2024年6月14日发(作者：)
(19)中华人民共和国国家知识产权局
(12)发明专利说明书
(21)申请号 CN2.1
(22)申请日 2012.03.23
(71)申请人 北龙中网(北京)科技有限责任公司
地址 100191 北京市海淀区中关村南四街四号中科院软件园1号楼1层
(72)发明人 高宁 崔福东 卢文哲
(74)专利代理机构 北京万慧达知识产权代理有限公司
代理人 于淼
(51)
H04L29/06
H04L29/08
(10)申请公布号 CN 102629923 A
(43)申请公布日 2012.08.08
权利要求说明书 说明书 幅图
(54)发明名称
基于域名系统技术的网站可信标识
安装及识别方法
(57)摘要
本发明公开基于域名系统技术的网
站可信标识安装及识别方法，安装包括：
网站管理设备将需要进行可信标识安装的
网站信息和企业基本信息交给第三方网站
验证机构进行可信验证；如可信验证通
过，将生成的具有签名的可信标识文件给
网站管理设备；网站管理设备将被验证域
名的主机名部分使用散列算法转码方式生
成被验证域名的可信查询域名，并由第三
方网站验证机构将可信标识文件的压缩分
组，将可信标识文件转换成至少1个文本
字符串，添加到可信查询域名的记录中。
本发明能够解决现有网站可信标识的安装
问题以及无法识别DNS劫持等安全识别问
题，且提供一种更加简单、更安全、更易
于辨识、有更好兼容性的方法。
法律状态
法律状态公告日
法律状态信息
法律状态
权 利 要 求 说 明 书
1.一种基于域名系统技术的网站可信标识安装及识别方法，其特征在于，
网站管理设备将需要进行可信标识安装的网站信息和企业基本信息交给第
如可信验证通过，所述第三方网站验证机构将生成的具有签名的可信标识
所述网站管理设备将被验证域名的主机名部分使用散列算法转码方式生成
文
被验证域名的可信查询域名，并由所述第三方网站验证机构将所述可信标识
件的压缩分组，将所述可信标识文件转换成至少1个文本字符
信查询域名的记录中；
文件给所述网站管理设备；
三方网站验证机构进行可信验证；
包括：
串，添加到所述可
客户端设备访问网站时，所述客户端设备向域名系统的域名服务器查询可
有
信查询域名的记录中是否含有生成的被访问网站的域名的可信查询域名，如
将查询到的所有记录，按照可信标识文件转码相反的过程，将
容还原，对还原后的可信标识文件做验证，如验
该网站可信验证标识。
可信标识文件内
证通过则所述客户端设备显示
2.如权利要求1所述的基于域名系统技术的网站可信标识安装及识别方法，
转
其特征在于，进一步为：所述第三方网站验证机构提供所述可信标识文件的
码工具或由被验证域名的网站将所述可信标识文件的压缩分组。
3.如权利要求2所述的基于域名系统技术的网站可信标识安装及识别方法，
当所述第三方网站验证机构将被验证域名的主机名部分使用散列算法转码
询
方式生成被验证域名的可信查询域名后，将所述生成的被验证域名的可信查
域名添加到所述第三方网站验证机构提供的公共查询域名中，
方网站验证机构提供所述可信标识文件的转码工
述可信标识文件的压缩分组，将所
其特征在于，还包括：
然后由所述第三
具或由被验证域名的网站将所
述可信标识文件转换成至少1个文本字符串，
添加到所述可信查询域名的记录中。
4.如权利要求3所述的基于域名系统技术的网站可信标识安装及识别方法，
算
5.如权利要求4所述的基于域名系统技术的网站可信标识安装及识别方法，
6.如权利要求1所述的基于域名系统技术的网站可信标识安装及识别方法，
其特征在于，所述可信标识文件包括：
其特征在于，所述记录为域名系统的txt记录。
其特征在于，所述散列算法转码方式为消息摘要算法或安全哈希算法的散列
