CN109067768A - 一种域名查询安全性的检测方法、系统、设备和介质 - Google Patents

Abstract

本发明提供了一种域名查询安全性的检测方法、系统、设备和介质。所述方法包括：S1,获取待查询的域名，判断与所述域名对应的域名系统中是否部署域名系统安全扩展，若是，将所述域名的安全等级在初始值的基础上添加一级，并进入步骤S2，若否，将则所述域名的安全等级保持为初始值，并进入步骤S2；S2,判断所述域名系统中是否部署DNS‑over‑Https，若是，将所述域名的安全等级添加一级，并进入步骤S3，若否，则保持所述域名的安全等级；并进入步骤S3；S3，判断所述域名的安全等级是否为初始值，若是，则向所述域名系统发送提示信息。本发明在对于未知域名安全性进行判别的基础上，再进行域名查询。

Description

一种域名查询安全性的检测方法、系统、设备和介质

技术领域

本发明涉及一种域名查询安全性的检测方法、系统、设备和介质。

背景技术

域名是指由一串用点分隔的名字组成的Internet上某终端的名称，例如某一计算机的名称，其用于在数据传输时标识该计算机的电子方位。域名系统指将域名和IP地址相互映射的一个分布式数据库，能够使人更方便的访问互联网，而不用去记住能够被机器直接读取的IP数串。域名系统(Domain Name System，DNS)可以用于实现域名解析(即域名查询)，域名解析即为将域名解析为IP地址。

传统的域名解析通过采用DNS系统网络部署实现，即采用四层交换机技术建立服务器集群提供集中式的域名解析。在两个节点创建两个互备的DNS系统，每套系统都采用四层交换机技术建立DNS服务器集群，两套DNS分别采用不同的DNS服务IP A和IP B，告知客户DNS服务器地址的IP。并且每个节点DNS系统采用防火墙/流量清洗、四层交换机、DNS服务器群的三层架构，防火墙用来保护整个系统的安全防止黑客的攻击；四层交换机用来将用户DNS请求平均分配到集群内每台DNS服务器，完成流量负载均衡作用；DNS服务器用来完成最终的地址解析。由于目前互联网环境较为复杂，DNS服务器容易受到攻击，该攻击可能导致互联网大面积的瘫痪。并且上文所述域名解析基本上还是基于明文的UDP(绝大多数使用UDP)或TCP传输，容易被劫持，尤其是最终用户和本地DNS(例如IE的recursive resolver)解析之间。

目前已经有很多技术手段通过验证和加密的方式来增强最终用户到本地DNS解析之间的安全性，例如域名系统安全扩展(Domam Name System Security Extensions，DNSSEC)或DNS-over-Https，但是没有一项是被广泛部署应用的。因此，如何通过一个有效的方法对域名系统的安全性进行检测，在过渡时期是十分重要的。

发明内容

(一)要解决的技术问题

目前已经有很多技术手段通过验证和加密的方式来增强最终用户到本地DNS解析之间的安全性，例如域名系统安全扩展(Domain Name System Security Extensions，DNSSEC)或DNS-over-Https，但是没有一项是被广泛部署应用的。因此，如何通过一个有效的方法对域名查询的安全性进行检测，在过渡时期是十分重要的。

(二)技术方案

本发明一方面提供了一种域名查询安全性的检测方法，所述方法包括：S1，获取待查询的域名，判断与域名对应的域名系统中是否部署域名系统安全扩展，若是，将域名的安全等级在初始值的基础上添加一级，并进入步骤S2，若否，将则域名的安全等级保持为初始值，并进入步骤S2；S2，判断域名系统中是否部署DNS-over-Https，若是，将域名的安全等级添加一级，并进入步骤S3，若否，则保持域名的安全等级；并进入步骤S3；S3，判断域名的安全等级是否为初始值，若是，则向域名系统发送提示信息。

可选地，判断与域名对应的域名系统中是否部署域名系统安全扩展，包括：请求查询域名，获取域名系统返回的第一查询结果；判断第一查询结果中是否包含RRSIG记录，若是，则该域名系统中部署了域名系统安全扩展，若否，则未部署。

