本發(fā)明涉及網(wǎng)絡(luò)安全技術(shù)，尤其涉及一種域名系統(tǒng)安全擴展(Domain Name System Security Extensions，簡稱DNSSEC)簽名服務(wù)的熱備方法及系統(tǒng)，屬于計算機技術(shù)領(lǐng)域。

背景技術(shù)：

域名系統(tǒng)(Domain Name System，簡稱DNS)是因特網(wǎng)基礎(chǔ)結(jié)構(gòu)的一部分，是因特網(wǎng)上作為域名和互聯(lián)網(wǎng)協(xié)議(Internet Protocol，簡稱IP)地址相互映射的一個分布式數(shù)據(jù)庫，能夠使用戶更方便的訪問互聯(lián)網(wǎng)，而不用去記住能夠被機器直接讀取的IP數(shù)串。DNS允許用戶使用較容易記憶的域名(例如www.en.example.com)而不是數(shù)字IP地址(例如“123.4.56.78”)來訪問網(wǎng)站和其他資源，數(shù)字IP地址是軟件使用來與因特網(wǎng)上的計算機進(jìn)行通信的機器可讀地址。互聯(lián)網(wǎng)名稱與數(shù)字地址分配機構(gòu)(The Internet Corporation for Assigned Names and Numbers，簡稱ICANN)負(fù)責(zé)在全球范圍內(nèi)對DNS進(jìn)行協(xié)調(diào)，以確保所有地址都是唯一的。

然而，由于互聯(lián)網(wǎng)環(huán)境異常復(fù)雜，充斥著各種欺詐、攻擊，DNS協(xié)議的脆弱性也就浮出水面。攻擊者可以利用其脆弱性劫持使用域名在互聯(lián)網(wǎng)上搜尋某個站點的過程，例如使用戶進(jìn)入攻擊者自己設(shè)立的欺騙性網(wǎng)站，以便收集用戶的帳戶和密碼?？梢奃NS的最大缺陷是域名解析的請求者無法驗證它所收到的應(yīng)答信息的真實性。

DNSSEC是一套用于保護如IP網(wǎng)絡(luò)上使用的DNS所提供的特定類型信息的因特網(wǎng)工程任務(wù)組(Internet Engineering Task Force，簡稱IETF)規(guī)范，其為解析服務(wù)器供了防上當(dāng)受騙的武器，即一種可以驗證應(yīng)答信息真實性和完整性的機制。一般地，DNSSEC中提供的信息是經(jīng)過數(shù)字簽名的，以及通過檢查該數(shù)字簽名，DNS解析服務(wù)器能夠檢查該信息是否對應(yīng)于權(quán)威DNS服務(wù)器上的信息。權(quán)威DNS服務(wù)器使用私有密鑰，對所管理的DNS區(qū)的資源記錄進(jìn)行簽名，并發(fā)布公鑰到互聯(lián)網(wǎng)絡(luò)，DNS服務(wù)使用者可以使用公鑰對資 源記錄簽名進(jìn)行驗證，保證DNS資源記錄發(fā)布者的身份可信任。

開源DNSSEC(OpenDNSSEC)可以實現(xiàn)對所管理的DNS區(qū)的密鑰在線管理，并自動化完成所管理的DNS區(qū)的資源記錄簽名?，F(xiàn)有的OpenDNSSEC技術(shù)，一旦出現(xiàn)安裝DNSSEC軟件的宿主機故障，將會導(dǎo)致簽名數(shù)據(jù)丟失，無法保證密鑰管理服務(wù)及資源記錄簽名服務(wù)的高可用性。

技術(shù)實現(xiàn)要素：

本發(fā)明實施例提供一種DNSSEC簽名服務(wù)的熱備方法及系統(tǒng)，在極端情況下，依然可以保障DNSSEC服務(wù)可用，并保證DNSSEC數(shù)據(jù)的連續(xù)性和完整性，可以有效保證DNSSEC服務(wù)的高可用性。