法转码方式。
网站域名；站点名称；网站所属机构或所属企业名称；网站在其企业中所
企
属部门；网站所在的市、省、国；网站所属机构的组织机构代码证号或所属
业的执照号；所属机构或企业的类别；所属机构或企业所在的
三方网站验证机构登记的可信编码；验证级别；
证机构信息；可信标识的状态在线
备是否进行IP地址
市、省、国；第
网站安全状态；第三方网站验
查询地址；IP地址校验开关；标记客户端设
校验；DNSSEC校验开关；和/或标记客户端设备是否进行
DNSSEC校验。
7.如权利要求6所述的基于域名系统技术的网站可信标识安装及识别方法，
网站图标、网站IP地址列表、和/或DNSSEC校验使用的DNS服务器地址列
8.如权利要求6所述的基于域名系统技术的网站可信标识安装及识别方法，
其特征在于，所述网站域名还包括：单域名、多域名，通配符域名和/或中
名。
表。
其特征在于，所述可信标识文件还包括：
文域
9.如权利要求6所述的基于域名系统技术的网站可信标识安装及识别方法，
其特征在于，所述第三方网站验证机构信息中还
细信息验证地址。 包括有第三方网站验证机构详
10.如权利要求1至9中任一所述的基于域名系统技术的网站可信标识安装
当网站信息变化或证书到期前以及该被访问网站的IP地址变化时，所述网
在
站管理设备需要到所述第三方网站验证机构更新验证资料，进行重新验证。
通过验证后，所述第三方网站验证机构会给所述网站管理设备
信标识文件，然后网站管理设备将新的可信标识
名系统的记录中，同时所述第三方
其公共查询域名中。
及识别方法，其特征在于，还包括：
重新签发新的可
文件更新到该被访问网站的域
网站验证机构也将新的可信标识文件更新到
说 明 书
技术领域
本发明涉及网络浏览器技术领域，尤其涉及一种基于DNS(Domain Name
背景技术
根据互联网发展研究报告，从2009年下半年开始电子商务快速发展。数据
显示2010年上半年的网络购物用户增长了4千万，用户数增长得非常快，
出电子商务市场的巨大潜力。但是与电子商务蓬勃发展相对应的是广
网络交易信任度不高，网络钓鱼网络欺诈等诚信问题越来越严
国网民网络信息安全状况调查报告》显示，2009年有
钓鱼，在遭遇过网络钓鱼事件的网民中，4500
总数11.9％。网络钓鱼给网民造成的损失
查发现，网民对网站信息的不信任
1％，这对电子商务发展来
System，域名系统)技术的网站可信标识安装及识别方法。
表现
大网民对
重。《2009年中
超过九成网民遇到过网络
万网民蒙受了经济损失，占网民
已达76亿元。针对电子商务用户的调
使进入实质性的交易环节的用户只有最初的
讲是一个非常重要的瓶颈。
为了避免上述事件的发生，一些公司推出了不同的信息验证系统，通过向
关
使用者展示网站相关企业的工商信息、域名信息等，帮助用户识别网站或相
企业的真伪。国外主要是verisign发布的verisign trust seal，国内类似
站验证、itrust、信用网站认证等。 的有可信网
网站验证服务在验证网站身份和可信性后，通常需要给网站增加可信标识，
站
来标记网站可信认证情况。这就涉及到网站可信标识的安装和标记。目前网
可信标识主要有3种安装方法，第一种、页面图标安装方法；第二种、
安装方法；第三种、服务器证书安装方法。 信息文件
1、对于第一种页面图标安装方法来说：
该方案的缺点是客户端每次刷新可信标识时，都需要到服务器端动态获取
开
代码和标识，需要额外的网络连接，会影响可信标识在被验证网站页面的打
速度。对有一定页面打开速度要求的网站和非常严格安全性要求的网
限制这种额外的访问行为。另外因
访问量的总和，所以该方案
站，可能
为服务器端的压力是所有安装可信标识网站
对服务器端压力非常大。
