CN104253793A - 域名系统的安全扩展的密钥签名密钥和区域签名密钥的更新方法 - Google Patents

Abstract

DNSSEC密钥签名密钥和区域签名密钥的更新方法包括：在一个DNS区域中，把新密钥签名密钥和新区域签名密钥加入到DNSKEY资源记录集合，且使用新密钥签名密钥和原始密钥签名密钥签名DNSKEY；使用新区域签名密钥签名所有资源记录集，且提交新密钥签名密钥或DS记录至DNS区域的父域中；完成将新区域签名密钥签名后的DNS区域传送至DNS区域的从服务器，将DS记录传送至父域的从服务器；在DNSKEY中删除原始区域签名密钥，并使用新密钥签名密钥重新签名DNSKEY资源记录集合，在DNSKEY中删除原始密钥签名密钥，并使用新密钥签名密钥重新签名DNSKEY资源记录集合。

Description

域名系统的安全扩展的密钥签名密钥和区域签名密钥的更新方法

技术领域

本发明涉及一种密钥更新方法，尤其涉及一种用于域名系统的安全扩展（Domain Name System Security Extensions，简称DNSSEC）中使用的密钥签名密钥和区域签名密钥的更新方法。

背景技术

域名系统（Domain Name System，简称DNS）是一个层次化分布式数据库，包含了一系列记录，记录中包括名称、IP 地址、主机信息等内容。DNS是一组协议和服务，它允许用户在查找网络资源时使用层次化的对用户友好的名字来取代IP 地址。当DNS 客户端向DNS 服务器发出IP地址的查询请求时，DNS 服务器可以从其数据库内查找所需要的IP地址给DNS 客户端。这种由DNS服务器在其数据库中找出客户端IP地址的过程叫做“主机名称解析”。

DNS为了提高查询效率，采用了缓存机制，把查询过的最新记录存放在缓存中，并为其设置生存周期（Time To Live，简称TTL）。在记录没有超过TTL之前，如果客户端的查询记录还在DNS缓存中，DNS 服务器（包括各级名字服务器）将把缓存中的记录直接返回给客户端，而不需要进行逐级查询，提高了查询速率。DNS缓存中毒是利用DNS查询记录的缓存机制，在DNS服务器的缓存中存入大量错误的数据记录主动供用户查询。由于缓存中大量错误的记录是攻击者伪造的，所以伪造者可能会根据不同的意图设置特定的域名与IP 地址之间的对应记录。

DNSSEC是DNS安全扩展，它提供了一种来源鉴定和数据完整性的扩展。DNSSEC是在原有的DNS上通过密钥技术，对DNS中的信息进行数字签名，从而提供DNS的安全认证和信息完整性检验。在DNSSEC 中所有返回给域名解析器（DNS 客户端程序）的响应都附加了数字签名。域名解析器通过数字签名来验证这些记录与权威的域名服务器上的记录是否完全一致。数字签名采用的是密钥加密系统，它产生的密钥对分为公钥和私钥两部分。其中，私钥需要保密存储，用来对区域文件中的DNS信息的“数字摘要”进行加密；公钥需要在DNS 服务器上公开发布，域名解析器接收到域名服务器发送的响应记录后，使用公钥对响应记录中的数字签名进行解密，将得到的值与所接收到的DNS信息进行运算获得的值进行对比，如果相同，说明该记录是合法的。为了实现上的功能，DNSSEC定义了三种资源记录集（Resource Record）：用于存放DNS 信息数字签名的资源记录签名记录（RRSIG） ；用于存放解密公钥的DNS密钥资源记录集合（DNSKEY）；用于DNS密钥资源记录集合验证，存储密钥标签、加密算法和DNS密钥资源记录集合摘要信息的授权签名者（Delegation Signer，简称DS）。

DNSSEC的标准中规定至少需要两种类型的密钥才能较好地对DNSSEC区域进行安全管理，这两种密钥分别是密钥签名密钥（Key-signing Key，简称KSK）和区域签名密钥（Zone-signing Key，简称ZSK）。其中，KSK只用来签名DNS密钥资源记录集合，而ZSK用来为区域中所有的资源记录集合签名，包括DNS密钥资源记录集合。KSK和ZSK需要定期更新，避免长时间使用而被破解，使得DNSSEC失去保护能力。为了防止DNSSEC验证信任链的断裂，目前KSK和ZSK的更新是分开独立进行的，即二者串行操作，时间上没有重叠，更新时间长。

