本發(fā)明涉及網(wǎng)絡(luò)安全技術(shù)，尤其涉及一種域名系統(tǒng)安全擴(kuò)展(Domain Name System Security Extensions，簡(jiǎn)稱(chēng)DNSSEC)簽名服務(wù)的熱備方法及系統(tǒng)，屬于計(jì)算機(jī)技術(shù)領(lǐng)域。

背景技術(shù)：

域名系統(tǒng)(Domain Name System，簡(jiǎn)稱(chēng)DNS)是因特網(wǎng)基礎(chǔ)結(jié)構(gòu)的一部分，是因特網(wǎng)上作為域名和互聯(lián)網(wǎng)協(xié)議(Internet Protocol，簡(jiǎn)稱(chēng)IP)地址相互映射的一個(gè)分布式數(shù)據(jù)庫(kù)，能夠使用戶更方便的訪問(wèn)互聯(lián)網(wǎng)，而不用去記住能夠被機(jī)器直接讀取的IP數(shù)串。DNS允許用戶使用較容易記憶的域名(例如www.en.example.com)而不是數(shù)字IP地址(例如“123.4.56.78”)來(lái)訪問(wèn)網(wǎng)站和其他資源，數(shù)字IP地址是軟件使用來(lái)與因特網(wǎng)上的計(jì)算機(jī)進(jìn)行通信的機(jī)器可讀地址?；ヂ?lián)網(wǎng)名稱(chēng)與數(shù)字地址分配機(jī)構(gòu)(The Internet Corporation for Assigned Names and Numbers，簡(jiǎn)稱(chēng)ICANN)負(fù)責(zé)在全球范圍內(nèi)對(duì)DNS進(jìn)行協(xié)調(diào)，以確保所有地址都是唯一的。

然而，由于互聯(lián)網(wǎng)環(huán)境異常復(fù)雜，充斥著各種欺詐、攻擊，DNS協(xié)議的脆弱性也就浮出水面。攻擊者可以利用其脆弱性劫持使用域名在互聯(lián)網(wǎng)上搜尋某個(gè)站點(diǎn)的過(guò)程，例如使用戶進(jìn)入攻擊者自己設(shè)立的欺騙性網(wǎng)站，以便收集用戶的帳戶和密碼?？梢?jiàn)DNS的最大缺陷是域名解析的請(qǐng)求者無(wú)法驗(yàn)證它所收到的應(yīng)答信息的真實(shí)性。

DNSSEC是一套用于保護(hù)如IP網(wǎng)絡(luò)上使用的DNS所提供的特定類(lèi)型信息的因特網(wǎng)工程任務(wù)組(Internet Engineering Task Force，簡(jiǎn)稱(chēng)IETF)規(guī)范，其為解析服務(wù)器供了防上當(dāng)受騙的武器，即一種可以驗(yàn)證應(yīng)答信息真實(shí)性和完整性的機(jī)制。一般地，DNSSEC中提供的信息是經(jīng)過(guò)數(shù)字簽名的，以及通過(guò)檢查該數(shù)字簽名，DNS解析服務(wù)器能夠檢查該信息是否對(duì)應(yīng)于權(quán)威DNS服務(wù)器上的信息。權(quán)威DNS服務(wù)器使用私有密鑰，對(duì)所管理的DNS區(qū)的資源記錄進(jìn)行簽名，并發(fā)布公鑰到互聯(lián)網(wǎng)絡(luò)，DNS服務(wù)使用者可以使用公鑰對(duì)資 源記錄簽名進(jìn)行驗(yàn)證，保證DNS資源記錄發(fā)布者的身份可信任。

開(kāi)源DNSSEC(OpenDNSSEC)可以實(shí)現(xiàn)對(duì)所管理的DNS區(qū)的密鑰在線管理，并自動(dòng)化完成所管理的DNS區(qū)的資源記錄簽名?，F(xiàn)有的OpenDNSSEC技術(shù)，一旦出現(xiàn)安裝DNSSEC軟件的宿主機(jī)故障，將會(huì)導(dǎo)致簽名數(shù)據(jù)丟失，無(wú)法保證密鑰管理服務(wù)及資源記錄簽名服務(wù)的高可用性。