2、对于第二种信息文件安装方法来说：
是一个基于PKI(Public Key Infrastructure，公钥基础设施)体系的可信标
PKI的基础技术包括加密、数字签名、数据完整性机制、数字信封、双重
1)通过验证机构的数字证书私钥对被验证网站的基本信息：网址、IP地
2)将被验证网站的基本信息、签名信息共同保存在一个文件中，上传到被
3)客户端在访问被验证网站时，到网站根目录特定位置获取签名文件。利
息
用客户端内置的公钥对签名信息进行校验，如果通过签名校验，证明网站信
文件是真实的，则浏览器解析网站信息文件中包含的网站基本信息。
验证网站根目录特定位置。
址、网站名称、企业信息等进行签名；
数字签名
识安装方案。该方案原理是：
4)客户端根据网站基本信息中的网址、IP地址和访问站点的网址、IP地
会
该方案的缺点是无法解决动态IP或CDN情况，也无法动态改变网站的验
地
证情况。大型网站基本都采用了CDN加速或在世界范围内有多个节点，IP
址是不固定的，将IP地址放在网站信息文件中，会导致CDN的网站
客户端验证。第二个缺点是如果被验证网站因为挂马或其他原
验证文件保存在网站根目录，所以客户端仍然会认为网
信标识。
址进行比对，如果信息匹配，则在客户端地址栏显示网站可信标识。否则不
显示。
无法通过
因被取缔，由于
站是可信的，会显示可
3、对于第三种服务器证书安装方法来说：
服务器证书是基于PKI体系，由国际公认的CA机构在确认了网站身份后签
发的数字证书。该证书文件需要装载网站web服务器的应用服务器中，并
用服务器中进行配置。 在应
其缺点是：1)服务器证书中验证的内容比较简单，不能增加企业信息、工
的
商信息等自定义内容。2)服务器证书在现阶段还不能解决虚拟主机网站安装
问题。国内大部分中小企业网站都是使用虚机提供对外服务的，所以
好。3)服务器证书无法在使用
原理和服务器证书的安全性
使用服务器证书对仅
增加额外的传
服务器
应用性不
CDN加速的大中型网站使用。因为CDN服务的
要求，决定了CDN无法提供https的加速服务。4)
有网站身份验证需求，没有数据传输加密需求的网站来说，
输加密功能会给服务器带来很大的负载，增加网站运营成本。5)
证书按照有一定的技术门槛，对于普通企业网站管理员安装过程比较复
杂，需要配置web服务器，安装过程中对web服务有一定影响。
发明内容
本发明所要解决的技术问题是提供一种基于DNS技术的网站可信标识安
装及识别方法，以解决现有网站可信标识的安装问题以及无法识别DNS劫
安全识别问题。 持等
为解决上述技术问题，本发明提供了一种基于域名系统技术的网站可信标
网站管理设备将需要进行可信标识安装的网站信息和企业基本信息交给第
如可信验证通过，所述第三方网站验证机构将生成的具有签名的可信标识
所述网站管理设备将被验证域名的主机名部分使用散列算法转码方式生成
文
被验证域名的可信查询域名，并由所述第三方网站验证机构将所述可信标识
件的压缩分组，将所述可信标识文件转换成至少1个文本字符串，添
信查询域名的记录中；
文件给所述网站管理设备；
三方网站验证机构进行可信验证；
识安装及识别方法，其特征在于，包括：
加到所述可
客户端设备访问网站时，所述客户端设备向域名系统的域名服务器查询可
有
信查询域名的记录中是否含有生成的被访问网站的域名的可信查询域名，如
将查询到的所有记录，按照可信标识文件转码相反的过程，将可信标
容还原，对还原后的可信标识文件做验证，如验证通过则所述
该网站可信验证标识。
识文件内
客户端设备显示
进一步地，其中，所述第三方网站验证机构提供所述可信标识文件的转码
工具或由被验证域名的网站将所述可信标识文件的压缩分组。
进一步地，其中，还包括：