本發(fā)明實施例提供的DNSSEC簽名服務(wù)的熱備方法，包括：監(jiān)控主DNSSEC服務(wù)器的工作狀態(tài)，若判斷主DNSSEC服務(wù)器發(fā)生故障，則啟動備DNSSEC服務(wù)器的密鑰生命周期管理進(jìn)程進(jìn)行DNS區(qū)的密鑰生命周期管理，其中，主DNSSEC服務(wù)器和備DNSSEC服務(wù)器中的簽名進(jìn)程的數(shù)據(jù)信息相同，并將備DNSSEC服務(wù)器切換設(shè)置為主服務(wù)器。

本發(fā)明實施例提供的DNSSEC簽名服務(wù)的熱備系統(tǒng)，包括：主DNSSEC服務(wù)器、備DNSSEC服務(wù)器和監(jiān)測模塊。其中，監(jiān)測模塊可以用于：監(jiān)控所述主DNSSEC服務(wù)器的工作狀態(tài)，若判斷主DNSSEC服務(wù)器發(fā)生故障，則啟動備DNSSEC服務(wù)器的密鑰生命周期管理進(jìn)程進(jìn)行DNS區(qū)的密鑰生命周期管理，其中主DNSSEC服務(wù)器和備DNSSEC服務(wù)器中的簽名進(jìn)程的數(shù)據(jù)信息保持一致，并將所述備DNSSEC服務(wù)器切換設(shè)置為主服務(wù)器。

基于上述，本發(fā)明實施例提供的DNSSEC簽名服務(wù)的熱備方法及系統(tǒng)，由于備DNSSEC服務(wù)器和主DNSSEC服務(wù)器的簽名進(jìn)程是保持?jǐn)?shù)據(jù)同步的，當(dāng)主DNSSEC服務(wù)器發(fā)生故障時，立即啟動備DNSSEC服務(wù)器的密鑰生命周期管理進(jìn)程，可以保證密鑰生命周期得到正常管理，而且簽名區(qū)數(shù)據(jù)不必重新生成，有效避免在主服務(wù)器故障的情況下，DNSSEC服務(wù)不可用時間過長，保證DNSSEC數(shù)據(jù)的連續(xù)性和完整性，可以有效保證DNSSEC服務(wù)的高可用性。

附圖說明

為了更清楚地說明本發(fā)明或現(xiàn)有技術(shù)中的技術(shù)方案，下面將對實施例或現(xiàn)有技術(shù)描述中所需要使用的附圖作一簡單地介紹，顯而易見地，下面描述中的附圖是本發(fā)明的一些實施例，對于本領(lǐng)域普通技術(shù)人員來講，在不付出創(chuàng)造性勞動的前提下，還可以根據(jù)這些附圖獲得其他的附圖。

圖1為本發(fā)明實施例提供的DNSSEC簽名服務(wù)的熱備方法流程圖；

圖2為OpenDNSSEC服務(wù)器的應(yīng)用示意圖；

圖3為本發(fā)明實施例提供的DNSSEC簽名服務(wù)的熱備系統(tǒng)示意圖；

圖4為DNSSEC服務(wù)的熱備系統(tǒng)的應(yīng)用示意圖。

具體實施方式

為使本發(fā)明實施例的目的、技術(shù)方案和優(yōu)點更加清楚，下面將結(jié)合本發(fā)明實施例中的附圖，對本發(fā)明實施例中的技術(shù)方案進(jìn)行清楚、完整地描述，顯然，所描述的實施例是本發(fā)明一部分實施例，而不是全部的實施例?；诒景l(fā)明中的實施例，本領(lǐng)域普通技術(shù)人員在沒有付出創(chuàng)造性勞動前提下所獲得的所有其他實施例，都屬于本發(fā)明保護的范圍。

本發(fā)明的實施例提供的技術(shù)方案，以允許大規(guī)模DNSSEC提供商，以有效和連貫的方式處理大量DNSSEC簽名數(shù)據(jù)。如上所述，DNSSEC被設(shè)計用來解決緩存中毒及一組其他DNS脆弱性，例如中間人攻擊和在權(quán)威服務(wù)器上的未授權(quán)數(shù)據(jù)變更。其主要目的是提供來源鑒別和DNS數(shù)據(jù)完整性保護。DNSSEC提供了DNS數(shù)據(jù)的核實機制但不是加密機制，DNSSEC服務(wù)器通過為其所管理的DNS區(qū)中的數(shù)據(jù)添加數(shù)字簽名信息，使得客戶端在得到應(yīng)答消息后，可以通過查詢驗證此簽名信息來判斷應(yīng)答信息的真實性。即DNSSEC允許可感知安全性的解析器來核實接收到的DNS區(qū)域數(shù)據(jù)由持有私鑰的區(qū)域管理員簽名。

