CN103825969A - 一种基于匿名网络的dns查询方法 - Google Patents

Abstract

本发明提供了一种基于匿名网络的DNS查询方法，其主旨在于解决了现有DNS查询隐私泄露问题，属于计算机软件安全测试领域。一种基于匿名网络的DNS查询方法，其特征在于包括以下步骤：步骤1、DNS匿名客户端将查询Q1和用户IP地址IP1组成的DNS查询报文简单表示为<Q1,IP1>，步骤2、对DNS查询报文进行加密数据处理，处理过程包括对目的IP地址和目的端口号的替换以及数据加密工作；步骤3、用户最初的DNS查询报文经过匿名网络后，DNS查询报文最终将变为<Q1,IP2>，其中IP2为匿名集合中非原始用户的IP地址，即出口节点的IP地址；步骤4、最后DNS响应报文经过匿名网络返回到DNS匿名客户端，通过以上步骤，用户便完成了一次DNS匿名查询。

Description

一种基于匿名网络的DNS查询方法

技术领域

本发明提出的基于匿名网络的DNS查询方法，解决了现有DNS查询隐私泄露问题，属于计算机软件安全测试领域。

背景技术

总所周知，网络已经成为人们日常生活中不可缺少的一部分。在网络上的信息安全和个人隐私保护受到了越来越高的重视。匿名网络成为互联网上用于保护用户隐私的重要而有效手段，它从网络通信层面防止信息泄露、流量分析和用户身份特征分析从而保护双方通信关系。到目前为止业界已成功设计出了多种匿名网络如Crowds, Tor, Anonymizer等。

实现匿名网络的一些基本方法有：（1）代理法。代理机制是实现发方匿名的重要手段，所谓代理方法就是用户借助可信赖第三方的身份来隐蔽自已，即通过代理的转递，既屏蔽了消息中用户的身份信息，又可用代理的身份保证消息传输的可靠性。（2）广播法。通过在网上广播消息方式可以实现接收者匿名，采用这种一对多的方式可使得接收的用户隐蔽在匿名集合中。如果消息有确定的接收者，该接收者应被赋予一个其他参与者不能识别的暗示地址，通过广播与暗示地址相结合来实现匿名通信。（3）匿名链。为了克服单点服务代理容易被攻击者控制和跟踪的缺点，隐蔽网络连接通过采用设置多个代理重叠隐蔽传递的方法，从而增加了攻击者代理控制的难度。（4）洋葱路由。用确定路由地址的源路由协议，选定由若干中间目标组成的多段路径，并把后段路径的IP包的数据和地址一起加密作为前段路径IP包的载体传送，就隐蔽掉了目标节点地址，从而得到多级混淆的隐蔽路径。

匿名技术在现代网络通信中有着广泛的应用需求，公民的隐私权是现代人的一项基本生活权利，商业机密是商品经济社会的命根，政府事务和军事活动机密的泄露将导致社会动乱。概括起来，匿名网络的具体应用主要有如下几种：（1）匿名网络通信系统，可实现隐蔽的双向数据流、远程登录、HTTP和SMTP多种功能。（2）另外，电子支付、匿名拍卖等应用都可通过匿名通信实现。

尽管匿名网络在一定程度上可以有效保障用户上网时正常通信数据的私密性，但是DNS查询的私密性却被人们忽视了。现有的DNS查询大多是基于UDP协议的明文数据，在DNS查询数据包传输过程中，由于UDP协议未提供握手机制，对UDP数据包篡改相对于TCP数据包篡改容易许多，最终使用户接收到经过篡改的数据包可能性也相对较大。当用户查询到达DNS服务器时，如果本地DNS服务器被恶意控制，那么用户将受到DNS域名劫持攻击，DNS污染攻击，中间人攻击等，由于是明文数据，用户所查询的网站地址以及用户的IP地址，端口号都很容易被第三方获取。有了上述信息，在用户不知情的情况下，第三方人员很容易推断出哪台计算机在什么时间欲访问什么网站。这样用户即使在匿名网络的保护下，匿名性也会受到破坏。