当所述第三方网站验证机构将被验证域名的主机名部分使用散列算法转码
询
方式生成被验证域名的可信查询域名后，将所述生成的被验证域名的可信查
域名添加到所述第三方网站验证机构提供的公共查询域名中，然后由
方网站验证机构提供所述可信标识文件的转码工具或由被验证
述可信标识文件的压缩分组，将所述可信标识文件转换
添加到所述可信查询域名的记录中。
所述第三
域名的网站将所
成至少1个文本字符串，
进一步地，其中，所述散列算法转码方式为消息摘要算法或安全哈希算法
进一步地，其中，所述记录为域名系统的txt记录。
进一步地，其中，所述可信标识文件包括：
网站域名；站点名称；网站所属机构或所属企业名称；网站在其企业中所
企
属部门；网站所在的市、省、国；网站所属机构的组织机构代码证号或所属
业的执照号；所属机构或企业的类别；所属机构或企业所在的市、省、
三方网站验证机构登记的可信编码；验证级别；网站安全状态；
证机构信息；可信标识的状态在线查询地址；IP地址
备是否进行IP地址校验；DNSSEC校验开关；
DNSSEC校验。
的散列算法转码方式。
国；第
第三方网站验
校验开关；标记客户端设
和/或标记客户端设备是否进行
进一步地，其中，所述可信标识文件还包括：
网站图标、网站IP地址列表、和/或DNSSEC校验使用的DNS服务器地址列
表。
进一步地，其中，所述网站域名还包括：单域名、多域名，通配符域名和/
进一步地，其中，所述第三方网站验证机构信息中还包括有第三方网站验
进一步地，其中，还包括：
当网站信息变化或证书到期前以及该被访问网站的IP地址变化时，所述网
在
站管理设备需要到所述第三方网站验证机构更新验证资料，进行重新验证。
通过验证后，所述第三方网站验证机构会给所述网站管理设备重新签
信标识文件，然后网站管理设备将新的可信标识文件更新到该
名系统的记录中，同时所述
其公共查询域名中。
证机构详细信息验证地址。
或中文域名。
发新的可
被访问网站的域
第三方网站验证机构也将新的可信标识文件更新到
与现有技术相比，本发明所述的一种基于DNS技术的网站可信标识安装及
识别方法，能够解决现有网站可信标识的安装问题以及无法识别DNS劫持
全识别问题，且提供一种更加简单、更安全、更易于辨识、有更好兼
法。
等安
容性的方
附图说明
图1为本发明实施例所述的一种基于DNS技术的网站可信标识安装及识别
图2为本发明实施例所述的一种基于DNS技术的网站可信标识安装及识别
方法的步骤流程图。
方法中步骤2011至步骤2014的具体执行流程图。
图3为本发明实施例所述的一种基于DNS技术的网站可信标识安装及识别
图4为本发明实施例所述的一种基于DNS技术的网站可信标识安装及识别
图5为本发明实施例所述的一种基于DNS技术的网站可信标识安装及识别
具体实施方式
以下结合附图对本发明作进一步详细说明，但不作为对本发明的限定。
如图1所示，为本发明实施例所述的一种基于DNS技术的网站可信标识安
步骤101，网站管理设备将需要进行可信标识安装的网站信息和企业基本
下
步骤102，如可信验证通过，所述第三方网站验证机构直接生成具有签名
其中，所述可信标识文件，包括：网站域名(包括单域名、多域名，通配
其
符域名或中文域名等)；站点名称；网站所属机构或所属企业名称；网站在
企业中所属部门；网站所在的市、省、国；网站所属机构的组织机构
或所属企业的执照号；所属机构或企业的类别；所属机构或企
的所述可信标识文件给所述网站管理设备。
信息交给第三方网站验证机构，进行网站的可信验证，通过可信验证后进行
一步。
装及识别方法，包括：
方法执行时各装置之间的结构框图。
方法中步骤2013中步骤E)和F)的具体执行流程图。
方法中步骤2011至步骤2014的另一种具体执行流程图。