技術(shù)實(shí)現(xiàn)要素：

本發(fā)明實(shí)施例提供一種DNSSEC簽名服務(wù)的熱備方法及系統(tǒng)，在極端情況下，依然可以保障DNSSEC服務(wù)可用，并保證DNSSEC數(shù)據(jù)的連續(xù)性和完整性，可以有效保證DNSSEC服務(wù)的高可用性。

本發(fā)明實(shí)施例提供的DNSSEC簽名服務(wù)的熱備方法，包括：監(jiān)控主DNSSEC服務(wù)器的工作狀態(tài)，若判斷主DNSSEC服務(wù)器發(fā)生故障，則啟動(dòng)備DNSSEC服務(wù)器的密鑰生命周期管理進(jìn)程進(jìn)行DNS區(qū)的密鑰生命周期管理，其中，主DNSSEC服務(wù)器和備DNSSEC服務(wù)器中的簽名進(jìn)程的數(shù)據(jù)信息相同，并將備DNSSEC服務(wù)器切換設(shè)置為主服務(wù)器。

本發(fā)明實(shí)施例提供的DNSSEC簽名服務(wù)的熱備系統(tǒng)，包括：主DNSSEC服務(wù)器、備DNSSEC服務(wù)器和監(jiān)測(cè)模塊。其中，監(jiān)測(cè)模塊可以用于：監(jiān)控所述主DNSSEC服務(wù)器的工作狀態(tài)，若判斷主DNSSEC服務(wù)器發(fā)生故障，則啟動(dòng)備DNSSEC服務(wù)器的密鑰生命周期管理進(jìn)程進(jìn)行DNS區(qū)的密鑰生命周期管理，其中主DNSSEC服務(wù)器和備DNSSEC服務(wù)器中的簽名進(jìn)程的數(shù)據(jù)信息保持一致，并將所述備DNSSEC服務(wù)器切換設(shè)置為主服務(wù)器。

基于上述，本發(fā)明實(shí)施例提供的DNSSEC簽名服務(wù)的熱備方法及系統(tǒng)，由于備DNSSEC服務(wù)器和主DNSSEC服務(wù)器的簽名進(jìn)程是保持?jǐn)?shù)據(jù)同步的，當(dāng)主DNSSEC服務(wù)器發(fā)生故障時(shí)，立即啟動(dòng)備DNSSEC服務(wù)器的密鑰生命周期管理進(jìn)程，可以保證密鑰生命周期得到正常管理，而且簽名區(qū)數(shù)據(jù)不必重新生成，有效避免在主服務(wù)器故障的情況下，DNSSEC服務(wù)不可用時(shí)間過(guò)長(zhǎng)，保證DNSSEC數(shù)據(jù)的連續(xù)性和完整性，可以有效保證DNSSEC服務(wù)的高可用性。

附圖說(shuō)明

為了更清楚地說(shuō)明本發(fā)明或現(xiàn)有技術(shù)中的技術(shù)方案，下面將對(duì)實(shí)施例或現(xiàn)有技術(shù)描述中所需要使用的附圖作一簡(jiǎn)單地介紹，顯而易見(jiàn)地，下面描述中的附圖是本發(fā)明的一些實(shí)施例，對(duì)于本領(lǐng)域普通技術(shù)人員來(lái)講，在不付出創(chuàng)造性勞動(dòng)的前提下，還可以根據(jù)這些附圖獲得其他的附圖。

