[發(fā)明專利]基于DoH服務(wù)器的域名查詢方法、裝置、設(shè)備及介質(zhì)

有效

• 申請?zhí)枺?/td>: 202011572464.1
• 申請日: 2020-12-25
• 公開（公告）號: CN112671779B
• 公開（公告）日: 2022-10-18
• 發(fā)明（設(shè)計）人: 黃友俊;李星;吳建平;李樸
• 申請（專利權(quán)）人: 賽爾網(wǎng)絡(luò)有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L61/4511
• 代理公司: 中科專利商標(biāo)代理有限責(zé)任公司 11021
• 代理人: 王文思

本公開提供一種基于DoH服務(wù)器的域名查詢方法，包括：接收客戶端發(fā)送的HTTPS域名查詢請求，根據(jù)該查詢請求對用戶身份進行認證；對于認證通過的用戶，判斷用戶是否有權(quán)限訪問查詢請求對應(yīng)的內(nèi)容；對于有權(quán)限的用戶，獲取用戶所查詢的域名對應(yīng)的密鑰對信息，其中，密鑰對信息包括公鑰與私鑰；將公鑰發(fā)送至客戶端，將HTTPS域名查詢請求發(fā)送至域名解析服務(wù)器進行域名解析；接收域名解析服務(wù)器域名查詢響應(yīng)信息，根據(jù)域名查詢響應(yīng)信息及私鑰生成所查詢域名的簽名信息，將域名查詢響應(yīng)信息及簽名信息發(fā)送至客戶端，使客戶端根據(jù)公鑰對簽名信息進行驗證，驗證通過，獲取域名查詢響應(yīng)信息。本公開還提供一種域名查詢裝置、設(shè)備及介質(zhì)。

技術(shù)領(lǐng)域

本公開涉及互聯(lián)網(wǎng)安全技術(shù)領(lǐng)域，更具體地，涉及一種基于DoH服務(wù)器的域名查詢方法、裝置、設(shè)備及介質(zhì)。

背景技術(shù)

域名系統(tǒng)(Domain Name System，即DNS)是Internet上解決網(wǎng)上機器命名的一種系統(tǒng)，是Internet的一項核心服務(wù)，它作為可以將域名和IP地址相互映射的一個分布式數(shù)據(jù)庫，能夠使人更方便的訪問互聯(lián)網(wǎng)，而不用去記住能夠被機器直接讀取的IP數(shù)串。由于DNS本身的設(shè)計缺陷，沒有提供適當(dāng)?shù)男畔⒈Ｗo和認證機制，使得DNS很容易受到攻擊。作為全球最大也是最為成功的分布式數(shù)據(jù)庫系統(tǒng)，其效率和普及程度是其他服務(wù)無法比擬的。一旦遭受攻擊，會給整個互聯(lián)網(wǎng)帶來無法估量的損失。協(xié)議設(shè)計脆弱性導(dǎo)致數(shù)據(jù)信息真實性和完整性得不到保證。比如，一旦進入網(wǎng)絡(luò)，用戶(包括威脅行為者和惡意內(nèi)部人員)可以自由地橫向移動、訪問甚至泄露他們權(quán)限之外的任何數(shù)據(jù)。由于意外或人為原因?qū)е聰?shù)字證書錯誤簽發(fā)、失效、被惡意使用等網(wǎng)絡(luò)安全問題也有可能發(fā)生。

發(fā)明內(nèi)容

有鑒于此，本公開提供了一種基于DoH服務(wù)器的域名查詢方法、裝置、設(shè)備及介質(zhì)。

本公開的一個方面提供了一種基于DoH服務(wù)器的域名查詢方法，包括：接收客戶端發(fā)送的HTTPS域名查詢請求，根據(jù)所述HTTPS域名查詢請求對用戶身份進行認證；對于認證通過的用戶，判斷所述用戶是否有權(quán)限訪問所述HTTPS域名查詢請求對應(yīng)的內(nèi)容；對于有權(quán)限的用戶，獲取所述用戶所查詢的域名對應(yīng)的密鑰對信息，其中，所述密鑰對信息包括一一對應(yīng)的公鑰與私鑰；將所述公鑰發(fā)送至所述客戶端，并將所述HTTPS域名查詢請求發(fā)送至域名解析服務(wù)器進行域名解析；接收所述域名解析服務(wù)器域名查詢響應(yīng)信息，根據(jù)所述域名查詢響應(yīng)信息及所述私鑰生成所查詢域名的簽名信息，將所述域名查詢響應(yīng)信息及所述簽名信息發(fā)送至所述客戶端，使所述客戶端根據(jù)所述公鑰對所述簽名信息進行驗證，驗證通過，獲取所述域名查詢響應(yīng)信息。

根據(jù)本公開的實施例，所述根據(jù)所述HTTPS域名查詢請求對用戶身份進行認證包括：根據(jù)數(shù)據(jù)信息、IP地址信息、MAC地址信息、操作系統(tǒng)信息對所述HTTPS域名查詢請求包含的身份信息進行認證，其中，所述數(shù)據(jù)信息包括用戶名和/或密碼和/或驗證碼和/或指紋。

根據(jù)本公開的實施例，在所述接收客戶端發(fā)送的HTTPS域名查詢請求之后，所述方法還包括：通過HTTPS方式建立所述客戶端與所述DoH服務(wù)器之間的安全連接通道。

根據(jù)本公開的實施例，在所述接收客戶端發(fā)送的HTTPS域名查詢請求之前，所述方法還包括：為所有待查詢的域名配置密鑰對，其中，每一個域名對應(yīng)唯一一對密鑰對，且每個域名之間密鑰對不同。

根據(jù)本公開的實施例，所述方法還包括：記錄域名查詢成功的結(jié)果信息或查詢失敗的結(jié)果信息。

根據(jù)本公開的實施例，采用橢圓曲線公鑰密碼算法或非對稱加密算法為所有待查詢的域名配置密鑰對。

根據(jù)本公開的實施例，所述客戶端根據(jù)所述公鑰對所述簽名信息進行驗證包括：所述客戶端判斷所述簽名信息中包含的私鑰是否是與所述DoH服務(wù)器發(fā)送的公鑰對應(yīng)的密鑰對中的私鑰，若是，則驗證通過。