示，為本發(fā)明實(shí)施例所述的一種基于DNS技術(shù)的網(wǎng)站可信標(biāo)識(shí)安裝及識(shí)別方法，包括步驟101，網(wǎng)站管理設(shè)備將需要進(jìn)行可信標(biāo)識(shí)安裝的網(wǎng)站信息和企業(yè)基本信息交給第三方網(wǎng)站驗(yàn)證機(jī)構(gòu)，進(jìn)行網(wǎng)站的可信驗(yàn)證，通過可信驗(yàn)證后進(jìn)行下一步。步驟102，如可信驗(yàn)證通過，所述第三方網(wǎng)站驗(yàn)證機(jī)構(gòu)直接生成具有簽名的所述可信標(biāo)識(shí)文件給所述網(wǎng)站管理設(shè)備。其中，所述可信標(biāo)識(shí)文件，包括網(wǎng)站域名(包括單域名、多域名，通配符域名或中文域名等)；站點(diǎn)名稱；網(wǎng)站所屬機(jī)構(gòu)或所屬企業(yè)名稱；網(wǎng)站在其企業(yè)中所屬部門；網(wǎng)站所在的市、省、國；網(wǎng)站所屬機(jī)構(gòu)的組織機(jī)構(gòu)代碼證號(hào)或所屬企業(yè)的執(zhí)照號(hào)；所屬機(jī)構(gòu)或企業(yè)的類別；所屬機(jī)構(gòu)或企業(yè)所在的市、省、國；第三方網(wǎng)站驗(yàn)證機(jī)構(gòu)登記的可信編碼；驗(yàn)證級(jí)別；網(wǎng)站安全狀態(tài)，第三方網(wǎng)站驗(yàn)證機(jī)構(gòu)信息(其中包括Verify Point (第三方網(wǎng)站驗(yàn)證機(jī)構(gòu)詳細(xì)信息驗(yàn)證地址))；可信標(biāo)識(shí)的狀態(tài)在線查詢地址；IP地址校驗(yàn)開關(guān)，標(biāo)記客戶端設(shè)備是否進(jìn)行 IP 地址校驗(yàn)；DNSSEC (Domain Name System Security Extensions, DNS 安全擴(kuò)展)校驗(yàn)開關(guān)，標(biāo)記客戶端是否進(jìn)行DNSSEC校驗(yàn)。進(jìn)一步還可以包括網(wǎng)站圖標(biāo)(可選)，用戶可自定義在客戶端可信標(biāo)識(shí)上展示的網(wǎng)站縮略圖標(biāo)；網(wǎng)站IP地址列表(可選)，如果用戶網(wǎng)站為靜態(tài)IP，可將當(dāng)IP地址校驗(yàn)開關(guān)打開，并添加信任的IP地址列表，其目的是確保網(wǎng)站不被DNS劫持；DNSSEC校驗(yàn)使用的DNS服務(wù)器地址列表(可選)，如果網(wǎng)站為⑶N加速或動(dòng)態(tài)IP配置，無法使用靜態(tài)IP做DNS劫持校驗(yàn)，并且網(wǎng)站配置了 DNSSEC，則可打開DNSSEC校驗(yàn)開關(guān)，并設(shè)置DNSSEC校驗(yàn)使用的DNS服務(wù)器地址列表。步驟103，所述網(wǎng)站管理設(shè)備將被驗(yàn)證域名的主機(jī)名部分使用散列算法轉(zhuǎn)碼方式生成被驗(yàn)證域名的可信查詢域名，并由所述第三方網(wǎng)站驗(yàn)證機(jī)構(gòu)提供所述可信標(biāo)識(shí)文件的轉(zhuǎn)碼工具或由被驗(yàn)證域名的網(wǎng)站將所述可信標(biāo)識(shí)文件的壓縮分組(也可以由用戶通過第三方網(wǎng)站驗(yàn)證機(jī)構(gòu)的公開文檔自行轉(zhuǎn)碼分組)，將所述可信標(biāo)識(shí)文件轉(zhuǎn)換成I至多個(gè)文本字符串，添加到所述可信查詢域名的txt記錄中。舉例比如網(wǎng)站域名是www. abc. cn。第三方驗(yàn)證機(jī)構(gòu)簽發(fā)的可信標(biāo)識(shí)文件，按照固定字節(jié)限度，壓縮轉(zhuǎn)碼為0，1，2三個(gè)或多個(gè)文本字符串。