圖1為本發(fā)明實(shí)施例提供的DNSSEC簽名服務(wù)的熱備方法流程圖；

圖2為OpenDNSSEC服務(wù)器的應(yīng)用示意圖；

圖3為本發(fā)明實(shí)施例提供的DNSSEC簽名服務(wù)的熱備系統(tǒng)示意圖；

圖4為DNSSEC服務(wù)的熱備系統(tǒng)的應(yīng)用示意圖。

具體實(shí)施方式

為使本發(fā)明實(shí)施例的目的、技術(shù)方案和優(yōu)點(diǎn)更加清楚，下面將結(jié)合本發(fā)明實(shí)施例中的附圖，對(duì)本發(fā)明實(shí)施例中的技術(shù)方案進(jìn)行清楚、完整地描述，顯然，所描述的實(shí)施例是本發(fā)明一部分實(shí)施例，而不是全部的實(shí)施例。基于本發(fā)明中的實(shí)施例，本領(lǐng)域普通技術(shù)人員在沒(méi)有付出創(chuàng)造性勞動(dòng)前提下所獲得的所有其他實(shí)施例，都屬于本發(fā)明保護(hù)的范圍。

本發(fā)明的實(shí)施例提供的技術(shù)方案，以允許大規(guī)模DNSSEC提供商，以有效和連貫的方式處理大量DNSSEC簽名數(shù)據(jù)。如上所述，DNSSEC被設(shè)計(jì)用來(lái)解決緩存中毒及一組其他DNS脆弱性，例如中間人攻擊和在權(quán)威服務(wù)器上的未授權(quán)數(shù)據(jù)變更。其主要目的是提供來(lái)源鑒別和DNS數(shù)據(jù)完整性保護(hù)。DNSSEC提供了DNS數(shù)據(jù)的核實(shí)機(jī)制但不是加密機(jī)制，DNSSEC服務(wù)器通過(guò)為其所管理的DNS區(qū)中的數(shù)據(jù)添加數(shù)字簽名信息，使得客戶端在得到應(yīng)答消息后，可以通過(guò)查詢驗(yàn)證此簽名信息來(lái)判斷應(yīng)答信息的真實(shí)性。即DNSSEC允許可感知安全性的解析器來(lái)核實(shí)接收到的DNS區(qū)域數(shù)據(jù)由持有私鑰的區(qū)域管理員簽名。

圖1為本發(fā)明實(shí)施例提供的DNSSEC簽名服務(wù)的熱備方法流程圖，該方法可以通過(guò)監(jiān)測(cè)程序或控制裝置來(lái)實(shí)現(xiàn)。如圖1所示，本實(shí)施例提供的DNSSEC簽名服務(wù)的熱備方法包括如下步驟：

S10，監(jiān)控主DNSSEC服務(wù)器的工作狀態(tài)；

S20，判斷主DNSSEC服務(wù)器是否故障，若是，則執(zhí)行S30；若否，則繼 續(xù)執(zhí)行S10；

S30，啟動(dòng)備DNSSEC服務(wù)器的密鑰生命周期管理進(jìn)程進(jìn)行DNS區(qū)的密鑰生命周期管理；

S40，將備DNSSEC服務(wù)器切換設(shè)置為主服務(wù)器。

在本實(shí)施例中，主DNSSEC服務(wù)器和備DNSSEC服務(wù)器以選用OpenDNSSEC服務(wù)器為最佳。為了更清楚地說(shuō)明本發(fā)明的實(shí)施方案，本實(shí)施例將對(duì)OpenDNSSEC的簽名服務(wù)過(guò)程為進(jìn)行示例性的說(shuō)明。

圖2為OpenDNSSEC服務(wù)器的應(yīng)用示意圖，如圖2所示，OpenDNSSEC服務(wù)器包括密鑰生命周期管理模塊E、數(shù)據(jù)簽名模塊S、第一節(jié)點(diǎn)B₁和第二節(jié)點(diǎn)B₂。其中，密鑰生命周期管理模塊E用于執(zhí)行密鑰生命周期管理進(jìn)程來(lái)實(shí)現(xiàn)對(duì)所管理的DNS區(qū)的密鑰生命周期管理，數(shù)據(jù)簽名模塊S、第一節(jié)點(diǎn)B₁和第二節(jié)點(diǎn)B₂用于執(zhí)行簽名進(jìn)程來(lái)實(shí)現(xiàn)對(duì)所管理的DNS區(qū)的資源記錄信息的簽名。