可选地，判断第一查询结果中是否包含RRSIG记录包括：从第一查询结果中抓取DNS应答报文，判断DNS应答报文中是否包含类型为RRSIG的记录。

可选地，判断域名系统中是否部署DNS-over-Https，包括：请求查询域名，获取域名系统返回第二查询结果；判断第二查询结果中是否包含DNS-over-Https特征信息。

可选地，特征信息为SSL数字证书。

可选地，方法还包括：创建待查询的域名集合和安全域名集合；域名集合用于添加待查询的域名，安全域名集合用于添加安全等级不为初始值的域名，步骤S3中，当判断域名的安全等级不为初始值时，将域名添加进入安全域名集合。

可选地，步骤S1中，在获取待查询的域名之后，还包括：判断安全域名集合中是否包含待查询的域名，若是，则停止。

本发明另一方面提供了一种域名查询安全的检测系统，系统包括：第一判断模块，用于获取待查询的域名，判断与域名对应的域名系统中是否部署域名系统安全扩展，若是，将域名的安全等级在初始值的基础上添加一级，并进入第二判断模块，若否，将则域名的安全等级保持为初始值，并进入第二判断模块；第二判断模块，用于判断域名系统中是否部署DNS-over-Https，若是，将域名的安全等级添加一级，并进入第三判断模块，若否，则保持域名的安全等级；并进入第三判断模块；第三判断模块，用于判断域名的安全等级是否为初始值，若是，则向域名系统发送提示信息。

本发明又一方面提供了一种电子设备，设备包括：处理器；存储器，其存储有计算机可执行程序，该程序包含如单文的域名查询安全性的检测方法。

本发明再一方面提供了一种计算机可读存储介质，其上存储有计算机程序，该程序包含如上文的域名查询安全性的检测方法。

(三)有益效果

本发明通过上述步骤S1-S3的域名查询安全性的检测方法，对域名所对应的域名系统的安全性进行判断，对于安全等级较高的域名，用户可以直接进行域名查询，对于安全等级较低的域名所对应的域名系统发出提示，提醒其增强安全性。确保了在对于未知域名安全性进行判别的基础上，再进行域名查询。

附图说明

图1是本发明实施例提供的域名查询安全性的检测方法流程图；

图2是本发明实施例提供的域名查询安全性的检测系统框图；

图3是本发明实施例提供的电子设备框图。

具体实施方式

以下，将参照附图来描述本发明的实施例。但是应该理解，这些描述只是示例性的，而并非要限制本发明的范围。在下面的详细描述中，为便于解释，阐述了许多具体的细节以提供对本发明实施例的全面理解。然而，明显地，一个或多个实施例在没有这些具体细节的情况下也可以被实施。此外，在以下说明中，省略了对公知结构和技术的描述，以避免不必要地混淆本发明的概念。

本发明的技术可以硬件和/或软件(包括固件、微代码等)的形式来实现。另外，本发明的技术可以采取存储有指令的计算机可读介质上的计算机程序产品的形式，该计算机程序产品可供指令执行系统使用或者结合指令执行系统使用。在本发明的上下文中，计算机可读介质可以是能够包含、存储、传送、传播或传输指令的任意介质。例如，计算机可读介质可以包括但不限于电、磁、光、电磁、红外或半导体系统、装置、器件或传播介质。计算机可读介质的具体示例包括：磁存储装置，如磁带或硬盘(HDD)；光存储装置，如光盘(CD-ROM)；存储器，如随机存取存储器(RAM)或闪存；和/或有线/无线通信链路。

本发明实施例提供了一种域名查询安全性的检测方法，该方法包括：

步骤S1，获取待查询的域名，判断与域名对应的域名系统中是否部署域名系统安全扩展，若是，将域名的安全等级在初始值的基础上添加一级，并进入步骤S2，若否，则将域名的安全等级保持为初始值，并进入步骤S2。

其中，域名为与IP地址相互映射的名字，例如www.example.com。初始值可设置为0，在初始值的基础上添加一级即为在0的基础上增加1，即安全等级在初始值的基础上添加一级后，得到的安全等级为1。