圖1為本發(fā)明實施例提供的DNSSEC簽名服務(wù)的熱備方法流程圖，該方法可以通過監(jiān)測程序或控制裝置來實現(xiàn)。如圖1所示，本實施例提供的DNSSEC簽名服務(wù)的熱備方法包括如下步驟：

S10，監(jiān)控主DNSSEC服務(wù)器的工作狀態(tài)；

S20，判斷主DNSSEC服務(wù)器是否故障，若是，則執(zhí)行S30；若否，則繼 續(xù)執(zhí)行S10；

S30，啟動備DNSSEC服務(wù)器的密鑰生命周期管理進(jìn)程進(jìn)行DNS區(qū)的密鑰生命周期管理；

S40，將備DNSSEC服務(wù)器切換設(shè)置為主服務(wù)器。

在本實施例中，主DNSSEC服務(wù)器和備DNSSEC服務(wù)器以選用OpenDNSSEC服務(wù)器為最佳。為了更清楚地說明本發(fā)明的實施方案，本實施例將對OpenDNSSEC的簽名服務(wù)過程為進(jìn)行示例性的說明。

圖2為OpenDNSSEC服務(wù)器的應(yīng)用示意圖，如圖2所示，OpenDNSSEC服務(wù)器包括密鑰生命周期管理模塊E、數(shù)據(jù)簽名模塊S、第一節(jié)點B₁和第二節(jié)點B₂。其中，密鑰生命周期管理模塊E用于執(zhí)行密鑰生命周期管理進(jìn)程來實現(xiàn)對所管理的DNS區(qū)的密鑰生命周期管理，數(shù)據(jù)簽名模塊S、第一節(jié)點B₁和第二節(jié)點B₂用于執(zhí)行簽名進(jìn)程來實現(xiàn)對所管理的DNS區(qū)的資源記錄信息的簽名。

具體地，OpenDNSSEC服務(wù)器要對創(chuàng)建的DNS區(qū)進(jìn)行管理，一方面，OpenDNSSEC服務(wù)器執(zhí)行密鑰生命周期管理進(jìn)程來實現(xiàn)對所管理的DNS區(qū)的密鑰生命周期管理。示例性的，首先密鑰生命周期管理模塊E通過第一接口(pkcs#11)與硬件安全模塊(Hardware Security Module，簡稱HSM)進(jìn)行通信，請求HSM生成所管理的DNS區(qū)對應(yīng)的密鑰數(shù)據(jù)，該密鑰數(shù)據(jù)用于對相應(yīng)的DNS區(qū)的資源記錄信息進(jìn)行加密簽名。該密鑰數(shù)據(jù)包括密鑰標(biāo)識符和密鑰生命周期參數(shù)，OpenDNSSEC服務(wù)器的密鑰生命周期管理模塊E通過第一接口(pkcs#11)從HSM獲取DNS區(qū)對應(yīng)的密鑰數(shù)據(jù)的密鑰標(biāo)識符和密鑰生命周期參數(shù)，并執(zhí)行密鑰生命周期管理進(jìn)程對相應(yīng)的密鑰數(shù)據(jù)的生命周期進(jìn)行管理。當(dāng)某一DNS區(qū)的密鑰數(shù)據(jù)到期時，密鑰生命周期管理模塊E就會刪除該DNS區(qū)對應(yīng)的密鑰數(shù)據(jù)的密鑰標(biāo)識符和密鑰生命周期參數(shù)，同時通過第一接口(pkcs#11)指示HSM刪除該DNS區(qū)對應(yīng)的密鑰數(shù)據(jù)。