发明内容

本发明的目的是提供一种域名系统的安全扩展的密钥签名密钥和区域签名密钥的更新方法，以实现ZSK和KSK的快速更新。

本发明提供了一种域名系统的安全扩展的密钥签名密钥和区域签名密钥的更新方法，包括：在DNS安全扩展的一个DNS区域中，在发布时刻增加一个新密钥签名密钥和一个新区域签名密钥至DNS安全扩展的DNS密钥资源记录集合，且使用新密钥签名密钥和新密钥签名密钥的原始密钥签名DNS密钥资源记录集合；等待一段发布时间，在该发布时间结束的预备时刻之后，使用新区域签名密钥签名DNS区域的所有资源记录集合，且提交新密钥签名密钥或与新密钥签名密钥所对应的授权签名者至DNS区域的父域中，并在父域中发布与新密钥签名密钥所对应的授权签名者；由预备时刻起，等待一段使用新区域签名密钥签名DNS区域的所有资源记录集合的第一处理时间后，在第一发送时刻完成传送新区域签名密钥签名后的DNS区域的所有资源记录集合至DNS区域的所有从服务器，且由预备时刻起，等待一段使新密钥签名密钥在DNS区域的父域中发布的第二处理时间后，在第二发送时刻完成传送新密钥签名密钥所对应的授权签名者传送至父域的从服务器；由第一发送时刻起，等待一段第一更新时间后，在DNS密钥资源记录集合中删除原始区域签名密钥，而后使用新密钥签名密钥重新签名DNS密钥资源记录集合，且由第二发送时刻起，等待一段第二更新时间后，在DNS密钥资源记录集合中删除原始密钥签名密钥，而后使用新密钥签名密钥重新签名DNS密钥资源记录集合。

DNS安全扩展的密钥签名密钥和区域签名密钥的更新方法，区域签名密钥和密钥签名密钥并行更新，从而缩短了整个更新时间。

在域名系统的安全扩展的密钥签名密钥和区域签名密钥的更新方法的又一种示意性的实施方式中，发布时间的最小值为DNS区域的传送延迟时间与DNS区域的密钥资源记录集合的生存周期之和。

在域名系统的安全扩展的密钥签名密钥和区域签名密钥的更新方法的另一种示意性的实施方式中，第一处理时间至少为DNS区域的传送延迟时间与使用新区域签名密钥签名DNS区域的所有资源记录集合所需时间之和；第二处理时间至少为提交新密钥签名密钥或新密钥签名密钥所对应的授权签名者至DNS区域的父域，与新密钥签名密钥所对应的授权签名者在父域中发布并传递至父域的所有从服务器所需时间之和。

在域名系统的安全扩展的密钥签名密钥和区域签名密钥的更新方法的又一种示意性的实施方式中，第一更新时间至少为旧区域签名密钥所签名生成的所有DNS区域的资源记录签名记录中生存周期的最大值；第二更新时间至少为新密钥签名密钥对应的授权签名者的生存周期。