另外需要將www轉(zhuǎn)碼為b35977a00ebd8086o 原域名的其可信查詢域名就是 b35977a00ebd8086. abc. cn。 進(jìn)一步舉例如上面例子中網(wǎng)站需要在其域名DNS記錄中，將0，I，2三段文本字符串添加到b35977a00ebd8086. abc. cn的txt記錄中。類似如下格式b35977a00ebd8086. abc. cn. 599INTXT" 8j VpMzzJGJsUcOhng......HRgIt6KaFRfZhfdfs"b35977a00ebd8086. abc. cn. 599INTXT"KygwtrVSgRqrEGwsOl......aneQNqUy50H
6gg〃b35977a00ebd8086. abc. cn. 599INTXT"PYMz+ZOowMryOSNq......Uy50H6ggfTXlQ
T ”其中，步驟103的另一種執(zhí)行方式具體是當(dāng)所述第三方網(wǎng)站驗(yàn)證機(jī)構(gòu)將被驗(yàn)證 域名的主機(jī)名部分使用散列算法轉(zhuǎn)碼方式生成被驗(yàn)證域名的可信查詢域名后，將所述生成的被驗(yàn)證域名的可信查詢域名添加到所述第三方網(wǎng)站驗(yàn)證機(jī)構(gòu)提供的公共查詢域名中，然后由所述第三方網(wǎng)站驗(yàn)證機(jī)構(gòu)提供所述可信標(biāo)識(shí)文件的轉(zhuǎn)碼工具或由被驗(yàn)證域名的網(wǎng)站將所述可信標(biāo)識(shí)文件的壓縮分組(也可以由用戶通過第三方網(wǎng)站驗(yàn)證機(jī)構(gòu)的公開文檔自行轉(zhuǎn)碼分組)，將所述可信標(biāo)識(shí)文件轉(zhuǎn)換成I至多個(gè)文本字符串，添加到所述可信查詢域名的txt記錄中。舉例比如我們用來查驗(yàn)可信信息的公共域名是trust, cn,網(wǎng)站域名是www. abc.cn0生成的可信標(biāo)識(shí)文件，按照固定字節(jié)限度，壓縮轉(zhuǎn)碼為0，1，2三個(gè)文本字符串。將www.abc. cn轉(zhuǎn)碼為b39d883133c0dbfc。原域名的其可信查詢域名就是b39d883133c0dbfc.trust, cn。然后將上面文本串添加到b39d883133c0dbfc. trust, cn的txt記錄中。客戶端設(shè)備在訪問www. abc. cn后，將www. abc. cn轉(zhuǎn)碼后的可信查詢域名為b39d883133c0dbfc.trust, cn,查詢對(duì)應(yīng)的txt記錄,并把記錄還原為可信描述文本,并根據(jù)指定格式解析，判斷是否通過可信驗(yàn)證和驗(yàn)證是否有效。其中，上述步驟103中所述散列算法轉(zhuǎn)碼方式在本實(shí)施例中主要采用md5 (Message Digest Algorithm,消息摘要算法)或 shal (Secure Hash Algorithm,安全哈希算法)等散列算法轉(zhuǎn)碼方式。其中，md5為計(jì)算機(jī)安全領(lǐng)域廣泛使用的一種散列函數(shù)，用以提供消息的完整性保護(hù)；Shal為適用于數(shù)字簽名標(biāo)準(zhǔn)(Digital Signature Standard DSS)里面定義的數(shù)字簽名算法(Digital Signature Algorithm DSA)。本發(fā)明實(shí)施例通過上面三個(gè)步驟即可完成網(wǎng)站可信標(biāo)識(shí)的安裝過程。上述安裝不需要在網(wǎng)站上上傳任何文件，只需網(wǎng)站在其DNS中增加設(shè)置即可，安裝更加簡單方便。