另一方面，OpenDNSSEC服務(wù)器執(zhí)行簽名進(jìn)程實現(xiàn)對所管理的DNS區(qū)的資源記錄信息的簽名。示例性的，OpenDNSSEC服務(wù)器的第一節(jié)點B₁獲取域名注冊數(shù)據(jù)庫(Extensible Provisioning Protocol Data Base，簡稱EPPDB)中第一DNS區(qū)的初始資源記錄信息并下發(fā)給簽名模塊S，簽名模塊S通過第 一接口(pkcs#11)與HSM進(jìn)行通信，HSM根據(jù)第一DNS區(qū)的初始資源記錄信息查找第一DNS區(qū)對應(yīng)的密鑰數(shù)據(jù)。如果HSM中存在第一DNS區(qū)對應(yīng)的密鑰數(shù)據(jù)時，HSM利用該密鑰數(shù)據(jù)對第一DNS區(qū)的初始資源記錄信息進(jìn)行加密簽名，并將簽名后的資源記錄信息發(fā)送至簽名模塊S，簽名模塊S再將簽名后的第一DNS區(qū)的資源記錄信息下發(fā)至第二節(jié)點B₂，再通過第二節(jié)點B₂發(fā)送給下一級服務(wù)器。如果HSM中不存在第一DNS區(qū)對應(yīng)的密鑰數(shù)據(jù)時，HSM對第一DNS區(qū)的初始資源記錄信息進(jìn)行加密簽名并根據(jù)該加密簽名運算生成第一DNS區(qū)對應(yīng)的新的密鑰數(shù)據(jù)，再將第一DNS區(qū)對應(yīng)的新的密鑰數(shù)據(jù)的密鑰標(biāo)識符和密鑰生命周期參數(shù)發(fā)送至OpenDNSSEC服務(wù)器的密鑰生命周期管理模塊E，以便可以對第一DNS區(qū)對應(yīng)的新的密鑰數(shù)據(jù)的生命周期狀態(tài)進(jìn)行管理。

本實施例提供的DNSSEC簽名服務(wù)的熱備方法在同一級DNSSEC服務(wù)中設(shè)置兩個DNSSEC服務(wù)器，例如兩個OpenDNSSEC服務(wù)器。在運行過程中，其中一個DNSSEC服務(wù)器作為主服務(wù)器，另一個DNSSEC服務(wù)器作為備用服務(wù)器。在主、備服務(wù)器均正常的狀態(tài)下，可以控制主DNSSEC服務(wù)器和備DNSSEC服務(wù)器的簽名進(jìn)程均處于啟動狀態(tài)，同時控制主DNSSEC服務(wù)器的密鑰生命周期管理進(jìn)程處于啟動狀態(tài)，而備DNSSEC服務(wù)器的密鑰生命周期管理進(jìn)程處于非啟動狀態(tài)。這樣可以保持所管理的DNS區(qū)的資源記錄信息可以通過主、備兩條通路都能正常生成簽名數(shù)據(jù)，同時避免了密鑰生命周期管理發(fā)生沖突。

進(jìn)一步的，可以使用監(jiān)控程序來監(jiān)控主DNSSEC服務(wù)器的工作狀態(tài)，當(dāng)監(jiān)測到主DNSSEC服務(wù)器發(fā)生故障時，立即啟動備DNSSEC服務(wù)器的密鑰生命周期管理進(jìn)程，保證所管理的DNS區(qū)的密鑰數(shù)據(jù)的生命周期得到正常管理，保證DNSSEC簽名服務(wù)的連續(xù)性。

需要說明的是，在主、備兩條通路都能正常生成簽名數(shù)據(jù)的前提下，會默認(rèn)只將主服務(wù)器的簽名數(shù)據(jù)下發(fā)給權(quán)威DNS服務(wù)器。因此，當(dāng)監(jiān)測到主DNSSEC服務(wù)器發(fā)生故障時，立即啟動備DNSSEC服務(wù)器的密鑰生命周期管理進(jìn)程后，還應(yīng)該將備DNSSEC服務(wù)器切換設(shè)置為主服務(wù)器，以便可以通過備DNSSEC服務(wù)器將簽名數(shù)據(jù)下發(fā)給權(quán)威DNS服務(wù)器。