具體地，OpenDNSSEC服務(wù)器要對(duì)創(chuàng)建的DNS區(qū)進(jìn)行管理，一方面，OpenDNSSEC服務(wù)器執(zhí)行密鑰生命周期管理進(jìn)程來(lái)實(shí)現(xiàn)對(duì)所管理的DNS區(qū)的密鑰生命周期管理。示例性的，首先密鑰生命周期管理模塊E通過(guò)第一接口(pkcs#11)與硬件安全模塊(Hardware Security Module，簡(jiǎn)稱(chēng)HSM)進(jìn)行通信，請(qǐng)求HSM生成所管理的DNS區(qū)對(duì)應(yīng)的密鑰數(shù)據(jù)，該密鑰數(shù)據(jù)用于對(duì)相應(yīng)的DNS區(qū)的資源記錄信息進(jìn)行加密簽名。該密鑰數(shù)據(jù)包括密鑰標(biāo)識(shí)符和密鑰生命周期參數(shù)，OpenDNSSEC服務(wù)器的密鑰生命周期管理模塊E通過(guò)第一接口(pkcs#11)從HSM獲取DNS區(qū)對(duì)應(yīng)的密鑰數(shù)據(jù)的密鑰標(biāo)識(shí)符和密鑰生命周期參數(shù)，并執(zhí)行密鑰生命周期管理進(jìn)程對(duì)相應(yīng)的密鑰數(shù)據(jù)的生命周期進(jìn)行管理。當(dāng)某一DNS區(qū)的密鑰數(shù)據(jù)到期時(shí)，密鑰生命周期管理模塊E就會(huì)刪除該DNS區(qū)對(duì)應(yīng)的密鑰數(shù)據(jù)的密鑰標(biāo)識(shí)符和密鑰生命周期參數(shù)，同時(shí)通過(guò)第一接口(pkcs#11)指示HSM刪除該DNS區(qū)對(duì)應(yīng)的密鑰數(shù)據(jù)。

另一方面，OpenDNSSEC服務(wù)器執(zhí)行簽名進(jìn)程實(shí)現(xiàn)對(duì)所管理的DNS區(qū)的資源記錄信息的簽名。示例性的，OpenDNSSEC服務(wù)器的第一節(jié)點(diǎn)B₁獲取域名注冊(cè)數(shù)據(jù)庫(kù)(Extensible Provisioning Protocol Data Base，簡(jiǎn)稱(chēng)EPPDB)中第一DNS區(qū)的初始資源記錄信息并下發(fā)給簽名模塊S，簽名模塊S通過(guò)第 一接口(pkcs#11)與HSM進(jìn)行通信，HSM根據(jù)第一DNS區(qū)的初始資源記錄信息查找第一DNS區(qū)對(duì)應(yīng)的密鑰數(shù)據(jù)。如果HSM中存在第一DNS區(qū)對(duì)應(yīng)的密鑰數(shù)據(jù)時(shí)，HSM利用該密鑰數(shù)據(jù)對(duì)第一DNS區(qū)的初始資源記錄信息進(jìn)行加密簽名，并將簽名后的資源記錄信息發(fā)送至簽名模塊S，簽名模塊S再將簽名后的第一DNS區(qū)的資源記錄信息下發(fā)至第二節(jié)點(diǎn)B₂，再通過(guò)第二節(jié)點(diǎn)B₂發(fā)送給下一級(jí)服務(wù)器。如果HSM中不存在第一DNS區(qū)對(duì)應(yīng)的密鑰數(shù)據(jù)時(shí)，HSM對(duì)第一DNS區(qū)的初始資源記錄信息進(jìn)行加密簽名并根據(jù)該加密簽名運(yùn)算生成第一DNS區(qū)對(duì)應(yīng)的新的密鑰數(shù)據(jù)，再將第一DNS區(qū)對(duì)應(yīng)的新的密鑰數(shù)據(jù)的密鑰標(biāo)識(shí)符和密鑰生命周期參數(shù)發(fā)送至OpenDNSSEC服務(wù)器的密鑰生命周期管理模塊E，以便可以對(duì)第一DNS區(qū)對(duì)應(yīng)的新的密鑰數(shù)據(jù)的生命周期狀態(tài)進(jìn)行管理。