下面描述客戶端設(shè)備的瀏覽器(本實(shí)施例采用的是客戶端的瀏覽器，當(dāng)然還可以采用其它類型比如搜索引擎等，結(jié)果也并不是只可以在瀏覽器展示，還可以在搜索結(jié)果展示)對(duì)網(wǎng)站可信標(biāo)識(shí)的識(shí)別和驗(yàn)證過程步驟201，客戶端設(shè)備的瀏覽器訪問網(wǎng)站時(shí)，所述客戶端設(shè)備向DNS域名服務(wù)器查詢可信查詢域名的txt記錄中是否含有生成的被訪問網(wǎng)站的域名的可信查詢域名，如有將查詢到的所有txt記錄，按照可信標(biāo)識(shí)文件轉(zhuǎn)碼相反的過程，將可信標(biāo)識(shí)文件內(nèi)容還原，對(duì)還原后的可信標(biāo)識(shí)文件做驗(yàn)證，如驗(yàn)證通過則所述客戶端設(shè)備顯示該網(wǎng)站可信驗(yàn)證標(biāo)識(shí)。具體地，步驟201包括如下步驟(如圖2和3所示)步驟2011，客戶端設(shè)備的瀏覽器訪問網(wǎng)站時(shí)，所述客戶端設(shè)備DNS解析后，增加一個(gè)額外的DNS查詢操作，將被訪問網(wǎng)站的域名的主機(jī)名部分使用散列算法轉(zhuǎn)碼，生成被訪問網(wǎng)站的域名的可信查詢域名。
其中，所述散列算法轉(zhuǎn)碼方式在本實(shí)施例中主要采用md5或shal等散列算法轉(zhuǎn)碼方式。舉例www. abc. cn客戶端將www轉(zhuǎn)碼后的可信查詢域名為b35977a00ebd8086.abc.cn。直接查詢第三方機(jī)構(gòu)的查詢域名為b39d883133c0dbfc. trust, cn?？蛻舳丝筛鶕?jù)策略優(yōu)先查詢網(wǎng)站域名的dns記錄，或者優(yōu)先查詢第三方機(jī)構(gòu)提供的記錄。步驟2012，客戶端設(shè)備向DNS域名服務(wù)器查詢所述可信查詢域名的txt記錄中是否含有生成的被訪問網(wǎng)站的域名的可信查詢域名，如果未查詢到任何結(jié)果，表明該被訪問網(wǎng)站尚未通過可信網(wǎng)站驗(yàn)證或還未在其DNS中安裝可信標(biāo)識(shí)，客戶端設(shè)備不會(huì)顯示可信標(biāo)識(shí)；如果查詢到，則進(jìn)行下一步。步驟2013，客戶端設(shè)備將查詢到的所有txt記錄，按照上面所述可信標(biāo)識(shí)文件轉(zhuǎn)碼相反的過程，將所述可信標(biāo)識(shí)文件內(nèi)容還原，對(duì)還原后的所述可信標(biāo)識(shí)文件做驗(yàn)證。進(jìn)一步地，步驟2013對(duì)還原后的所述可信標(biāo)識(shí)文件做驗(yàn)證具體步驟包括 A.客戶端設(shè)備使用所述第三方網(wǎng)站驗(yàn)證機(jī)構(gòu)證書的公鑰，校驗(yàn)該可信標(biāo)識(shí)文件的簽名，如果簽名校驗(yàn)通過，則證明所述可信標(biāo)識(shí)文件確實(shí)是第三方驗(yàn)證機(jī)構(gòu)簽發(fā)的，客戶端設(shè)備信賴該可信標(biāo)識(shí)文件；否則簽名校驗(yàn)不通過，客戶端設(shè)備停止校驗(yàn)；(注意對(duì)應(yīng)步驟103的另一種執(zhí)行方式中，步驟A可以省略，如圖3所示)。B.客戶端設(shè)備根據(jù)所述可信標(biāo)識(shí)文件中的有效期，檢查該可信標(biāo)識(shí)文件是否有效，如當(dāng)前時(shí)間在所述有效期內(nèi)，則表明該所述可信標(biāo)識(shí)文件有效；否則驗(yàn)證不通過，客戶端設(shè)備停止校驗(yàn)；其中，所述有效期是一個(gè)時(shí)間段，包括起始日期和過期日期。當(dāng)前時(shí)間必須在這個(gè)時(shí)間段之間，才表明該標(biāo)識(shí)文件有效。C.客戶端設(shè)備檢查所述可信標(biāo)識(shí)文件和當(dāng)前被訪問網(wǎng)站的域名是否一致。