作為一種可選的實施方式，可以在將備DNSSEC服務(wù)器切換設(shè)置為主服務(wù)器之后，監(jiān)控該備DNSSEC服務(wù)器的工作狀態(tài)，以便在該備DNSSEC服務(wù)器也出現(xiàn)故障時，可以及時采取相關(guān)措施來保障DNSSEC簽名服務(wù)的連續(xù)性和可靠性。

作為另一種可選的實施方式，還可以在將備DNSSEC服務(wù)器切換設(shè)置為主服務(wù)器之后，同時監(jiān)控主DNSSEC服務(wù)器和備DNSSEC服務(wù)器的工作狀態(tài)，當(dāng)監(jiān)測到主DNSSEC服務(wù)器恢復(fù)正常時，再次將主DNSSEC服務(wù)器切換設(shè)置為主服務(wù)器。

如上所述，本實施例提供的技術(shù)方案，以允許大規(guī)模DNSSEC提供商，以有效和連貫的方式處理大量DNSSEC簽名數(shù)據(jù)。為了提高DNSSEC簽名服務(wù)的效率，加快資源記錄信息的加密簽名運算過程，在具體實施過程中，較佳的，可以利用HSM集群來生成所管理的DNS區(qū)對應(yīng)的密鑰數(shù)據(jù)。相應(yīng)的，主DNSSEC服務(wù)器和備DNSSEC服務(wù)器可以與HSM集群進(jìn)行通信實現(xiàn)所管理的DNS區(qū)的資源記錄加密簽名。

進(jìn)一步的，作為一種較佳的實施方式，在具體實施過程中，還可以利用關(guān)聯(lián)數(shù)據(jù)庫管理系統(tǒng)(MySQL)集群來保存所述密鑰標(biāo)識符和密鑰生命周期參數(shù)。

示例性的，在具體實施過程中，作為一種可能的實現(xiàn)方式，在主、備服務(wù)器均正常的狀態(tài)下，啟動主DNSSEC服務(wù)器和備DNSSEC服務(wù)器的簽名進(jìn)程進(jìn)行所管理的DNS區(qū)的資源記錄簽名的過程可以包括如下步驟：

步驟1，指示主DNSSEC服務(wù)器和備DNSSEC服務(wù)器的簽名進(jìn)程從域名注冊數(shù)據(jù)庫中獲取第一DNS區(qū)的初始資源記錄；

步驟2，指示主DNSSEC服務(wù)器和備DNSSEC服務(wù)器的簽名進(jìn)程與MySQL集群進(jìn)行通信，獲取所述第一DNS區(qū)對應(yīng)的密鑰標(biāo)識符；

步驟3，指示主DNSSEC服務(wù)器和備DNSSEC服務(wù)器的簽名進(jìn)程與HSM集群進(jìn)行通信，獲取HSM集群根據(jù)所述第一DNS區(qū)對應(yīng)的密鑰標(biāo)識符對所述第一DNS區(qū)的初始資源記錄進(jìn)行加密簽名后的簽名數(shù)據(jù)；

步驟4，指示主DNSSEC服務(wù)器的簽名進(jìn)程將簽名數(shù)據(jù)下發(fā)給權(quán)威DNS服務(wù)器。

基于圖2所示的OpenDNSSEC服務(wù)器的應(yīng)用過程，可以理解的是，在啟動主DNSSEC服務(wù)器和備DNSSEC服務(wù)器的簽名進(jìn)程進(jìn)行DNS區(qū)的資源記錄簽名之前，還可以指示主DNSSEC服務(wù)器的密鑰生命周期管理進(jìn)程與HSM集群通信，以使HSM集群生成所管理的DNS區(qū)對應(yīng)的密鑰數(shù)據(jù)，該密鑰數(shù)據(jù)包括密鑰標(biāo)識符和密鑰生命周期參數(shù)，其中，第一DNS區(qū)為所管理的DNS區(qū)中的一個。并指示主DNSSEC服務(wù)器的密鑰生命周期管理進(jìn)程將所管理的DNS區(qū)對應(yīng)的密鑰數(shù)據(jù)的密鑰標(biāo)識符和密鑰生命周期參數(shù)保存至MySQL集群。

