[发明专利]基于DHCP的DNS服务器公钥分发方法

说明书

本发明是一种基于DHCP服务的DNS服务器公钥分发方法，包括公钥的发送方式以及公钥的存储方式，本发明可用于解决DNS消息加密过程中密钥分发的问题，本发明提出的公钥分发技术可将DNS服务器的公钥装进DHCP消息的选项中，通过DHCP服务进行分发，公钥可以是在DHCP为用户配置IP地址时发给用户，也可以是在用户请求DNS服务器配置参数时，发送给用户；本方法适用于DHCP和DHCPv6场景。

技术领域

本发明属于互联网技术领域，特别涉及一种基于DHCP的DNS服务器公钥分发方法。

背景技术

DNS(Domain Name System，域名系统)，提供域名到地址相互映射，是用户访问互联网的关键服务之一。用户与DNS服务器之间通过发送DNS请求和回复消息，进行地址查询。然而，DNS消息中携带的域名信息会暴露用户的个人隐私。因此，为了防止攻击者对DNS消息的窃听，需要对DNS消息内容进行加密。

用户在发送DNS请求时，会先将请求消息发到本地的DNS服务器。本地DNS服务器先去询问根域名服务器，再一级级向下查询，直到得到查询结果返回给用户。本地DNS服务器发送DNS请求时使用的是自己的IP地址作为源地址，所以可以一定程度上隐藏实际的请求用户。用户与本地DNS服务器之间的通信使用的是用户自己的IP地址，同时它们之间的通信是不受域名缓存限制的，所以这段路径是攻击者窃听的理想目标。为了保护隐私，需要将用户与本地DNS服务器之间的DNS消息内容进行加密。这意味着用户与DNS服务器之间需要某种方式安全地共享加密和解密的密钥。

基于公钥体制的密钥分配是实现密钥安全发送的一种有效途径。假设通信双方为A和B，A通过一定方式获得B的公钥。然后A随机产生一个对称密钥k，并用B的公钥加密对称密钥K发送给B。B接收到加密的密钥后，用自己的私钥解密，得到密钥k。为了实现用户与DNS服务器之间的密钥分配，需要某种方式对DNS服务器的公钥进行分发，让用户能够得到。

如今很多时候用户主机上配置的本地DNS服务器地址都是由DHCP服务器下发的。这类DNS服务器一般都是由用户所在网络的ISP提供的。这为本发明提供了可行性基础。

发明内容

为了克服上述现有技术的缺点，本发明的目的在于提供一种基于DHCP的DNS服务器公钥分发方法，ISP为每一个DNS服务器配置唯一的公钥和私钥，将公钥记录存在DHCP服务器中；如果用户需要ISP为自己的DNS查询过程提供加密措施(增值业务)，ISP可以在通过DHCP给用户配置本地DNS服务器地址的时候将DNS服务器的公钥发给用户，用户用这个公钥实现对称密钥的安全发送，然后用对称密钥加密用户与DNS服务器之间的DNS通信。

为了实现上述目的，本发明采用的技术方案是：

基于DHCP的DNS服务器公钥分发方法，包括：

ISP为每一个DNS服务器配置唯一的公钥和私钥，私钥由各个DNS服务器自己保管，公钥均存放于DHCP服务器上；DHCP服务器上存有每一个DNS服务器的公钥记录。

DHCP服务器通过将包含DNS服务器公钥的公钥选项加在DHCP消息中发给用户，为用户配置DNS服务器的公钥。

公钥选项为一个用于发送DNS服务器公钥的DHCP选项。

其中，DHCP服务器中维护着一个DNS服务器IP地址/DNS服务器公钥的绑定表，在DHCP服务器为用户配置IP地址时将与DNS服务器IP地址绑定的公钥同时发给用户，或者，在用户请求DNS服务器配置参数时，DHCP服务器将与DNS服务器IP地址绑定的公钥发给用户。

用户主机上维护着DNS服务器IP地址/DNS服务器公钥/用于加密DNS消息的密钥的绑定表，用于区别不同DNS服务器的公钥，以及向不同DNS服务器发送DNS消息时使用的加密密钥。

在DHCP场景下：