根據(jù)所述可信標(biāo)識(shí)文件中的網(wǎng)站域名和當(dāng)前被訪問網(wǎng)站的域名做比對(duì)，如果所述可信標(biāo)識(shí)文件的域名和訪問域名一致，則通過校驗(yàn)；否則驗(yàn)證失敗，停止后續(xù)校驗(yàn)。比如當(dāng)前訪問的網(wǎng)站是WWW. xyz. cn,但標(biāo)識(shí)文件中記錄的是WWW. abc. cn,那么就說明標(biāo)識(shí)和網(wǎng)站不一致,驗(yàn)證失敗。D.通過有效期檢查后，客戶端設(shè)備根據(jù)所述可信標(biāo)識(shí)文件中的可信標(biāo)識(shí)狀態(tài)在線查詢地址，檢查該可信標(biāo)識(shí)是否被吊銷；當(dāng)被訪問網(wǎng)站因某種原因被吊銷了可信標(biāo)識(shí)后，客戶端設(shè)備在校驗(yàn)此步驟時(shí)，將不會(huì)通過校驗(yàn)。該步驟確保了可信標(biāo)識(shí)的權(quán)威性和有效性。(如圖4所示)E.如果所述可信標(biāo)識(shí)文件中設(shè)置了 IP地址校驗(yàn)，則客戶端設(shè)備需要校驗(yàn)當(dāng)前訪問網(wǎng)站服務(wù)器的IP地址是否在文件設(shè)置的IP地址列表段中，否則校驗(yàn)不通過。F.如果所述可信標(biāo)識(shí)文件中設(shè)置了 DNSSEC校驗(yàn)，而且客戶端設(shè)備在當(dāng)前訪問和查詢上述可信查詢域名的txt記錄時(shí)沒有使用DNSSEC查詢，則需要補(bǔ)充做DNSSEC校驗(yàn)，向設(shè)定的支持DNSSEC的域名服務(wù)器做DNSSEC域名txt記錄查詢。如果沒有設(shè)定特定的DNSSEC域名服務(wù)器，則使用客戶端設(shè)備默認(rèn)的或系統(tǒng)默認(rèn)的域名服務(wù)器查詢可信標(biāo)識(shí)txt記錄。如果客戶端設(shè)備查詢的結(jié)果不符合DNSSEC結(jié)果，則提示DNSSEC查詢失敗，建議配置 DNSSEC。
如果DNSSEC返回的txt記錄結(jié)果和上述查詢返回的txt記錄結(jié)果不一致,則客戶端設(shè)備提示域名可能被劫持，存在安全風(fēng)險(xiǎn)。如果DNSSEC返回的txt記錄結(jié)果一致，則通過DNSSEC校驗(yàn)。步驟2014，當(dāng)客戶端設(shè)備在上述各步驟都通過校驗(yàn)后，則在客戶端設(shè)備明顯位置顯示該被訪問網(wǎng)站可信驗(yàn)證標(biāo)識(shí)，并提示當(dāng)前訪問的網(wǎng)站是可信網(wǎng)站。對(duì)于步驟2014來說，用戶可通過點(diǎn)擊或鼠標(biāo)懸停等事件，觸發(fā)客戶端設(shè)備來顯示該網(wǎng)站詳細(xì)的基本信息，包括在可信標(biāo)識(shí)文件中定義的網(wǎng)站域名、站點(diǎn)名稱、網(wǎng)站所屬機(jī)構(gòu)或所屬企業(yè)名稱、驗(yàn)證級(jí)別、第三方網(wǎng)站驗(yàn)證機(jī)構(gòu)等信息。另外，客戶端設(shè)備還可以同時(shí)提供更詳細(xì)信息點(diǎn)擊查詢功能，當(dāng)網(wǎng)民點(diǎn)擊該功能時(shí)，客戶端設(shè)備根據(jù)所述可信標(biāo)識(shí)文件中的Verify Point地址和該網(wǎng)站可信編碼，跳轉(zhuǎn)到第三方網(wǎng)站驗(yàn)證機(jī)構(gòu)詳細(xì)信息驗(yàn)證系統(tǒng)地址查驗(yàn)該網(wǎng)站更詳細(xì)的信息。下面描述所述客戶端設(shè)備對(duì)網(wǎng)站可信標(biāo)識(shí)的更新過程。步驟301，當(dāng)網(wǎng)站信息變化或證書到期前以及該被訪問網(wǎng)站的IP地址變化時(shí)，網(wǎng)站管理設(shè)備需要到第三方網(wǎng)站驗(yàn)證機(jī)構(gòu)更新網(wǎng)站驗(yàn)證資料，進(jìn)行重新驗(yàn)證。