作為另一種可能的實現(xiàn)方式，在主、備服務(wù)器均正常的狀態(tài)下，啟動主DNSSEC服務(wù)器和備DNSSEC服務(wù)器的簽名進(jìn)程進(jìn)行所管理的DNS區(qū)的資源記錄簽名的過程也可以包括如下步驟：

步驟1，指示主DNSSEC服務(wù)器和備DNSSEC服務(wù)器的簽名進(jìn)程從域名注冊數(shù)據(jù)庫中獲取第一DNS區(qū)的初始資源記錄；

步驟2，指示主DNSSEC服務(wù)器和備DNSSEC服務(wù)器的簽名進(jìn)程與MySQL集群進(jìn)行通信，確定第一DNS區(qū)對應(yīng)的密鑰標(biāo)識符已被刪除；

步驟3，指示主DNSSEC服務(wù)器和備DNSSEC服務(wù)器的簽名進(jìn)程與HSM集群進(jìn)行通信，以使HSM集群對第一DNS區(qū)的初始資源記錄進(jìn)行加密簽名，生成簽名數(shù)據(jù)以及第一DNS區(qū)對應(yīng)的新的密鑰數(shù)據(jù)，該新的密鑰數(shù)據(jù)包括密鑰標(biāo)識符和密鑰生命周期參數(shù)；

步驟4，指示主DNSSEC服務(wù)器的簽名進(jìn)程將簽名數(shù)據(jù)下發(fā)給權(quán)威DNS服務(wù)器。

同樣的，基于圖2所示的OpenDNSSEC服務(wù)器的應(yīng)用過程，可以理解的是，在HSM集群對第一DNS區(qū)的初始資源記錄進(jìn)行加密簽名，生成簽名數(shù)據(jù)以及第一DNS區(qū)對應(yīng)的新的密鑰數(shù)據(jù)之后，還可以指示主DNSSEC服務(wù)器的密鑰生命周期管理進(jìn)程將新的密鑰數(shù)據(jù)的密鑰標(biāo)識符和密鑰生命周期參數(shù)保存至所述MySQL集群中。

另外，基于圖2所示的OpenDNSSEC服務(wù)器的應(yīng)用過程，還可以理解的是，在具體實施過程中，在主、備服務(wù)器均正常的狀態(tài)下，啟動主DNSSEC服務(wù)器的密鑰生命周期管理進(jìn)程進(jìn)行所管理的DNS區(qū)的密鑰生命周期管理的過程可以包括如下步驟：

步驟1，指示主DNSSEC服務(wù)器的密鑰生命周期管理進(jìn)程監(jiān)控所管理的DNS區(qū)對應(yīng)的密鑰數(shù)據(jù)的生命周期狀態(tài)；

步驟2，當(dāng)判斷某一DNS區(qū)對應(yīng)的密鑰數(shù)據(jù)已到期，則刪除HSM集群中該DNS區(qū)對應(yīng)的密鑰數(shù)據(jù)和MySQL集群中該DNS區(qū)對應(yīng)的密鑰標(biāo)識符及密鑰生命周期參數(shù)。

本實施例提供的DNSSEC簽名服務(wù)的熱備方法及系統(tǒng)，由于備DNSSEC服務(wù)器和主DNSSEC服務(wù)器的簽名進(jìn)程是保持?jǐn)?shù)據(jù)同步的，當(dāng)主DNSSEC服務(wù)器發(fā)生故障時，立即啟動備DNSSEC服務(wù)器的密鑰生命周期管理進(jìn)程，可以保證密鑰生命周期得到正常管理，而且簽名區(qū)數(shù)據(jù)不必重新生成，有效避免在主服務(wù)器故障的情況下，DNSSEC服務(wù)不可用時間過長，保證DNSSEC數(shù)據(jù)的連續(xù)性和完整性，可以有效保證DNSSEC服務(wù)的高可用性。

圖3為本發(fā)明實施例提供的DNSSEC簽名服務(wù)的熱備系統(tǒng)示意圖，本實施例提供的DNSSEC簽名服務(wù)的熱備系統(tǒng)可以用來實現(xiàn)本發(fā)明圖1所示實施例提供的DNSSEC簽名服務(wù)的熱備方法。如圖3所示，該DNSSEC簽名服務(wù)的熱備系統(tǒng)包括：主DNSSEC服務(wù)器M₁、備DNSSEC服務(wù)器M₂和監(jiān)測模塊A。