通过对现在已经被使用的DNS查询隐私保护技术和对已有的专利进行研究后得出的结论，到目前为止，没有一种运用匿名网络对DNS查询进行保护的方法。本专利提出的一种基于匿名网络的DNS查询隐私保护方法是首个能够满足以上要求的方法。

登陆中华人民共和国国家知识产权局，按照关键字“匿名网络”，找到3个相关专利，按照关键字“DNS查询”搜索，找到5个专利，按照关键字“洋葱路由”搜索，找到0个专利。

一种DNS查询请求的处理方法及设备 （申请号：201110355303.1）

此发明专利用于解决现有技术中在DNS服务器受到攻击时，容易导致其不能提供正常服务，从而造成大范围网络瘫痪的问题。不属于本专利着眼解决内容。

一种分布式DNS查询日志的实时统计装置及方法（申请号：200910085061.1）

该发明提供了一种分布式DNS查询日志的实时统计装置，用于对DNS查询日志进行分析统计，与本专利无关。

用于生成DNS查询以提高抗DNS攻击性的系统和方法（申请号：201080026895.6）

该发明用于生成更抗攻击者危害的DNS查询的系统和方法。通过将名称服务器的端口号和/或域名的一部分作为对哈希函数的输入来给生成事务标识符提供额外的加密，主要用于保护DNS查询会话，但是用户敏感数据例如IP地址和查询网址仍然是真实有效的，因此和本专利目的不同。

一种在匿名网络中提高匿名度的方法和网络设备（申请号：200810216684.3）

该发明实施例公开了一种在匿名网络中提高匿名度的方法和网络设备，其目的是为了保护匿名网络的匿名安全性，避免被动流量分析对匿名网络的攻击。与本专利目的不同。

发明内容

本发明的目的在于提供一种基于匿名网络的DNS查询方法。

为了实现上述目的本发明采用以下技术方案：

一种基于匿名网络的DNS查询方法，其特征在于包括以下步骤：

步骤1、 DNS匿名客户端将查询Q1和用户IP地址IP1组成的DNS查询报文简单表示为<Q1,IP1>，

步骤2、对DNS查询报文进行加密数据处理，处理过程包括对目的IP地址和目的端口号的替换以及数据加密工作；

步骤3、用户最初的DNS查询报文经过匿名网络后， DNS查询报文最终将变为<Q1,IP2>，其中IP2为匿名集合中非原始用户的IP地址，即出口节点的IP地址；

步骤4、最后DNS响应报文经过匿名网络返回到DNS匿名客户端，通过以上步骤，用户便完成了一次DNS匿名查询。

上述方案中目的IP地址和目的端口号分别替换为代理服务器的IP地址和端口号。

上述方案中，目的IP地址和目的端口号分别替换下一跳中继节点的IP地址和该中继节点DNS匿名查询服务端的服务端口号，其中下一跳中继节点的选择过程需要通过中继目录服务器提供的信息进行。