在通過驗(yàn)證后，第三方網(wǎng)站驗(yàn)證機(jī)構(gòu)會(huì)給網(wǎng)站管理設(shè)備重新簽發(fā)新的可信標(biāo)識(shí)文件，然后網(wǎng)站管理設(shè)備將新的可信標(biāo)識(shí)文件更新到該被訪問網(wǎng)站的DNS的txt記錄中，同時(shí)所述第三方網(wǎng)站驗(yàn)證機(jī)構(gòu)也將新的可信標(biāo)識(shí)文件更新到其公共查詢域名的txt記錄中。使用本方案可以達(dá)到以下效果首先，本發(fā)明的方案利用DNS體系，將可信標(biāo)識(shí)安裝和識(shí)別與DNS域名解析過程結(jié)合起來，并利用DNSSEC、dnscurve或tsig等技術(shù)實(shí)現(xiàn)了對(duì)防DNS劫持、標(biāo)識(shí)防偽、防盜等多種安全性需求。其次，本發(fā)明的方案使用可信標(biāo)識(shí)文件的簽名方式，來解決被訪問網(wǎng)站可信標(biāo)識(shí)安裝和客戶端識(shí)別問題，是基于PKI體系的加密驗(yàn)證方式，具有很強(qiáng)的安全性，這確保了網(wǎng)站的信息文件不可被復(fù)制和篡改，滿足方案安全性需求。第三，防復(fù)制方面，客戶端設(shè)備在對(duì)網(wǎng)站信息文件進(jìn)行真實(shí)性校驗(yàn)之后，再根據(jù)網(wǎng)站域名、IP等信息進(jìn)行二次校驗(yàn)，達(dá)到防復(fù)制驗(yàn)證的功能。第四，在防DNS劫持方面，本發(fā)明的方案提供了較大的靈活性，網(wǎng)站管理設(shè)備可以根據(jù)自己網(wǎng)站的安全性要求，選擇是否增加IP地址校驗(yàn)或DNSSEC校驗(yàn)兩種方式。對(duì)使用了⑶N加速的網(wǎng)站，由于其IP地址動(dòng)態(tài)變化，無法使用IP地址校驗(yàn)方式，可以在DNS上配置DNSSEC，并在網(wǎng)站信息文件中增加DNSSEC驗(yàn)證，客戶端設(shè)備在驗(yàn)證DNS信息時(shí)會(huì)使用DNSSEC方式進(jìn)行DNS查詢，防止客戶端被DNS劫持。對(duì)政府類網(wǎng)站，使用了靜態(tài)固定IP地址，則直接在網(wǎng)站信息文件中增加IP信息校驗(yàn)會(huì)更加容易和方便。總之，本發(fā)明實(shí)施簡單，安裝方便，沒有任何網(wǎng)絡(luò)技術(shù)基礎(chǔ)的用戶，也可以輕松完成標(biāo)識(shí)的安裝和更換。尤其是這種方式可以支持各種客戶端設(shè)備，比如瀏覽器、手機(jī)瀏覽器、搜索引擎、聊天工具等，都可以通過現(xiàn)有DNS記錄簡單實(shí)現(xiàn)，客戶端設(shè)備在識(shí)別時(shí)也非常容易實(shí)現(xiàn)。做到了安全性強(qiáng)、安裝簡單、可辨識(shí)性高、兼容廣泛等要求。當(dāng)然，本發(fā)明還可有其他多種實(shí)施例，在不背離本發(fā)明精神及其實(shí)質(zhì)的情況下，熟悉本領(lǐng)域的技術(shù)人員可根據(jù)本發(fā)明做出各種相應(yīng)的改變和變形，但這些相應(yīng)的改變和變形都應(yīng)屬于本發(fā)明所附的權(quán)利要求的保護(hù)范圍。權(quán)利要求