需要说明的是，域名系统安全扩展(Domain Name System Security Extensions，DNSSEC)通过公钥密码技术对DNS中的信息创建密码签名，为DNS信息同时提供认证和信息完整性检查。其实现安全的域名查询过程为：DNS服务器收到DNS查询请求后，用散列函数将待回复的DNS应答报文的内容进行散列运算，进行数字签名得到数字摘要，使用私匙加密后再附加到DNS应答报文中；DNS查询请求者接收到该DNS应答报文后，利用公匙解密收到的数字摘要，再利用散列函数计算一次DNS查询请求报文中的数字摘要，将两者对比，若两者相同，则确认接收到的DNS信息是正确的DNS响应；若两者不同，则表明这一报文可能是假冒的，或者在传输过程、缓存过程中被篡改。

具体地，在本发明的一个示例中，判断与域名对应的域名系统中是否部署域名系统安全扩展，包括：请求查询域名，获取域名系统返回的第一查询结果；判断第一查询结果中是否包含RRSIG记录，若是，则该域名系统中部署了域名系统安全扩展，若否，则未部署。

第一查询结果包含DNS应答报文，进一步地，判断第一查询结果中是否包含RRSIG记录包括：从第一查询结果中抓取DNS应答报文，判断DNS应答报文中是否包含类型为RRSIG的记录。

本领域技术人员可以理解的是，DNSSEC中DNS应答报文包含一条A记录以及一条是RRSIG记录，A记录即为与待查询的域名相对应的IP地址，而RRSIG记录正如上文所述的数字摘要。而在传统的未部署DNSSEC的DNS解析过程中，并不存在RRSIG类型的记录。因此通过判断RRSIG类型的记录是否存在于DNS应答报文中即可判断DNSSEC是否部署。

其中，应答报文例如：

ANSWER SECTION：

example.com.3599 IN A 123.321.123.321

example.com.3599 IN RRSIG A 123 3100 20180507000000 201804170000001234 example.com.

可以看出RRSIG类型的记录会明显的存在于应答报文中。

另外，从第一查询结果中抓取DNS应答报文，该抓取的过程可以通过抓包软件实现，例如Wireshark抓包软件。具体抓取过程为现有技术，本发明在此不作详细赘述。

经过步骤S1的检测之后，需再进入步骤S2进一步对域名查询的安全性进行检测。

步骤S2，判断域名系统中是否部署DNS-over-Https，若是，将域名的安全等级添加一级，并进入步骤S3，若否，则保持域名的安全等级；并进入步骤S3。

DNSSEC旨在验证DNS交互过程，防止欺骗，但它无法保护DNS查询或响应的隐私。该隐私是指由于DNS请求和响应的内容能够被看到，其他人可以监视用户做出的DNS请求或响应。DNS-over-Https通过使用HTTPS加密DNS数据包，可以确保没有人能够监视用户正在做出的DNS请求。即DNS-over-Https为DNSSEC的补充保护。HTTPS(Hypertext TransferProtocol over Secure Socket Layer)安全超文本传输协议，是以安全为目标的HTTP通道，即基于HTTP加入SSL(Secure Socket Layer)，HTTPS的安全基础是SSL，因此加密的详细内容就需要SSL。

具体地，判断域名系统中是否部署DNS-over-Https，包括：请求查询域名，获取域名系统返回第二查询结果；判断第二查询结果中是否包含DNS-over-Https特征信息。

在本发明的另一个实施例中，特征信息为SSL数字证书。其中，获取域名系统返回第二查询结果可以通过采用编程接口的方式进行获取。对于采用DNS-over-Https协议的第二查询结果是包含秘钥的，该秘钥是通过SSL数字证书实现的，因此将获取到的第二查询结果进行解析，若其中包含SSL数字证书，则说明部署了DNS-over-Https。

在本发明的另一个实施例中，DNS-over-Https协议使用POST方法，将普通的DNSover UDP报文作为HTTP的body发送，并且在HTTP Header中设置Content-Type为application/dns-message。此处，DNS-over-Https特征信息还可以为通过解析第二查询结果，即解析返回结果包含HTTP类型的报文头信息，HTTP的请求报文和响应报文中应包含相对应的参数，例如两者的报文头中应均包含HTTP类型的报文头信息。因此将获取到的第二查询结果进行解析，若其中包含HTTP类型的报文头信息，则说明部署了DNS-over-Https。

经过步骤S1和步骤S2，若域名的安全等级为1，说明该域名所对应的域名系统中至少部署了DNSSEC和DNS-over-Https中的一种，若域名的安全等级为2，说明该域名所对应的域名系统中同时部署了DNSSEC和DNS-over-Https。