代码证号
业所在的市、省、
网站安全状态，第三方
国；第三方网站验证机构登记的可信编码；验证级别；
网站验证机构信息(其中包括Verify Point(第三方
地址))；可信标识的状态在线查询地址；
是否进行IP地址校验；
DNS安全扩展)校验
网站验证机构详细信息验证
IP地址校验开关，标记客户端设备
DNSSEC(Domain Name System Security Extensions，
开关，标记客户端是否进行DNSSEC校验。
进一步还可以包括：网站图标(可选)，用户可自定义在客户端可信标识
上展示的网站缩略图标；网站IP地址列表(可选)，如果用户网站为静态IP，
可将当IP地址校验开关打开，并添加信任的IP地址列表，其目的是
不被DNS劫持；DNSSEC校验使用的DNS服务器地址列表
站为CDN加速或动态IP配置，无法使用静态IP做
配置了DNSSEC，则可打开DNSSEC校验开关，
DNS服务器地址列表。
确保网站
(可选)，如果网
DNS劫持校验，并且网站
并设置DNSSEC校验使用的
步骤103，所述网站管理设备将被验证域名的主机名部分使用散列算法转
所
码方式生成被验证域名的可信查询域名，并由所述第三方网站验证机构提供
述可信标识文件的转码工具或由被验证域名的网站将所述可信标识文
分组(也可以由用户通过第三方网站验证机构的公开文档自行
所述可信标识文件转换成1至多个文本字符串，添加到
记录中。
件的压缩
转码分组)，将
所述可信查询域名的txt
举例：比如网站域名是。第三方验证机构签发的可信标识文件，
按照固定字节限度，压缩转码为0，1，2三个或多个文本字符串。另外需要
转码为b35977a00ebd8086。原域名的其可信查询域名就是
将www
。
进一步举例：如上面例子中网站需要在其域名DNS记录中，将0，1，2三段
文本字符串添加到的txt记录中。类似如下格式：
.599INTXT
.599INTXT
.599INTXT
其中，步骤103的另一种执行方式具体是：当所述第三方网站验证机构将
域
被验证域名的主机名部分使用散列算法转码方式生成被验证域名的可信查询
名后，将所述生成的被验证域名的可信查询域名添加到所述第三方网
构提供的公共查询域名中，然后由所述第三方网站验证机构提
文件的转码工具或由被验证域名的网站将所述可信标识
以由用户通过第三方网站验证机构的公开文档自
识文件转换成1至多个文本字符串，添加
″Uy5OH6ggfTX1QT″
″aneQNqUy5OH6gg″
″HRgIt6KaFRfZhfdfs″
站验证机
供所述可信标识
文件的压缩分组(也可
行转码分组)，将所述可信标
到所述可信查询域名的txt记录中。
举例：比如我们用来查验可信信息的公共域名是，网站域名是
。生成的可信标识文件，按照固定字节限度，压缩转码为0，1，
文本字符串。将转码为b39d883133c0dbfc。原域名的其
名就是。然后将上面文本串添加到
2三个
可信查询域
将
的txt记录中。客户端设备在访问后，
转码后的可信查询域名为，查
记录，并把记录还原为可信描述文本，并根据指定格式解析，
信验证和验证是否有效。
询对应的txt
判断是否通过可
其中，上述步骤103中所述散列算法转码方式在本实施例中主要采用md5
其中，md5为计算机安全领域广泛使用的一种散列函数，用以提供消息的
本发明实施例通过上面三个步骤即可完成网站可信标识的安装过程。
上述安装不需要在网站上上传任何文件，只需网站在其DNS中增加设置即
下面描述客户端设备的浏览器(本实施例采用的是客户端的浏览器，当然
还
步骤201，客户端设备的浏览器访问网站时，所述客户端设备向DNS域名
可