1.一種基于域名系統(tǒng)技術(shù)的網(wǎng)站可信標(biāo)識(shí)安裝及識(shí)別方法，其特征在于，包括 網(wǎng)站管理設(shè)備將需要進(jìn)行可信標(biāo)識(shí)安裝的網(wǎng)站信息和企業(yè)基本信息交給第三方網(wǎng)站驗(yàn)證機(jī)構(gòu)進(jìn)行可信驗(yàn)證； 如可信驗(yàn)證通過，所述第三方網(wǎng)站驗(yàn)證機(jī)構(gòu)將生成的具有簽名的可信標(biāo)識(shí)文件給所述網(wǎng)站管理設(shè)備； 所述網(wǎng)站管理設(shè)備將被驗(yàn)證域名的主機(jī)名部分使用散列算法轉(zhuǎn)碼方式生成被驗(yàn)證域名的可信查詢域名，并由所述第三方網(wǎng)站驗(yàn)證機(jī)構(gòu)將所述可信標(biāo)識(shí)文件的壓縮分組，將所述可信標(biāo)識(shí)文件轉(zhuǎn)換成至少I個(gè)文本字符串，添加到所述可信查詢域名的記錄中； 客戶端設(shè)備訪問網(wǎng)站時(shí)，所述客戶端設(shè)備向域名系統(tǒng)的域名服務(wù)器查詢可信查詢域名的記錄中是否含有生成的被訪問網(wǎng)站的域名的可信查詢域名，如有將查詢到的所有記錄，按照可信標(biāo)識(shí)文件轉(zhuǎn)碼相反的過程，將可信標(biāo)識(shí)文件內(nèi)容還原，對(duì)還原后的可信標(biāo)識(shí)文件做驗(yàn)證，如驗(yàn)證通過則所述客戶端設(shè)備顯示該網(wǎng)站可信驗(yàn)證標(biāo)識(shí)。
2.如權(quán)利要求I所述的基于域名系統(tǒng)技術(shù)的網(wǎng)站可信標(biāo)識(shí)安裝及識(shí)別方法，其特征在于，進(jìn)ー步為所述第三方網(wǎng)站驗(yàn)證機(jī)構(gòu)提供所述可信標(biāo)識(shí)文件的轉(zhuǎn)碼工具或由被驗(yàn)證域名的網(wǎng)站將所述可信標(biāo)識(shí)文件的壓縮分組。
3.如權(quán)利要求2所述的基于域名系統(tǒng)技術(shù)的網(wǎng)站可信標(biāo)識(shí)安裝及識(shí)別方法，其特征在于，還包括 當(dāng)所述第三方網(wǎng)站驗(yàn)證機(jī)構(gòu)將被驗(yàn)證域名的主機(jī)名部分使用散列算法轉(zhuǎn)碼方式生成被驗(yàn)證域名的可信查詢域名后，將所述生成的被驗(yàn)證域名的可信查詢域名添加到所述第三方網(wǎng)站驗(yàn)證機(jī)構(gòu)提供的公共查詢域名中，然后由所述第三方網(wǎng)站驗(yàn)證機(jī)構(gòu)提供所述可信標(biāo)識(shí)文件的轉(zhuǎn)碼工具或由被驗(yàn)證域名的網(wǎng)站將所述可信標(biāo)識(shí)文件的壓縮分組，將所述可信標(biāo)識(shí)文件轉(zhuǎn)換成至少I個(gè)文本字符串，添加到所述可信查詢域名的記錄中。
4.如權(quán)利要求3所述的基于域名系統(tǒng)技術(shù)的網(wǎng)站可信標(biāo)識(shí)安裝及識(shí)別方法，其特征在于，所述散列算法轉(zhuǎn)碼方式為消息摘要算法或安全哈希算法的散列算法轉(zhuǎn)碼方式。
5.如權(quán)利要求4所述的基于域名系統(tǒng)技術(shù)的網(wǎng)站可信標(biāo)識(shí)安裝及識(shí)別方法，其特征在于，所述記錄為域名系統(tǒng)的txt記錄。
6.如權(quán)利要求I所述的基于域名系統(tǒng)技術(shù)的網(wǎng)站可信標(biāo)識(shí)安裝及識(shí)別方法，其特征在于，所述可信標(biāo)識(shí)文件包括 網(wǎng)站域名；站點(diǎn)名稱；網(wǎng)站所屬機(jī)構(gòu)或所屬企業(yè)名稱；網(wǎng)站在其企業(yè)中所屬部門；網(wǎng)站所在的市、省、國；網(wǎng)站所屬機(jī)構(gòu)的組織機(jī)構(gòu)代碼證號(hào)或所屬企業(yè)的執(zhí)照號(hào)；所屬機(jī)構(gòu)或企業(yè)的類別；所屬機(jī)構(gòu)或企業(yè)所在的市、省、國；第三方網(wǎng)站驗(yàn)證機(jī)構(gòu)登記的可信編碼；驗(yàn)證級(jí)別；網(wǎng)站安全狀態(tài)；第三方網(wǎng)站驗(yàn)證機(jī)構(gòu)信息；可信標(biāo)識(shí)的狀態(tài)在線查詢地址；IP地址校驗(yàn)開關(guān)；標(biāo)記客戶端設(shè)備是否進(jìn)行IP地址校驗(yàn)；DNSSEC校驗(yàn)開關(guān)；和/或標(biāo)記客戶端設(shè)備是否進(jìn)行DNSSEC校驗(yàn)。