本實(shí)施例提供的DNSSEC簽名服務(wù)的熱備方法在同一級(jí)DNSSEC服務(wù)中設(shè)置兩個(gè)DNSSEC服務(wù)器，例如兩個(gè)OpenDNSSEC服務(wù)器。在運(yùn)行過(guò)程中，其中一個(gè)DNSSEC服務(wù)器作為主服務(wù)器，另一個(gè)DNSSEC服務(wù)器作為備用服務(wù)器。在主、備服務(wù)器均正常的狀態(tài)下，可以控制主DNSSEC服務(wù)器和備DNSSEC服務(wù)器的簽名進(jìn)程均處于啟動(dòng)狀態(tài)，同時(shí)控制主DNSSEC服務(wù)器的密鑰生命周期管理進(jìn)程處于啟動(dòng)狀態(tài)，而備DNSSEC服務(wù)器的密鑰生命周期管理進(jìn)程處于非啟動(dòng)狀態(tài)。這樣可以保持所管理的DNS區(qū)的資源記錄信息可以通過(guò)主、備兩條通路都能正常生成簽名數(shù)據(jù)，同時(shí)避免了密鑰生命周期管理發(fā)生沖突。

進(jìn)一步的，可以使用監(jiān)控程序來(lái)監(jiān)控主DNSSEC服務(wù)器的工作狀態(tài)，當(dāng)監(jiān)測(cè)到主DNSSEC服務(wù)器發(fā)生故障時(shí)，立即啟動(dòng)備DNSSEC服務(wù)器的密鑰生命周期管理進(jìn)程，保證所管理的DNS區(qū)的密鑰數(shù)據(jù)的生命周期得到正常管理，保證DNSSEC簽名服務(wù)的連續(xù)性。

需要說(shuō)明的是，在主、備兩條通路都能正常生成簽名數(shù)據(jù)的前提下，會(huì)默認(rèn)只將主服務(wù)器的簽名數(shù)據(jù)下發(fā)給權(quán)威DNS服務(wù)器。因此，當(dāng)監(jiān)測(cè)到主DNSSEC服務(wù)器發(fā)生故障時(shí)，立即啟動(dòng)備DNSSEC服務(wù)器的密鑰生命周期管理進(jìn)程后，還應(yīng)該將備DNSSEC服務(wù)器切換設(shè)置為主服務(wù)器，以便可以通過(guò)備DNSSEC服務(wù)器將簽名數(shù)據(jù)下發(fā)給權(quán)威DNS服務(wù)器。

作為一種可選的實(shí)施方式，可以在將備DNSSEC服務(wù)器切換設(shè)置為主服務(wù)器之后，監(jiān)控該備DNSSEC服務(wù)器的工作狀態(tài)，以便在該備DNSSEC服務(wù)器也出現(xiàn)故障時(shí)，可以及時(shí)采取相關(guān)措施來(lái)保障DNSSEC簽名服務(wù)的連續(xù)性和可靠性。

作為另一種可選的實(shí)施方式，還可以在將備DNSSEC服務(wù)器切換設(shè)置為主服務(wù)器之后，同時(shí)監(jiān)控主DNSSEC服務(wù)器和備DNSSEC服務(wù)器的工作狀態(tài)，當(dāng)監(jiān)測(cè)到主DNSSEC服務(wù)器恢復(fù)正常時(shí)，再次將主DNSSEC服務(wù)器切換設(shè)置為主服務(wù)器。