附图说明

以下附图仅对本发明做示意性说明和解释，并不限定本发明的范围。

图1用于说明DNS安全扩展的密钥签名密钥和区域签名密钥的更新方法。

具体实施方式

为了对发明的技术特征、目的和效果有更加清楚的理解，现对照附图说明本发明的具体实施方式，在各图中相同的标号表示相同的部分。

在本文中，“示意性”表示“充当实例、例子或说明”，不应将在本文中被描述为“示意性”的任何图示、实施方式解释为一种更优选的或更具优点的技术方案。

为了实现DNS安全扩展，在一个DNS区域设置了资源记录集，资源记录集的类型包括DNS密钥资源记录集合（以下简称DNSKEY）、资源记录签名记录（以下简称RRSIG）和授权签名者（以下简称DS记录）。图1用于说明DNS安全扩展的密钥签名密钥和区域签名密钥的更新方法。如图所示，在T_pub时刻之前，DNSKEY中保存有原始密钥签名密钥KSK₁和原始区域签名密钥ZSK₁。从T_pub时刻开始，DNS区域生成用于替代原始密钥签名密钥KSK₁的新密钥签名密钥KSK₂，以及用于替代原始区域签名密钥ZSK₁的新区域签名密钥ZSK₂；并且将新密钥签名密钥KSK₂和新区域签名密钥ZSK₂添加到DNSKEY，之后使用新密钥签名密钥KSK₂签名DNSKEY，此时DNSKEY中已添加新区域签名密钥ZSK₂和新密钥签名密钥KSK₂ 。

从T_pub时刻开始，等待一个发布时间I_pub后，DNS安全扩展的密钥签名密钥和区域签名密钥的更新方法进行到预备时刻T_rdy。在预备时刻T_rdy后，使用新区域签名密钥ZSK₂签名DNS区域的所有资源记录集合，并且提交新密钥签名密钥KSK₂或与新密钥签名密钥KSK₂相对应的DS记录至DNS区域的父域，并在父域发布与新密钥签名密钥KSK₂相对应的DS记录。

在DNS安全扩展的密钥签名密钥和区域签名密钥的更新方法进一种示意性实施方式中，发布时间I_pub至少为DNS区域的传送延迟时间与DNSKEY的生存周期（Time To Live，以下简称TTL）之和，其中DNS区域的传送延迟时间是将本DNS区域的DNS主服务器的区域变化信息传递到本DNS区域的所有DNS从服务器所需的时间。

从预备时刻T_rdy时刻开始，等待第一处理时间，在第一处理时间结束后的第一发送时刻T_dea完成将新区域签名密钥签名后的DNS区域的所有资源记录集合传递至本DNS区域的所有从服务器，其中第一处理时间内完成新区域签名密钥ZSK₂签名DNS区域的所有资源记录集合。同时，从预备时刻T_rdy时刻开始，等待第二处理时间，在第二处理时间结束后的第二发送时刻T_act完成传送新密钥签名密钥KSK₂所对应的DS记录至DNS区域的父域，DS记录在父域发布并传递至父域的所有从服务器，其中第二处理时间内完成新密钥签名密钥KSK₂在DNS区域的父域中发布。

在DNSSEC的密钥签名密钥和区域签名密钥的更新方法进一种示意性实施方式中，第一处理时间至少为DNS区域的传送延迟时间与使用新区域签名密钥ZSK₂签名DNS区域的所有资源记录集合的时间之和，其中DNS区域的传送延迟时间是将本DNS区域的DNS主服务器的区域变化信息传递到本DNS区域的所有DNS从服务器所需的时间；第二处理时间至少为提交新密钥签名密钥KSK₂或与新密钥签名密钥KSK₂相对应的DS记录至DNS区域的父域并在父域发布与新密钥签名密钥KSK₂相对应的DS记录所用时间，与将新密钥签名密钥所对应的DS记录在父域发布后，DS记录传递至父域的所有从服务器所需时间之和。

从第一发送时刻T_dea开始，等待一个第一更新时间后， DNSKEY中删除原始的区域签名密钥ZSK₁，而后使用新密钥签名密钥KSK₂重新签名DNSKEY。同时，从第二发送时刻T_act开始，等待一个第二更新时间后， DNSKEY中删除原始的密钥签名密钥KSK₁，而后使用新密钥签名密钥KSK₂重新签名DNSKEY。至此，完成DNS安全扩展的密钥签名密钥和区域签名密钥的更新。

在DNS安全扩展的密钥签名密钥和区域签名密钥的更新方法进一种示意性实施方式中，第一更新时间至少为旧区域签名密钥所签名生成的所有所述DNS区域的RRSIG中生存周期（TTL）的最大值；第二更新时间至少为新密钥签名密钥对应的DS记录的生存周期（TTL）。