上述方案中，所述匿名网络的搭建采用基于代理的匿名网络搭建方法或采用匿名链的匿名网络搭建方法。

上述方案中，所述匿名网络的搭建包括以下步骤：

步骤1：建立第三方代理服务器，将其他用户的原始DNS请求IP地址进行登记保存后，将原始IP地址修改为代理自己的IP地址，然后进行DNS查询；

步骤2：安装DNS匿名查询客户端。

上述方案中，所述匿名网络的搭建包括以下步骤：

步骤1：建立中继目录服务器，中继目录服务器类似于分布式系统管理节点，负责更新各中继节点信息以及管理中继节点公钥，并定期通知客户信息变更；

步骤2：建立中继节点，中继节点负责DNS匿名查询数据的传递，中继节点需要匿名网络用户通过安装DNS匿名查询客户端自愿参与，参与的人数越多则DNS查询匿名性越强。

上述方案中，所述DNS匿名查询客户端包括：

（a）端口重定向模块，该模块责将匿名DNS查询用户发起的普通DNS查询传入所架设的匿名网络；

（b）RSA加密解密模块，该模块负责DNS查询在匿名网络传输过程中的安全加密通信，RSA加密算法采用128位；

（c）DNS优化缓存模块，该模块作用是加速DNS查询速度，和保证DNS缓存不被恶意篡改；

（d）UDP数据包发送和接收解析模块，用来发送UDP数据包和接收解析UDP数据包内容。

上述方案中， DNS匿名查询客户端包括：

（a）端口重定向模块，该模块负责将匿名DNS查询用户发起的普通DNS查询传入所架设的匿名网络；

（b）RSA加密解密模块，该模块负责DNS查询在匿名网络传输过程中的安全加密通信，RSA加密算法采用128位；

（c）DNS优化缓存模块，该模块作用是加速DNS查询速度，和保证DNS缓存不被恶意篡改；

（d）UDP数据包发送和接收解析模块，用来发送UDP数据包和接收解析UDP数据包内容；

（e）选路模块，中继节点需要按照概率和时延进行下一跳节点选择；

（f）中继节点信息管理模块，该模块负责和中继目录服务器进行通信，定期更新本地的中继节点信息。

本发明技术方案带来的有益效果：

一、能够保护用户隐私不被泄露

本发明利用了随机概率和匿名网络技术，使得用户的IP地址和查询信息得到保护，弥补了原来DNS明文查询的不足之处。同时利用经过优化的DNS缓存来达到快速查询效果，确保了用户体验。由于本机DNS缓存查询不存在隐私泄露问题，综上所述，本专利保障了用户DNS查询时个人隐私不被第三方恶意人员发现和利用。

二、抗攻击能力高

由于传输过程中数据包不再是明文数据，因此本发明可以有效抵御DNS域名劫持攻击，DNS污染攻击，中间人攻击等。极大地提高了用户上网的安全性。

附图说明

图1 基于匿名网络DNS查询总体架构图；

图2 基于匿名网络总体架构图；

图3 查询流程图；

图4基于匿名链的匿名网络架构图；

图5 DNS匿名查询数据包构造。

具体实施方式

本发明的技术方案解决了如下问题：

（一）匿名网络的搭建

匿名网络由于采用的匿名方法不同，从而匿名网络也有很多不同的架构。不同的搭建方式，意味着需要解决的问题也不尽相同。下面具体说明实施例中所涉及匿名网络的两种搭建方式。

方案1：采用基于代理的匿名网络搭建方法

步骤1：建立第三方代理服务器。第三方代理服务器是基于代理的匿名网络中最核心的部分。其作用在于将其他用户的原始DNS请求IP地址进行登记保存后，将原始IP地址修改为代理自己的IP地址，然后进行DNS查询。

步骤2：安装DNS匿名查询客户端。DNS匿名查询用户需要安装客户端才能够使用第三方代理进行加密安全查询。

方案2：采用匿名链的匿名网络搭建方法

步骤1：建立中继目录服务器。中继目录服务器类似于分布式系统管理节点，负责更新各中继节点信息以及管理中继节点公钥，并定期通知客户信息变更。

步骤2：建立中继节点。中继节点负责DNS匿名查询数据的传递。中继节点需要匿名网络用户通过安装DNS匿名查询客户端自愿参与，参与的人数越多则DNS查询匿名性越强。

需要说明的是，上述方案1和方案2中匿名DNS查询客户端的功能实现是不同的。各自的功能实现下面会具体介绍。

（二）DNS查询延迟问题

传统的匿名网络（例如Tor）是基于TCP的，在握手时需要多次发送消息，因此造成的时延较大。同时DNS查询传输过程中加密解密耗时也是不能够忽视的。因此需要解决延迟问题，提高用户体验。良好的用户体验能够提高用户对于系统的使用度，增大系统的用户数量。用户数量的增多，也就意味着匿名集合的增大，从而间接提高系统匿名性的程度。