服务器查询可信查询域名的txt记录中是否含有生成的被访问网站的域名的
信查询域名，如有将查询到的所有txt记录，按照可信标识文件转码
程，将可信标识文件内容还原，对还原后的可信标识文件做验
则所述客户端设备显示该网站可信验证标识。
还可以采用其它类型比如搜索引擎等，结果也并不是只可以在浏览器展示，
可以在搜索结果展示)对网站可信标识的识别和验证过程：
可，安装更加简单方便。
完整性保护；Sha1为适用于数字签名标准(Digital Signature Standard DSS)里
面定义的数字签名算法(Digital Signature Algorithm DSA)。
(Message Digest Algorithm，消息摘要算法)或sha1(Secure Hash Algorithm，
安全哈希算法)等散列算法转码方式。
相反的过
证，如验证通过
具体地，步骤201包括如下步骤(如图2和3所示)：
步骤2011，客户端设备的浏览器访问网站时，所述客户端设备DNS解析
后，增加一个额外的DNS查询操作，将被访问网站的域名的主机名部分使
用散
列算法转码，生成被访问网站的域名的可信查询域名。
其中，所述散列算法转码方式在本实施例中主要采用md5或sha1等散列
举例：客户端将www转码后的可信查询域名为
步骤2012，客户端设备向DNS域名服务器查询所述可信查询域名的txt
何
记录中是否含有生成的被访问网站的域名的可信查询域名，如果未查询到任
结果，表明该被访问网站尚未通过可信网站验证或还未在其DNS中
识，客户端设备不会显示可信标识；如果查询到，则进行下一
。直接查询第三方机构的查询域名为
。客户端可根据策略优先查询网站域名的dns记录，
或者优先查询第三方机构提供的记录。
算法转码方式。
安装可信标
步。
步骤2013，客户端设备将查询到的所有txt记录，按照上面所述可信标识
标
进一步地，步骤2013对还原后的所述可信标识文件做验证具体步骤包括：
A.客户端设备使用所述第三方网站验证机构证书的公钥，校验该可信标识
证
文件的签名，如果签名校验通过，则证明所述可信标识文件确实是第三方验
机构签发的，客户端设备信赖该可信标识文件；否则签名校验不通过，
设备停止校验；(注意：对应步骤
如图3所示)。
文件转码相反的过程，将所述可信标识文件内容还原，对还原后的所述可信
识文件做验证。
客户端
103的另一种执行方式中，步骤A可以省略，
B.客户端设备根据所述可信标识文件中的有效期，检查该可信标识文件是
则
其中，所述有效期是一个时间段，包括起始日期和过期日期。当前时间必
C.客户端设备检查所述可信标识文件和当前被访问网站的域名是否一致。
所
根据所述可信标识文件中的网站域名和当前被访问网站的域名做比对，如果
述可信标识文件的域名和访问域名一致，则通过校验；否则验证失败，
续校验。比如：当前访问的网站是，但标识文件
，那么就说明标识和网站不一致，验证失败。
须在这个时间段之间，才表明该标识文件有效。
否有效，如当前时间在所述有效期内，则表明该所述可信标识文件有效；否
验证不通过，客户端设备停止校验；
停止后
中记录的是
D.通过有效期检查后，客户端设备根据所述可信标识文件中的可信标识状
吊
态在线查询地址，检查该可信标识是否被吊销；当被访问网站因某种原因被
销了可信标识后，客户端设备在校验此步骤时，将不会通过校验。该
了可信标识的权威性和有效性。 步骤确保
(如图4所示)
E.如果所述可信标识文件中设置了IP地址校验，则客户端设备需要校验当
不
F.如果所述可信标识文件中设置了DNSSEC校验，而且客户端设备在当前
补
访问和查询上述可信查询域名的txt记录时没有使用DNSSEC查询，则需要
充做DNSSEC校验，向设定的支持DNSSEC的域名服务器做
