[发明专利]一种客户端DNS缓存验证方法、系统、装置及介质

说明书

本发明公开了一种客户端DNS缓存验证方法、系统、装置及介质，系统包括客户端、服务器和查询器，方法包括：通过客户端获取用户主机的DNS缓存数据；由服务器将所述DNS缓存数据中的待验证域名信息发送至CDN合法IP地址库和查询器；通过DNS查询查询所述待验证域名信息的IP地址信息，生成查询结果；根据所述查询结果生成验证结果；根据验证结果生成报警提示。本发明保护客户端DNS缓存，保证任何时候客户端的DNS缓存都是正确的，进而保证客户端的DNS安全，当用户受到DNS欺骗、缓存投毒攻击时，本发明的系统能及时生成报警提示来警告用户，可广泛应用于计算机技术领域。

技术领域

本发明涉及计算机技术领域，尤其是一种客户端DNS缓存验证方法、系统、装置及介质。

背景技术

域名系统(DNS)是互联网重要基础服务，其主要功能是提供域名与IP地址的映射。几乎所有的互联网应用都需要DNS的支持，DNS安全是Internet安全的基础。但在DNS设计之初，研究人员并没考虑其安全问题，而是假定其运行在安全的环境之中。这使得使用DNS漏洞进行网络攻击的事件层出不穷，对互联网造成了严重的威胁。针对DNS的攻击主要包括：DNS欺骗、DNS缓存投毒、域名劫持和DDoS。

为了提升DNS系统的安全性，研究人员提出了多种方法，其中最为知名的是域名系统安全扩展(DNSSEC)，它对DNS消息进行签名，确保其完整性。DNSSEC只对递归解析器和DNS服务器之间的通信进行签名，而DNS客户端与递归解析器的通信不在DNSSEC的保护范围之内，因此它无法应对针对DNS客户端的攻击。为了解决DNS“最后一公里”的安全问题，即DNS客户端与递归解析器之间的通信安全，研究人员又提出了DNS over TLS(DoT)、DNS overHTTPS(DoH)等方法。但DoT、DoH无法应对针对DNS客户端的缓存投毒攻击，安全性不高。例如，Fatemah Alharbi等人在2019年INFOCOM国际旗舰会议上提出了一种针对客户端的DNS缓存投毒攻击方法，该方法可以绕过上述的DNS防御策略。

发明内容

有鉴于此，本发明实施例提供一种安全性高的客户端DNS缓存验证方法、系统、装置及介质。

本发明的第一方面提供了一种客户端DNS缓存验证方法，应用于客户端，包括：

获取用户主机的DNS缓存数据；

将所述DNS缓存数据发送至服务器；

接收所述服务器反馈的验证结果，生成报警提示；

其中，所述验证结果由所述服务器对所述DNS缓存数据进行验证生成。

在一些实施例中，所述方法还包括：

建立客户端与所述服务器之间的安全通道；

通过所述安全通道传输客户端与所述服务器之间的身份认证信息、加密消息以及数字签名；

所述将所述DNS缓存数据发送至服务器这一步骤，具体为：

通过所述安全通道将所述DNS缓存数据发送至服务器。

在一些实施例中，所述DNS缓存数据包括浏览器DNS缓存信息、hosts文件信息以及操作系统DNS缓存信息。

本发明的第二方面提供了一种客户端DNS缓存验证方法，应用于服务器，包括：

接收客户端发送的DNS缓存数据；

将所述DNS缓存数据中的待验证域名信息发送至查询器；

接收所述查询器反馈的查询结果；其中，所述查询结果由所述查询器根据所述待验证域名信息生成；

根据所述查询结果生成验证结果；

将所述验证结果反馈给所述客户端。