本发明解决延迟问题是通过以下手段解决的：

1、采用UDP协议进行消息发送。UDP协议没有握手机制，因此速度比TCP协议快。

2、采用设计优化的DNS缓存机制。DNS查询客户端进行DNS查询结果的缓存，缓存结果按照一定算法（具体算法不属于本发明范畴）进行优化管理。

（三）匿名网络抗攻击能力

抗攻击性也是匿名通信的基本目标之一。匿名通信提供的是匿名的通信传输服务，也就是属于信息安全的服务，必须能够抵抗一定程度的对手的攻击行为。匿名通信服务目标是在威胁模型范围之内，提供最佳的抗攻击能力。

（四）匿名DNS查询客户端设计

根据实施例中涉及的两种方案，现将匿名DNS查询客户端功能实现进行具体阐述。两种方案中功能相同的模块有：（a）端口重定向模块，该模块主要负责将匿名DNS查询用户发起的普通DNS查询传入所架设的匿名网络。（b）RSA加密解密模块，该模块主要负责DNS查询在匿名网络传输过程中的安全加密通信，RSA加密算法采用128位即可。（c）DNS优化缓存模块，该模块主要作用是加速DNS查询速度，和保证DNS缓存不被恶意篡改等。（d）UDP数据包发送和接收解析模块，该模块顾名思义就是用来发送UDP数据包和接收解析UDP数据包内容。

方案1和方案2的RSA加密解密模块不同之处在于，方案1中每个DNS匿名查询客户端只用自带代理服务器的公钥即可。方案2中每个DNS匿名查询客户端需要自行生成公钥、私钥密匙对，然后将公钥发布到中继目录服务器，以便中继节点进行加密数据传输。

方案2中的客户端还需要如下模块：1. 选路模块，中继节点需要按照一定算法，例如根据概率和时延进行下一跳节点选择。2. 中继节点信息管理模块，该模块主要负责和中继目录服务器进行通信，定期更新本地的中继节点信息。

本发明为了解决上述技术问题，采用以下技术方案：

本发明的总体网络架构图，如图1所示。

步骤1：首先用户发起DNS请求。该请求将通过端口转发到匿名DNS客户端进行后续处理。

步骤2：为了表述方便，我们将DNS查询匿名用户的查询Q1和该用户IP地址IP1组成的明文查询报文简单表示为<Q1,IP1>，经过匿名客户端处理后的查询报文记为<加密数据>。

具体处理过程如下：

按照具体实施1的处理过程，处理过程包括将目的IP地址和目的端口号分别替换为代理服务器的IP地址和端口号。然后利用RSA加密算法对查询报文进行加密。按照具体实施2的处理过程，会将目的IP地址和目的端口号分别替换下一跳中继节点的IP地址和该中继节点DNS匿名查询服务端的服务端口号。同时会构造如图5所示的匿名查询报文。需要说明的是，原始端口号初始化为DNS匿名查询用户的原始查询端口号，原始IP地址初始化为DNS匿名查询用户的IP地址。DNS查询报文和普通DNS查询报文内容、格式一致。响应报文也和普通DNS响应报文内容、格式一致。最后利用RSA将匿名查询报文进行加密。

步骤3：经过DNS匿名查询客户端处理后的报文，随后将被传入匿名网络中进行代理或者中继转发。

步骤4：如图1所示，用户最初的DNS查询报文经过匿名网络后， DNS查询报文最终将变为<Q1,IP2>，Q1仍然为原始查询报文内容，但是其中IP2为匿名集合中非原始用户的IP地址或者是代理的IP地址，即图中出口节点的IP地址（IP2）。