DNS安全扩展的密钥签名密钥和区域签名密钥的更新方法，区域签名密钥和密钥签名密钥并行更新，从而缩短了整个更新时间。

应当理解，虽然本说明书是按照各个实施例描述的，但并非每个实施例仅包含一个独立的技术方案，说明书的这种叙述方式仅仅是为清楚起见，本领域技术人员应当将说明书作为一个整体，各实施例中的技术方案也可以经适当组合，形成本领域技术人员可以理解的其他实施方式。

上文所列出的一系列的详细说明仅仅是针对本发明的可行性实施例的具体说明，它们并非用以限制本发明的保护范围，凡未脱离本发明技艺精神所作的等效实施方案或变更，如特征的组合、分割或重复，均应包含在本发明的保护范围之内。

Claims (4)

1.域名系统的安全扩展的密钥签名密钥和区域签名密钥的更新方法，包括：

在DNS安全扩展的一个DNS区域中，在发布时刻（T_pub）把一个新密钥签名密钥（KSK₂）和一个新区域签名密钥（ZSK₂）加入到所述DNS安全扩展的DNS密钥资源记录集合，而后使用所述新密钥签名密钥（KSK₂）和所述新密钥签名密钥（KSK₂）的原始密钥签名密钥（KSK₁）签名所述DNS密钥资源记录集合；

等待一段发布时间（I_pub），在该发布时间（I_pub）结束的预备时刻（T_rdy）之后，使用所述新区域签名密钥（ZSK₂）签名所述DNS区域的所有资源记录集合，且提交所述新密钥签名密钥（KSK₂）或与所述新密钥签名密钥（KSK₂）所对应的所述DNS安全扩展的授权签名者至所述DNS区域的父域，并在所述父域中发布与所述新密钥签名密钥（KSK₂）所对应的所述授权签名者；

由所述预备时刻（T_rdy）起，等待一段使用所述新区域签名密钥（ZSK₂）签名所述DNS区域的所有资源记录集合的第一处理时间后，在第一发送时刻（T_dea）完成将所述新区域签名密钥（ZSK₂）签名后的所述DNS区域的所有资源记录集合传送至所述DNS区域的所有从服务器，且由所述预备时刻（T_rdy）起，等待一段使所述新密钥签名密钥（KSK₂）在所述DNS区域的父域中发布的第二处理时间后，在第二发送时刻（T_act）完成将所述新密钥签名密钥（KSK₂）所对应的所述DS记录传送至所述父域的从服务器；

由所述第一发送时刻（T_dea）起，等待一段第一更新时间后，在所述DNS密钥资源记录集合中删除所述区域钥签名密钥（ZSK₂）的原始区域签名密钥（ZSK₁），而后使用所述新密钥签名密钥（KSK₂）重新签名所述DNS密钥资源记录集合，且由所述第二发送时刻（T_act）起，等待一段第二更新时间后，在所述DNS密钥资源记录集合中删除所述原始密钥签名密钥（KSK₁），而后使用所述新密钥签名密钥（KSK₂）重新签名所述DNS密钥资源记录集合。

2.如权利要求1所述的域名系统的安全扩展的密钥签名密钥和区域签名密钥的更新方法，其中所述发布时间（I_pub）的最小值为所述DNS区域的传送延迟时间与所述DNS区域的密钥资源记录集合的生存周期之和。

3.如权利要求1所述的域名系统的安全扩展的密钥签名密钥和区域签名密钥的更新方法，其中所述第一处理时间的最小值为所述DNS区域的传送延迟时间与使用所述新区域签名密钥（ZSK₂）签名所述DNS区域的所有资源记录集合所需时间之和；

所述第二处理时间的最小值为提交所述新密钥签名密钥（KSK₂）或与所述新密钥签名密钥（KSK₂）相对应的授权签名者至所述父域所用时间，与所述新密钥签名密钥（KSK₂）相对应的授权签名者在所述父域中发布并且传递至所述父域的各个从服务器的时间之和。

4.如权利要求1所述的域名系统的安全扩展的密钥签名密钥和区域签名密钥的更新方法，其中所述第一更新时间的最小值为所述旧区域签名密钥（ZSK₁）所签名生成的所有所述DNS区域的资源记录签名记录中生存周期的最大值；

所述第二更新时间的最小值为所述新密钥签名密钥（KSK₂）对应的授权签名者的生存周期。