如上所述，本實(shí)施例提供的技術(shù)方案，以允許大規(guī)模DNSSEC提供商，以有效和連貫的方式處理大量DNSSEC簽名數(shù)據(jù)。為了提高DNSSEC簽名服務(wù)的效率，加快資源記錄信息的加密簽名運(yùn)算過(guò)程，在具體實(shí)施過(guò)程中，較佳的，可以利用HSM集群來(lái)生成所管理的DNS區(qū)對(duì)應(yīng)的密鑰數(shù)據(jù)。相應(yīng)的，主DNSSEC服務(wù)器和備DNSSEC服務(wù)器可以與HSM集群進(jìn)行通信實(shí)現(xiàn)所管理的DNS區(qū)的資源記錄加密簽名。

進(jìn)一步的，作為一種較佳的實(shí)施方式，在具體實(shí)施過(guò)程中，還可以利用關(guān)聯(lián)數(shù)據(jù)庫(kù)管理系統(tǒng)(MySQL)集群來(lái)保存所述密鑰標(biāo)識(shí)符和密鑰生命周期參數(shù)。

示例性的，在具體實(shí)施過(guò)程中，作為一種可能的實(shí)現(xiàn)方式，在主、備服務(wù)器均正常的狀態(tài)下，啟動(dòng)主DNSSEC服務(wù)器和備DNSSEC服務(wù)器的簽名進(jìn)程進(jìn)行所管理的DNS區(qū)的資源記錄簽名的過(guò)程可以包括如下步驟：

步驟1，指示主DNSSEC服務(wù)器和備DNSSEC服務(wù)器的簽名進(jìn)程從域名注冊(cè)數(shù)據(jù)庫(kù)中獲取第一DNS區(qū)的初始資源記錄；

步驟2，指示主DNSSEC服務(wù)器和備DNSSEC服務(wù)器的簽名進(jìn)程與MySQL集群進(jìn)行通信，獲取所述第一DNS區(qū)對(duì)應(yīng)的密鑰標(biāo)識(shí)符；

步驟3，指示主DNSSEC服務(wù)器和備DNSSEC服務(wù)器的簽名進(jìn)程與HSM集群進(jìn)行通信，獲取HSM集群根據(jù)所述第一DNS區(qū)對(duì)應(yīng)的密鑰標(biāo)識(shí)符對(duì)所述第一DNS區(qū)的初始資源記錄進(jìn)行加密簽名后的簽名數(shù)據(jù)；

步驟4，指示主DNSSEC服務(wù)器的簽名進(jìn)程將簽名數(shù)據(jù)下發(fā)給權(quán)威DNS服務(wù)器。

基于圖2所示的OpenDNSSEC服務(wù)器的應(yīng)用過(guò)程，可以理解的是，在啟動(dòng)主DNSSEC服務(wù)器和備DNSSEC服務(wù)器的簽名進(jìn)程進(jìn)行DNS區(qū)的資源記錄簽名之前，還可以指示主DNSSEC服務(wù)器的密鑰生命周期管理進(jìn)程與HSM集群通信，以使HSM集群生成所管理的DNS區(qū)對(duì)應(yīng)的密鑰數(shù)據(jù)，該密鑰數(shù)據(jù)包括密鑰標(biāo)識(shí)符和密鑰生命周期參數(shù)，其中，第一DNS區(qū)為所管理的DNS區(qū)中的一個(gè)。并指示主DNSSEC服務(wù)器的密鑰生命周期管理進(jìn)程將所管理的DNS區(qū)對(duì)應(yīng)的密鑰數(shù)據(jù)的密鑰標(biāo)識(shí)符和密鑰生命周期參數(shù)保存至MySQL集群。

作為另一種可能的實(shí)現(xiàn)方式，在主、備服務(wù)器均正常的狀態(tài)下，啟動(dòng)主DNSSEC服務(wù)器和備DNSSEC服務(wù)器的簽名進(jìn)程進(jìn)行所管理的DNS區(qū)的資源記錄簽名的過(guò)程也可以包括如下步驟：

