[發明專利]DNS安全查詢方法和裝置

有效

• 申請號: 201510148617.2
• 申請日: 2015-03-31
• 公開（公告）號: CN104702714B
• 公開（公告）日: 2019-02-01
• 發明（設計）人: 鄭勁松;肖鵬
• 申請（專利權）人: 北京奇虎科技有限公司;奇智軟件（北京）有限公司
• 主分類號: H04L29/12
• 分類號: H04L29/12;H04L29/06
• 代理公司: 北京市浩天知識產權代理事務所(普通合伙) 11276
• 代理人: 宋菲;劉云貴

1.一種DNS安全查詢方法，包括：

捕獲客戶端系統協議驅動層的數據包發送接口以獲取DNS請求數據包，將所述DNS請求數據包轉換為對應的DNSSEC請求數據包；

發送所述DNSSEC請求數據包至DNS服務器，以接收所述DNS服務器返回的DNSSEC響應數據包；

捕獲客戶端系統中間驅動層的數據包接收接口以獲取DNSSEC響應數據包，利用所述DNS服務器提供的公鑰驗證所述DNSSEC響應數據包中的數字簽名；若所述數字簽名驗證通過，將所述DNSSEC響應數據包轉換為對應的DNS響應數據包，依據所述DNS響應數據包進行DNS查詢處理。

2.根據權利要求1所述的方法，其中，所述捕獲客戶端系統協議驅動層的數據包發送接口以獲取DNS請求數據包，將所述DNS請求數據包轉換為對應的DNSSEC請求數據包，發送所述DNSSEC請求數據包至DNS服務器進一步包括：

捕獲協議驅動層的NdisSend/NdisSendPackets接口以獲取DNS請求數據包；

將所述DNS請求數據包轉換為對應的DNSSEC請求數據包；

依次調用NdisSend/NdisSendPackets接口、MiniportSend/MiniportSendPackets接口向底層發送所述DNSSEC請求數據包；

底層通過NDIS接口控制物理網絡設備，將所述DNSSEC請求數據包發送給所述DNS服務器。

3.根據權利要求1所述的方法，其中，所述捕獲客戶端系統中間驅動層的數據包接收接口以獲取DNSSEC響應數據包，利用所述DNS服務器提供的公鑰驗證所述DNSSEC響應數據包中的數字簽名；若所述數字簽名驗證通過，將所述DNSSEC響應數據包轉換為對應的DNS響應數據包，依據所述DNS響應數據包進行DNS查詢處理進一步包括：

底層通過物理網絡設備接收到所述DNSSEC響應數據包后，小端口驅動層調用NdisMIndicateReceivePacket接口指示接收到所述DNSSEC響應數據包；

通過調用中間驅動層向NDIS注冊的ProtocolReceivePacket接口捕獲所述DNSSEC響應數據包，利用所述DNS服務器提供的公鑰驗證所述DNSSEC響應數據包中的數字簽名，若所述數字簽名驗證通過，將所述DNSSEC響應數據包轉換為對應的DNS響應數據包；

再次調用NdisMIndicateReceivePacket接口通知協議驅動層接收到所述DNS響應數據包，而后調用ProtocolReceive接口對所述DNS響應數據包進行處理，繼續調用NdisMIndicateReceivePacket接口將所述DNS響應數據包傳遞給協議驅動層，由相應的協議棧對所述DNS響應數據包進行DNS查詢處理。

4.根據權利要求1-3任一項所述的方法，其中，所述利用所述DNS服務器的公鑰驗證所述DNSSEC響應數據包中的數字簽名進一步包括：

利用所述公鑰對所述數字簽名進行解密，得到第一摘要信息；

根據DNS中的查詢結果生成第二摘要信息；

比對所述第二摘要信息和所述第一摘要信息，若所述第二摘要信息與第一摘要信息相同，判斷數字簽名通過驗證。

5.根據權利要求4所述的方法，其中，所述利用所述公鑰對所述數字簽名進行解密，得到第一摘要信息之前，所述方法還包括：

向所述DNS服務器上一級的節點查詢所述公鑰的上級授權簽名；

利用所述上級授權簽名驗證所述公鑰是否正確。

6.一種DNS安全查詢方法，包括：

在客戶端傳輸層驅動接口層中過濾出DNS請求數據包，將所述DNS請求數據包轉換為對應的DNSSEC請求數據包；

發送所述DNSSEC請求數據包至DNS服務器，以接收所述DNS服務器返回的DNSSEC響應數據包；

在客戶端傳輸層驅動接口層中過濾出所述DNSSEC響應數據包，利用所述DNS服務器提供的公鑰驗證所述DNSSEC響應數據包中的數字簽名；若所述數字簽名驗證通過，將所述DNSSEC響應數據包轉換為對應的DNS響應數據包，依據所述DNS響應數據包進行DNS查詢處理。