[发明专利]用于预签名DNSSEC启用区域至记录集中的系统和方法

说明书

优先权

要求2013年3月15日提交的、标题为“Systems and Methods for Pre-Signing of DNSSEC Enabled Zones into Record Sets”、序号61／800,405的美国临时专利申请的优先权，其内容通过引用被明确地合并到本文中。

技术领域

本教导涉及用于预签名DNSSEC启用区域至记录集中的系统和方法，并且更具体地，涉及用于基于DNS系统策略管理从具有预签名的密钥签名数据的域名系统中生成回答的平台和技术。

背景技术

在用于在互联网和其它网络上定位网站和其它资源的域名系统(DNS)的发展中，安全性问题随时间占据增加的重要性。响应于发展安全性需要，行业中的组织已对基线DNS协议提出和开发了扩展以允许在DNS服务的传递中引进安全性措施。一般来说这些已知的标准被称为具有安全性扩展的DNS，或DNSSEC。

具体来说，需求本身已呈现为允许用户运行网络浏览器或其它软件以保证当试图导航至已知的通用资源定位器(URL)时传递给它们的互联网协议(IP)地址是真的，并且表示它们正试图访问的网站。由于缓存中毒或对DNS服务器的其它攻击，伪IP地址可能被传递给不知情的用户，DNS服务器用于取出和供应给定域名的IP地址或由DNS系统提供的其它回答。

在网站布署方面，现在许多网站由许多分层区段或分区组成，其中每个都有不同的扩展域名。例如，涉及体育新闻的网站可以具有根等级诸如SportsPage.com，并且此外许多区段或“区域”致力于单独的体育活动。那些标题可能反映在域(诸如Golf.SportsPage.com、Soccer.SportsPage.com等等)中。

在SportsPage.com内导航的用户可以向支持网站的DNS系统提供一个或多个问题或请求，诸如IP地址，或其它信息。对用户问题的回答可以从网站内的各个区域内生成。为了确保用户收到一个有效的回答，DNSSEC启用域要求用使用公／私密钥信息生成的签名来签名的一系列消息。尽管DNSSEC协议因此供应认证服务给通过网络属性导航的用户，但因为域的区域的深度和分层链接变得更加复杂，DNS系统的处理和带宽资源上的负担变大。那个负担会即减小DNS响应性。

此外，对于希望施加灵活的DNS策略同时使用DNSSEC布置的网站所有者，事情可能进一步复杂。也就是说，部署了具有许多区域的相对丰富的网站的运营商可能希望对个体请求者施加规则以便基于用户的位置、日时、服务器负载、和／或基于其它因素，它们的DNS查找或回答被指向不同的服务器、和／或域的区域。识别关于用户的信息，施加恰当的策略，并且然后生成将允许它们的具体回答被认证的必要签名，同样可能招致性能以及对系统响应性的用户感知方面的损失。

可能需要提供用于预签名DNSSEC启用区域至记录集中的方法和系统，其中域名系统可以从域名所有者处接收任意策略集，将那些策略转换为预生成的签名回答集或其它区域文件，并基于所存储的资源记录将签名回答而不是必须按需生成和／或签名的回答传输至用户。

发明内容

依照本发明的一个实施例，提供了管理域名系统操作的方法，该方法包括：

使用具有安全性扩展的域名系统(DNSSEC)访问用于域名系统(DNS)操作的策略集；

基于该策略集，生成对与区域的域名集相关的问题的回答集；

根据该回答集和密钥数据集生成签名回答集；

将该签名回答集存储在区域文件中；

从解析器接收问题；以及

基于从解析器接收的问题以及该策略集取出签名回答以传输给解析器。

该方法还包括升级该策略集。

该方法还包括基于该升级的策略集升级该回答集。

依照本发明的另一个实施例，一种系统包括：

至解析器的网络接口，传输与区域的域名集相关的问题，该域名在具有安全性扩展的域系统(DNSSEC)下操作；以及

处理器，经由该网络接口与该解析器通信，该处理器被配置为：

访问用于域名系统(DNS)操作的策略集，

基于该策略集，生成对与域名的区域集相关的问题的回答集，

根据该回答集和密钥数据集生成签名回答集，

将该签名回答集存储在区域文件中，

从解析器接收该问题，以及

基于该问题和该策略集取出签名回答以传输给解析器。