前访问网站服务器的IP地址是否在文件设置的IP地址列表段中，否则校验
通过。
DNSSEC域名txt
记录查询。
如果没有设定特定的DNSSEC域名服务器，则使用客户端设备默认的或系
如果客户端设备查询的结果不符合DNSSEC结果，则提示DNSSEC查询
如果DNSSEC返回的txt记录结果和上述查询返回的txt记录结果不一致，
如果DNSSEC返回的txt记录结果一致，则通过DNSSEC校验。
步骤2014，当客户端设备在上述各步骤都通过校验后，则在客户端设备明
对于步骤2014来说，用户可通过点击或鼠标悬停等事件，触发客户端设备
站
来显示该网站详细的基本信息，包括在可信标识文件中定义的：网站域名、
点名称、网站所属机构或所属企业名称、验证级别、第三方网站验证
息。另外，客户端设备还可以同时提供更详细信息点击查询功
该功能时，客户端设备根据所述可信标识文件中的
信编码，跳转到第三方网站验证机构详细
的信息。
显位置显示该被访问网站可信验证标识，并提示当前访问的网站是可信网站。
则客户端设备提示：域名可能被劫持，存在安全风险。
失败，建议配置DNSSEC。
统默认的域名服务器查询可信标识txt记录。
机构等信
能，当网民点击
Verify Point地址和该网站可
信息验证系统地址查验该网站更详细
下面描述所述客户端设备对网站可信标识的更新过程。
步骤301，当网站信息变化或证书到期前以及该被访问网站的IP地址变化
时，网站管理设备需要到第三方网站验证机构更新网站验证资料，进行重新
验 证。在通过验证后，第三方网站验证机构会给网站管理设备重新签发
标识文件，然后网站管理设备将新的可信标识文件更新到该被
的txt记录中，同时所述第三方网站验证机构也将新的
公共查询域名的txt记录中。
新的可信
访问网站的DNS
可信标识文件更新到其
使用本方案可以达到以下效果：
首先，本发明的方案利用DNS体系，将可信标识安装和识别与DNS域名
解析过程结合起来，并利用DNSSEC、dnscurve或tsig等技术实现了对防
劫持、标识防伪、防盗等多种安全性需求。 DNS
其次，本发明的方案使用可信标识文件的签名方式，来解决被访问网站可
信标识安装和客户端识别问题，是基于PKI体系的加密验证方式，具有很
安全性，这确保了网站的信息文件不可被复制和篡改，满足方案安全
强的
性需求。
第三，防复制方面，客户端设备在对网站信息文件进行真实性校验之后，
第四，在防DNS劫持方面，本发明的方案提供了较大的灵活性，网站管理
设备可以根据自己网站的安全性要求，选择是否增加IP地址校验或
校验两种方式。对使用了CDN加
用IP地址校验方式，可以
DNSSEC验证，客
查询，防止客
直接在
再根据网站域名、IP等信息进行二次校验，达到防复制验证的功能。
DNSSEC
速的网站，由于其IP地址动态变化，无法使
在DNS上配置DNSSEC，并在网站信息文件中增加
户端设备在验证DNS信息时会使用DNSSEC方式进行DNS
户端被DNS劫持。对政府类网站，使用了静态固定IP地址，则
网站信息文件中增加IP信息校验会更加容易和方便。
总之，本发明实施简单，安装方便，没有任何网络技术基础的用户，也可
比
以轻松完成标识的安装和更换。尤其是这种方式可以支持各种客户端设备，
如浏览器、手机浏览器、搜索引擎、聊天工具等，都可以通过现有
单实现，客户端设备在识别时也非常容易实现。做到了安全性
可辨识性高、兼容广泛等要求。
DNS记录简
强、安装简单、
当然，本发明还可有其他多种实施例，在不背离本发明精神及其实质的情
这
况下，熟悉本领域的技术人员可根据本发明做出各种相应的改变和变形，但
些相应的改变和变形都应属于本发明所附的权利要求的保护范围。
发布评论