步驟1，指示主DNSSEC服務(wù)器和備DNSSEC服務(wù)器的簽名進(jìn)程從域名注冊(cè)數(shù)據(jù)庫(kù)中獲取第一DNS區(qū)的初始資源記錄；

步驟2，指示主DNSSEC服務(wù)器和備DNSSEC服務(wù)器的簽名進(jìn)程與MySQL集群進(jìn)行通信，確定第一DNS區(qū)對(duì)應(yīng)的密鑰標(biāo)識(shí)符已被刪除；

步驟3，指示主DNSSEC服務(wù)器和備DNSSEC服務(wù)器的簽名進(jìn)程與HSM集群進(jìn)行通信，以使HSM集群對(duì)第一DNS區(qū)的初始資源記錄進(jìn)行加密簽名，生成簽名數(shù)據(jù)以及第一DNS區(qū)對(duì)應(yīng)的新的密鑰數(shù)據(jù)，該新的密鑰數(shù)據(jù)包括密鑰標(biāo)識(shí)符和密鑰生命周期參數(shù)；

步驟4，指示主DNSSEC服務(wù)器的簽名進(jìn)程將簽名數(shù)據(jù)下發(fā)給權(quán)威DNS服務(wù)器。

同樣的，基于圖2所示的OpenDNSSEC服務(wù)器的應(yīng)用過(guò)程，可以理解的是，在HSM集群對(duì)第一DNS區(qū)的初始資源記錄進(jìn)行加密簽名，生成簽名數(shù)據(jù)以及第一DNS區(qū)對(duì)應(yīng)的新的密鑰數(shù)據(jù)之后，還可以指示主DNSSEC服務(wù)器的密鑰生命周期管理進(jìn)程將新的密鑰數(shù)據(jù)的密鑰標(biāo)識(shí)符和密鑰生命周期參數(shù)保存至所述MySQL集群中。

另外，基于圖2所示的OpenDNSSEC服務(wù)器的應(yīng)用過(guò)程，還可以理解的是，在具體實(shí)施過(guò)程中，在主、備服務(wù)器均正常的狀態(tài)下，啟動(dòng)主DNSSEC服務(wù)器的密鑰生命周期管理進(jìn)程進(jìn)行所管理的DNS區(qū)的密鑰生命周期管理的過(guò)程可以包括如下步驟：

步驟1，指示主DNSSEC服務(wù)器的密鑰生命周期管理進(jìn)程監(jiān)控所管理的DNS區(qū)對(duì)應(yīng)的密鑰數(shù)據(jù)的生命周期狀態(tài)；

步驟2，當(dāng)判斷某一DNS區(qū)對(duì)應(yīng)的密鑰數(shù)據(jù)已到期，則刪除HSM集群中該DNS區(qū)對(duì)應(yīng)的密鑰數(shù)據(jù)和MySQL集群中該DNS區(qū)對(duì)應(yīng)的密鑰標(biāo)識(shí)符及密鑰生命周期參數(shù)。

本實(shí)施例提供的DNSSEC簽名服務(wù)的熱備方法及系統(tǒng)，由于備DNSSEC服務(wù)器和主DNSSEC服務(wù)器的簽名進(jìn)程是保持?jǐn)?shù)據(jù)同步的，當(dāng)主DNSSEC服務(wù)器發(fā)生故障時(shí)，立即啟動(dòng)備DNSSEC服務(wù)器的密鑰生命周期管理進(jìn)程，可以保證密鑰生命周期得到正常管理，而且簽名區(qū)數(shù)據(jù)不必重新生成，有效避免在主服務(wù)器故障的情況下，DNSSEC服務(wù)不可用時(shí)間過(guò)長(zhǎng)，保證DNSSEC數(shù)據(jù)的連續(xù)性和完整性，可以有效保證DNSSEC服務(wù)的高可用性。