其中，主DNSSEC服務(wù)器M₁和備DNSSEC服務(wù)器M₂分別包括密鑰生命周期管理模塊(E₁、E₂)、數(shù)據(jù)簽名模塊(S₁、S₂)、第一節(jié)點(B₁₁、B₂₁)和第二節(jié)點(B₁₂、B₂₂)。密鑰生命周期管理模塊可以用于執(zhí)行密鑰生命周期管理進(jìn)程，數(shù)據(jù)簽名模塊、第一節(jié)點和第二節(jié)點可以用于執(zhí)行簽名進(jìn)程。

具體的，監(jiān)測模塊A可以用于：監(jiān)控主DNSSEC服務(wù)器的工作狀態(tài)；若判斷主DNSSEC服務(wù)器發(fā)生故障，則啟動備DNSSEC服務(wù)器的密鑰生命周期管理進(jìn)程進(jìn)行DNS區(qū)的密鑰生命周期管理，其中，主DNSSEC服務(wù)器和備DNSSEC服務(wù)器中的簽名進(jìn)程的數(shù)據(jù)信息保持一致；將備DNSSEC服務(wù)器切換設(shè)置為主服務(wù)器。

在實際應(yīng)用中，監(jiān)測模塊A還可以用于：啟動主DNSSEC服務(wù)器和備DNSSEC服務(wù)器的簽名進(jìn)程進(jìn)行DNS區(qū)的資源記錄簽名；啟動主DNSSEC服務(wù)器的密鑰生命周期管理進(jìn)程進(jìn)行DNS區(qū)的密鑰生命周期管理。

為了更清楚地說明本發(fā)明的實施方案，可以參照圖4所示的DNSSEC服務(wù)的熱備系統(tǒng)的應(yīng)用示意圖進(jìn)行示例性說明。如圖4所示，主DNSSEC服務(wù) 器和備DNSSEC服務(wù)器分別包括密鑰生命周期管理模塊(E₁、E₂)、數(shù)據(jù)簽名模塊(S₁、S₂)、第一節(jié)點(B₁₁、B₂₁)和第二節(jié)點(B₁₂、B₂₂)。密鑰生命周期管理模塊可以用于執(zhí)行密鑰生命周期管理進(jìn)程，數(shù)據(jù)簽名模塊、第一節(jié)點和第二節(jié)點可以用于執(zhí)行簽名進(jìn)程。具體的密鑰生命周期管理進(jìn)程和簽名進(jìn)程的執(zhí)行過程，可以參照圖2所示的OpenDNSSEC服務(wù)器的應(yīng)用過程，此處不再贅述。

作為一種較佳的實施方式，本實施例提供的DNSSEC簽名服務(wù)的熱備系統(tǒng)還可以包括HSM集群和MySQL集群。

作為一種可能的實施方式，監(jiān)測模塊A具體可以用于：指示主DNSSEC服務(wù)器和備DNSSEC服務(wù)器的簽名進(jìn)程從域名注冊數(shù)據(jù)庫EPPDB中獲取第一DNS區(qū)的初始資源記錄；指示主DNSSEC服務(wù)器和備DNSSEC服務(wù)器的簽名進(jìn)程與MySQL集群進(jìn)行通信，獲取第一DNS區(qū)對應(yīng)的密鑰標(biāo)識符；指示主DNSSEC服務(wù)器和備DNSSEC服務(wù)器的簽名進(jìn)程與HSM集群進(jìn)行通信，獲取HSM集群根據(jù)第一DNS區(qū)對應(yīng)的密鑰標(biāo)識符對第一DNS區(qū)的初始資源記錄進(jìn)行加密簽名后的簽名數(shù)據(jù)；指示主DNSSEC服務(wù)器的簽名進(jìn)程將所述簽名數(shù)據(jù)下發(fā)給權(quán)威DNS服務(wù)器。