域名的安全等级为2的情况，以谷歌公共DNS为例，DNS-over-Https协议采用GET方法，返回结果为JSON格式，例如谷歌公共DNS，其第二查询结果为JSON格式，例如当第二查询结果为查询成功时为下列结果，其表示该域名的安全等级为2，同时部署了DNSSEC和DNS-over-Https。

当第二查询结果为查询失败时为：

上文所述的第二查询结果中，TC、RD、RA、AD、CD为其JSON格式报文的报文头中所包含的字段,TC(truncation)指是否被截断，RD(Recursion Desired)指是否有期望递归，RA(Approve Recursion)指是否有支持递归，AD(authentic data)是否有认证数据，说明服务器是否验证了DNSSEC相关的数字签名，CD(checking disable)是否禁用DNSSEC。

步骤S3，判断域名的安全等级是否为初始值，若是，则向域名系统发送提示信息。

当域名的安全等级为初始值0时，说明该域名所对应的域名系统中均没有部署DNSSEC和DNS-over-Https。该域名系统在进行域名查询时安全性较差，即不能防止DNS欺骗、跟踪，也不能保护用户查询的隐私性。因此需要向该域名系统发送提示信息或者警告。以提醒其进行系统的安全性部署。

本发明通过上述步骤S1-S3的域名查询安全性的检测方法，对域名所对应的域名系统的安全性进行判断，对于安全等级较高的域名，用户可以直接进行域名查询，对于安全等级较低的域名所对应的域名系统发出提示，提醒其增强安全性。确保了在对于未知域名安全性进行判别的基础上，再进行域名查询。

在本发明的一个实施例中，所述方法还包括：创建待查询的域名集合和安全域名集合；域名集合用于添加待查询的域名，安全域名集合用于添加安全等级不为初始值的域名，步骤S3中，当判断域名系统的安全等级不为初始值时，将域名添加进入安全域名集合。

另外，步骤S1中，在获取待查询的域名之后，还包括：判断安全域名集合中是否包含待查询的域名，若是，则停止。

即通过安全域名集合将安全等级为大于等于1的域名进行统计，当下一次待查询的域名已经判断过其安全性，并且安全性等级为大于等于1时，则不需要进行二次判断，可直接进行安全的域名查询。

本发明另一方面提供了一种域名查询安全的检测系统，如图2所示，系统200包括：第一判断模块201,用于获取待查询的域名，判断与域名对应的域名系统中是否部署域名系统安全扩展，若是，将域名系统的安全等级在初始值的基础上添加一级，并进入第二判断模块，若否，将则域名系统的安全等级保持为初始值，并进入第二判断模块；第二判断模块202，用于判断域名系统中是否部署DNS-over-Https，若是，将域名系统的安全等级添加一级，并进入第三判断模块，若否，则保持域名系统的安全等级；并进入第三判断模块；第三判断模块203，用于判断域名系统的安全等级是否为初始值，若是，则向域名系统发送提示信息。

图3示意性示出了根据本发明实施例的电子设备框图。

如图3所示，电子设备300包括处理器310和存储器320。该电子设备300可以执行根据本发明实施例的方法。

具体地，处理器310例如可以包括通用微处理器、指令集处理器和/或相关芯片组和/或专用微处理器(例如，专用集成电路(ASIC))，等等。处理器310还可以包括用于缓存用途的板载存储器。处理器310可以是用于执行根据本发明实施例的方法流程的不同动作的单一处理单元或者是多个处理单元。

存储器320，例如可以是能够包含、存储、传送、传播或传输指令的任意介质。例如，可读存储介质可以包括但不限于电、磁、光、电磁、红外或半导体系统、装置、器件或传播介质。可读存储介质的具体示例包括：磁存储装置，如磁带或硬盘(HDD)；光存储装置，如光盘(CD-ROM)；存储器，如随机存取存储器(RAM)或闪存；和/或有线/无线通信链路。其存储有计算机可执行程序，该程序在被处理器执行时，使得处理器执行如上文所述的域名查询安全性的检测方法。