7.如權(quán)利要求6所述的基于域名系統(tǒng)技術(shù)的網(wǎng)站可信標(biāo)識(shí)安裝及識(shí)別方法，其特征在于，所述可信標(biāo)識(shí)文件還包括 網(wǎng)站圖標(biāo)、網(wǎng)站IP地址列表、和/或DNSSEC校驗(yàn)使用的DNS服務(wù)器地址列表。
8.如權(quán)利要求6所述的基于域名系統(tǒng)技術(shù)的網(wǎng)站可信標(biāo)識(shí)安裝及識(shí)別方法，其特征在于，所述網(wǎng)站域名還包括單域名、多域名，通配符域名和/或中文域名。
9.如權(quán)利要求6所述的基于域名系統(tǒng)技術(shù)的網(wǎng)站可信標(biāo)識(shí)安裝及識(shí)別方法，其特征在于，所述第三方網(wǎng)站驗(yàn)證機(jī)構(gòu)信息中還包括有第三方網(wǎng)站驗(yàn)證機(jī)構(gòu)詳細(xì)信息驗(yàn)證地址。
10.如權(quán)利要求I至9中任一所述的基于域名系統(tǒng)技術(shù)的網(wǎng)站可信標(biāo)識(shí)安裝及識(shí)別方法，其特征在于，還包括 當(dāng)網(wǎng)站信息變化或證書到期前以及該被訪問網(wǎng)站的IP地址變化時(shí)，所述網(wǎng)站管理設(shè)備需要到所述第三方網(wǎng)站驗(yàn)證機(jī)構(gòu)更新驗(yàn)證資料，進(jìn)行重新驗(yàn)證。在通過驗(yàn)證后，所述第三方網(wǎng)站驗(yàn)證機(jī)構(gòu)會(huì)給所述網(wǎng)站管理設(shè)備重新簽發(fā)新的可信標(biāo)識(shí)文件，然后網(wǎng)站管理設(shè)備將新的可信標(biāo)識(shí)文件更新到該被訪問網(wǎng)站的域名系統(tǒng)的記錄中，同時(shí)所述第三方網(wǎng)站驗(yàn)證機(jī)構(gòu)也將新的可信標(biāo)識(shí)文件更新到其公共查詢域名中。
全文摘要
本發(fā)明公開基于域名系統(tǒng)技術(shù)的網(wǎng)站可信標(biāo)識(shí)安裝及識(shí)別方法，安裝包括網(wǎng)站管理設(shè)備將需要進(jìn)行可信標(biāo)識(shí)安裝的網(wǎng)站信息和企業(yè)基本信息交給第三方網(wǎng)站驗(yàn)證機(jī)構(gòu)進(jìn)行可信驗(yàn)證；如可信驗(yàn)證通過，將生成的具有簽名的可信標(biāo)識(shí)文件給網(wǎng)站管理設(shè)備；網(wǎng)站管理設(shè)備將被驗(yàn)證域名的主機(jī)名部分使用散列算法轉(zhuǎn)碼方式生成被驗(yàn)證域名的可信查詢域名，并由第三方網(wǎng)站驗(yàn)證機(jī)構(gòu)將可信標(biāo)識(shí)文件的壓縮分組，將可信標(biāo)識(shí)文件轉(zhuǎn)換成至少1個(gè)文本字符串，添加到可信查詢域名的記錄中。本發(fā)明能夠解決現(xiàn)有網(wǎng)站可信標(biāo)識(shí)的安裝問題以及無法識(shí)別DNS劫持等安全識(shí)別問題，且提供一種更加簡單、更安全、更易于辨識(shí)、有更好兼容性的方法。
文檔編號(hào)H04L29/08GK102629923SQ20121008018
公開日2012年8月8日 申請(qǐng)日期2012年3月23日 優(yōu)先權(quán)日2012年3月23日
發(fā)明者盧文哲, 崔福東, 高寧 申請(qǐng)人:北龍中網(wǎng)(北京)科技有限責(zé)任公司