進(jìn)一步的，可以理解的是，監(jiān)測模塊A具體還可以用于：指示主DNSSEC服務(wù)器的密鑰生命周期管理進(jìn)程與HSM集群通信，以使HSM集群生成至少一個DNS區(qū)對應(yīng)的密鑰數(shù)據(jù)，該密鑰數(shù)據(jù)包括密鑰標(biāo)識符和密鑰生命周期參數(shù)，其中，至少一個DNS區(qū)也就是該熱備系統(tǒng)所管理的DNS區(qū)，其包括上述的第一DNS區(qū)；指示主DNSSEC服務(wù)器的密鑰生命周期管理進(jìn)程將密鑰標(biāo)識符和密鑰生命周期參數(shù)保存至MySQL集群。

作為另一種可能的實施方式，監(jiān)測模塊A具體可以用于：指示主DNSSEC服務(wù)器和備DNSSEC服務(wù)器的簽名進(jìn)程從域名注冊數(shù)據(jù)庫中獲取第一DNS區(qū)的初始資源記錄；指示主DNSSEC服務(wù)器和備DNSSEC服務(wù)器的簽名進(jìn)程與MySQL集群進(jìn)行通信，確定第一DNS區(qū)對應(yīng)的密鑰標(biāo)識符已被刪除；指示主DNSSEC服務(wù)器和備DNSSEC服務(wù)器的簽名進(jìn)程與HSM集群進(jìn)行通信，以使HSM集群對第一DNS區(qū)的初始資源記錄進(jìn)行加密簽名，生成簽名數(shù)據(jù)以及第一DNS區(qū)對應(yīng)的新的密鑰數(shù)據(jù)，該新的密鑰數(shù)據(jù)包括密鑰標(biāo)識符和密鑰生命周期參數(shù)；指示主DNSSEC服務(wù)器的簽名進(jìn)程將簽名數(shù)據(jù)下發(fā)給權(quán)威 DNS服務(wù)器。

進(jìn)一步的，可以理解的是，監(jiān)測模塊A具體還可以用于：指示主DNSSEC服務(wù)器的密鑰生命周期管理進(jìn)程將上述新的密鑰數(shù)據(jù)得密鑰標(biāo)識符和密鑰生命周期參數(shù)保存至所述MySQL集群。

另外，可以理解的是，在實際應(yīng)用中，監(jiān)測模塊A具體還可以用于：指示主DNSSEC服務(wù)器的密鑰生命周期管理進(jìn)程監(jiān)控第一DNS區(qū)對應(yīng)的密鑰數(shù)據(jù)的生命周期狀態(tài)；若判斷第一DNS區(qū)對應(yīng)的密鑰數(shù)據(jù)已到期，則刪除HSM集群中第一DNS區(qū)對應(yīng)的密鑰數(shù)據(jù)和MySQL集群中第一DNS區(qū)對應(yīng)的密鑰標(biāo)識符及密鑰生命周期參數(shù)。

本實施例提供的DNSSEC簽名服務(wù)的熱備系統(tǒng)，可以用來實現(xiàn)本發(fā)明圖1所示實施例提供的數(shù)據(jù)處理方法，其實現(xiàn)原理和技術(shù)效果類似，此處不再贅述。

本領(lǐng)域普通技術(shù)人員可以理解：實現(xiàn)上述各方法實施例的全部或部分步驟可以通過程序指令相關(guān)的硬件來完成。前述的程序可以存儲于一計算機可讀取存儲介質(zhì)中。該程序在執(zhí)行時，執(zhí)行包括上述各方法實施例的步驟；而前述的存儲介質(zhì)包括：ROM、RAM、磁碟或者光盤等各種可以存儲程序代碼的介質(zhì)。

最后應(yīng)說明的是：以上各實施例僅用以說明本發(fā)明的技術(shù)方案，而非對其限制；盡管參照前述各實施例對本發(fā)明進(jìn)行了詳細(xì)的說明，本領(lǐng)域的普通技術(shù)人員應(yīng)當(dāng)理解：其依然可以對前述各實施例所記載的技術(shù)方案進(jìn)行修改，或者對其中部分或者全部技術(shù)特征進(jìn)行等同替換；而這些修改或者替換，并不使相應(yīng)技術(shù)方案的本質(zhì)脫離本發(fā)明各實施例技術(shù)方案的范圍。