步骤5：最后DNS响应报文按照具体实施1会再次经过匿名网络返回到DNS匿名客户端，按照具体实施2则会直接返回到客户端。通过以上步骤，用户便完成了一次DNS匿名查询。

通过分析可知，在传输过程中，由于报文加密，攻击者将无法进行窃听和中间人攻击，同时在DNS服务器端，恶意人员也无法得知IP地址为IP1的用户进行了Q1查询。由此尽可能保证了用户的隐私，提高了匿名性。

下面结合附图和实施案例对本发明作进一步说明。

实施例1：

基于代理的匿名网络DNS查询，网络架构图如图2所示。

最开始，用户通过发起普通DNS查询请求，通过防火墙规则：所有目标端口为53而且协议为UDP的数据包重定向到DNS匿名查询客户端端口。

步骤1： 匿名查询客户端接受到用户查询请求后，首先检查DNS缓存中是否已经存在结果，如果已经存在，转步骤8。若不存在转步骤2。

步骤2：匿名DNS查询客户端，首先将数据包初始目的IP地址更改为第三方可信代理的IP地址。然后，将采用第三方可信代理的公钥进行对DNS查询报文进行加密，并发送给第三方可信代理。

步骤3：第三方可信代理使用私钥对接收到的查询进行解密还原。

步骤4：第三方可信代理将表项查询数据包原始IP地址和原始端口号插入记录表格。

步骤5：第三方可信代理根据查询内容进行DNS查询请求，接收到返回后，根据步骤4记录的原始IP地址和原始端口地址，创建返回给客户端的数据包。

步骤6：第三方可信代理对步骤5创建的数据包进行一次简单加密，并回传给客户端。

步骤7：匿名DNS查询客户端对接受到的加密报文进行还原。

步骤8：将查询结果返回，并更新本地DNS缓存表，以便加速下次查询，如图3所示，最后完成一次匿名DNS查询过程。

实施例2：

基于匿名链的匿名网络DNS查询，网络架构图如图4所示。

最开始，用户通过发起普通DNS查询请求，通过防火墙规则：所有目标端口为53而且协议为UDP的数据包重定向到DNS匿名查询客户端端口。然后，设置最大转发次数N。

步骤1： 匿名查询客户端接受到用户查询请求后，首先检查DNS缓存中是否已经存在结果，如果已经存在，转步骤9。若不存在，初始化结构如图5所示的匿名DNS查询数据包，然后转步骤2。

步骤2：节点根据事先从中继目录节点接收到的节点信息进行下一跳中继选路（选路算法可以根据到下一跳中继延迟进行），然后将数据包目的IP地址更改为下一跳中继的IP地址，目的端口地址修改为下一跳中继的客户端设置的端口地址。同时将转发次数n加1。最后，将采用下一跳中继的公钥进行对匿名DNS查询数据包进行加密，并发送。

步骤3：中继节点使用私钥对接收到的匿名DNS查询数据飞包进行解密还原。

步骤:4：检查最大转发次数N和已转发次数n，若N等于n则转步骤4，若N小于n，则按随机概率进行跳转，成功跳转转步骤2，跳转不成功转步骤5。

步骤5：中继节点（在这一步中即为出口节点）直接根据原始DNS查询/响应字段，进行DNS查询。

步骤6：中继节点接收到DNS服务器响应后，根据原始IP地址和原始端口号字段，以及原始会话编号（包含在原始DNS查询字段中）进行DNS响应报文构造。

步骤7：中继节点利用回传客户端的公钥对加密字段，对步骤5所创建的数据包进行加密，并回传给客户端。

步骤8：匿名DNS查询客户端对接受到的加密报文进行还原，若发现为DNS响应则转步骤9，否则转步骤4。

步骤9：将查询结果返回，并更新本地DNS缓存表，以便加速下次查询。DNS响应报文将通过出口节点IP2进行一次加密，并且不再经过匿名网络，最终传送给客户机上DNS查客户端进行相应解密还原操作。最后完成一次匿名DNS查询过程。 