本发明还提供了一种计算机可读介质，该计算机可读介质可以是上述实施例中描述的设备/装置/系统中所包含的；也可以是单独存在，而未装配入该设备/装置/系统中。上述计算机可读介质承载有一个或者多个程序，当上述一个或者多个程序被执行时，实现根据本发明实施例的方法。

根据本发明的实施例，计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质或者是上述两者的任意组合。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本发明中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。而在本发明中，计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：无线、有线、光缆、射频信号等等，或者上述的任意合适的组合。

本领域技术人员可以理解，本发明的各个实施例和/或权利要求中记载的特征可以进行多种组合或/或结合，即使这样的组合或结合没有明确记载于本发明中。特别地，在不脱离本发明精神和教导的情况下，本发明的各个实施例和/或权利要求中记载的特征可以进行多种组合和/或结合。所有这些组合和/或结合均落入本发明的范围。

尽管已经参照本发明的特定示例性实施例示出并描述了本发明，但是本领域技术人员应该理解，在不背离所附权利要求及其等同物限定的本发明的精神和范围的情况下，可以对本发明进行形式和细节上的多种改变。因此，本发明的范围不应该限于上述实施例，而是应该不仅由所附权利要求来进行确定，还由所附权利要求的等同物来进行限定。

Claims (10)

1.一种域名查询安全性的检测方法，其特征在于，所述方法包括：

S1,获取待查询的域名，判断与所述域名对应的域名系统中是否部署域名系统安全扩展，若是，将所述域名的安全等级在初始值的基础上添加一级，并进入步骤S2，若否，则将所述域名的安全等级保持为初始值，并进入步骤S2；

S2,判断所述域名系统中是否部署DNS-over-Https，若是，将所述域名的安全等级添加一级，并进入步骤S3，若否，则保持所述域名的安全等级；并进入步骤S3；

S3，判断所述域名的安全等级是否为初始值，若是，则向所述域名系统发送提示信息。

2.根据权利要求1所述的方法，其特征在于，所述判断与所述域名对应的域名系统中是否部署域名系统安全扩展，包括：

请求查询所述域名，获取所述域名系统返回的第一查询结果；

判断所述第一查询结果中是否包含RRSIG记录，若是，则该域名系统中部署了域名系统安全扩展，若否，则未部署。

3.根据权利要求2所述的方法，其特征在于，所述判断所述第一查询结果中是否包含RRSIG记录包括：

从所述第一查询结果中抓取DNS应答报文，判断所述DNS应答报文中是否包含类型为RRSIG的记录。

4.根据权利要求1所述的方法，其特征在于，所述判断所述域名系统中是否部署DNS-over-Https，包括：

请求查询所述域名，获取所述域名系统返回第二查询结果；

解析并判断所述第二查询结果中是否包含DNS-over-Https特征信息。

5.根据权利要求4所述的方法，其特征在于，所述特征信息为SSL数字证书。

6.根据权利要求1所述的方法，其特征在于，所述方法还包括：创建待查询的域名集合和安全域名集合；所述域名集合用于添加所述待查询的域名，所述安全域名集合用于添加安全等级不为初始值的域名，

步骤S3中，当判断所述域名的安全等级不为初始值时，将所述域名添加进入安全域名集合。

7.根据权利要求6所述的方法，其特征在于，所述步骤S1中，在所述获取待查询的域名之后，还包括：

判断所述安全域名集合中是否包含所述待查询的域名，若是，则停止。

8.一种域名查询安全的检测系统，其特征在于，所述系统包括：

第一判断模块,用于获取待查询的域名，判断与所述域名对应的域名系统中是否部署域名系统安全扩展，若是，将所述域名的安全等级在初始值的基础上添加一级，并进入第二判断模块，若否，将则所述域名的安全等级保持为初始值，并进入第二判断模块；

第二判断模块，用于判断所述域名系统中是否部署DNS-over-Https，若是，将所述域名的安全等级添加一级，并进入第三判断模块，若否，则保持所述域名的安全等级；并进入第三判断模块；

第三判断模块，用于判断所述域名的安全等级是否为初始值，若是，则向所述域名系统发送提示信息。

9.一种电子设备，其特征在于，所述设备包括：

处理器；

存储器，其存储有计算机可执行程序，该程序包含如权利要求1-7中的域名查询安全性的检测方法。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该程序包含如权利要求1-7中的域名查询安全性的检测方法。