Claims (8)

1.一种基于匿名网络的DNS查询方法，其特征在于包括以下步骤：

步骤1、 DNS匿名客户端将查询Q1和用户IP地址IP1组成的DNS查询报文简单表示为<Q1,IP1>，

步骤2、对DNS查询报文进行加密数据处理，处理过程包括对目的IP地址和目的端口号的替换以及数据加密工作；

步骤3、用户最初的DNS查询报文经过匿名网络后， DNS查询报文最终将变为<Q1,IP2>，其中IP2为匿名集合中非原始用户的IP地址，即出口节点的IP地址；

步骤4、最后DNS响应报文经过匿名网络返回到DNS匿名客户端，通过以上步骤，用户便完成了一次DNS匿名查询。

2.一种基于匿名网络的DNS查询方法，其特征在于，目的IP地址和目的端口号分别替换为代理服务器的IP地址和端口号。

3.一种基于匿名网络的DNS查询方法，其特征在于，目的IP地址和目的端口号分别替换下一跳中继节点的IP地址和该中继节点DNS匿名查询服务端的服务端口号，其中下一跳中继节点的选择过程需要通过中继目录服务器提供的信息进行。

4. 根据权利要求1所述的一种基于匿名网络的DNS查询方法，其特征在于，所述匿名网络的搭建采用基于代理的匿名网络搭建方法或采用匿名链的匿名网络搭建方法。

5. 根据权利要求4所述的一种基于匿名网络的DNS查询方法，其特征在于，所述匿名网络的搭建包括以下步骤：

步骤1：建立第三方代理服务器，将其他用户的原始DNS请求IP地址进行登记保存后，将原始IP地址修改为代理自己的IP地址，然后进行DNS查询；

步骤2：安装DNS匿名查询客户端。

6. 根据权利要求4所述的一种基于匿名网络的DNS查询方法，其特征在于，所述匿名网络的搭建包括以下步骤：

步骤1：建立中继目录服务器，中继目录服务器类似于分布式系统管理节点，负责更新各中继节点信息以及管理中继节点公钥，并定期通知客户信息变更；

步骤2：建立中继节点，中继节点负责DNS匿名查询数据的传递，中继节点需要匿名网络用户通过安装DNS匿名查询客户端自愿参与，参与的人数越多则DNS查询匿名性越强。

7.根据权利要求1、4所述的一种基于匿名网络的DNS查询方法，其特征在于，所述DNS匿名查询客户端包括：

（a）端口重定向模块，该模块负责将匿名DNS查询用户发起的普通DNS查询传入所架设的匿名网络；

（b）RSA加密解密模块，该模块负责DNS查询在匿名网络传输过程中的安全加密通信，RSA加密算法采用128位；

（c）DNS优化缓存模块，该模块作用是加速DNS查询速度，和保证DNS缓存不被恶意篡改；

（d）UDP数据包发送和接收解析模块，用来发送UDP数据包和接收解析UDP数据包内容。

8.根据权利要求6所述的一种基于匿名网络的DNS查询方法，其特征在于， DNS匿名查询客户端包括：

（a）端口重定向模块，该模块责将匿名DNS查询用户发起的普通DNS查询传入所架设的匿名网络；

（b）RSA加密解密模块，该模块负责DNS查询在匿名网络传输过程中的安全加密通信，RSA加密算法采用128位；

（c）DNS优化缓存模块，该模块作用是加速DNS查询速度，和保证DNS缓存不被恶意篡改；

（d）UDP数据包发送和接收解析模块，用来发送UDP数据包和接收解析UDP数据包内容；

（e）选路模块，中继节点需要按照概率和时延进行下一跳节点选择；

（f）中继节点信息管理模块，该模块负责和中继目录服务器进行通信，定期更新本地的中继节点信息。

Images