圖3為本發(fā)明實(shí)施例提供的DNSSEC簽名服務(wù)的熱備系統(tǒng)示意圖，本實(shí)施例提供的DNSSEC簽名服務(wù)的熱備系統(tǒng)可以用來(lái)實(shí)現(xiàn)本發(fā)明圖1所示實(shí)施例提供的DNSSEC簽名服務(wù)的熱備方法。如圖3所示，該DNSSEC簽名服務(wù)的熱備系統(tǒng)包括：主DNSSEC服務(wù)器M₁、備DNSSEC服務(wù)器M₂和監(jiān)測(cè)模塊A。

其中，主DNSSEC服務(wù)器M₁和備DNSSEC服務(wù)器M₂分別包括密鑰生命周期管理模塊(E₁、E₂)、數(shù)據(jù)簽名模塊(S₁、S₂)、第一節(jié)點(diǎn)(B₁₁、B₂₁)和第二節(jié)點(diǎn)(B₁₂、B₂₂)。密鑰生命周期管理模塊可以用于執(zhí)行密鑰生命周期管理進(jìn)程，數(shù)據(jù)簽名模塊、第一節(jié)點(diǎn)和第二節(jié)點(diǎn)可以用于執(zhí)行簽名進(jìn)程。

具體的，監(jiān)測(cè)模塊A可以用于：監(jiān)控主DNSSEC服務(wù)器的工作狀態(tài)；若判斷主DNSSEC服務(wù)器發(fā)生故障，則啟動(dòng)備DNSSEC服務(wù)器的密鑰生命周期管理進(jìn)程進(jìn)行DNS區(qū)的密鑰生命周期管理，其中，主DNSSEC服務(wù)器和備DNSSEC服務(wù)器中的簽名進(jìn)程的數(shù)據(jù)信息保持一致；將備DNSSEC服務(wù)器切換設(shè)置為主服務(wù)器。

在實(shí)際應(yīng)用中，監(jiān)測(cè)模塊A還可以用于：?jiǎn)?dòng)主DNSSEC服務(wù)器和備DNSSEC服務(wù)器的簽名進(jìn)程進(jìn)行DNS區(qū)的資源記錄簽名；啟動(dòng)主DNSSEC服務(wù)器的密鑰生命周期管理進(jìn)程進(jìn)行DNS區(qū)的密鑰生命周期管理。

為了更清楚地說(shuō)明本發(fā)明的實(shí)施方案，可以參照?qǐng)D4所示的DNSSEC服務(wù)的熱備系統(tǒng)的應(yīng)用示意圖進(jìn)行示例性說(shuō)明。如圖4所示，主DNSSEC服務(wù) 器和備DNSSEC服務(wù)器分別包括密鑰生命周期管理模塊(E₁、E₂)、數(shù)據(jù)簽名模塊(S₁、S₂)、第一節(jié)點(diǎn)(B₁₁、B₂₁)和第二節(jié)點(diǎn)(B₁₂、B₂₂)。密鑰生命周期管理模塊可以用于執(zhí)行密鑰生命周期管理進(jìn)程，數(shù)據(jù)簽名模塊、第一節(jié)點(diǎn)和第二節(jié)點(diǎn)可以用于執(zhí)行簽名進(jìn)程。具體的密鑰生命周期管理進(jìn)程和簽名進(jìn)程的執(zhí)行過(guò)程，可以參照?qǐng)D2所示的OpenDNSSEC服務(wù)器的應(yīng)用過(guò)程，此處不再贅述。

作為一種較佳的實(shí)施方式，本實(shí)施例提供的DNSSEC簽名服務(wù)的熱備系統(tǒng)還可以包括HSM集群和MySQL集群。

作為一種可能的實(shí)施方式，監(jiān)測(cè)模塊A具體可以用于：指示主DNSSEC服務(wù)器和備DNSSEC服務(wù)器的簽名進(jìn)程從域名注冊(cè)數(shù)據(jù)庫(kù)EPPDB中獲取第一DNS區(qū)的初始資源記錄；指示主DNSSEC服務(wù)器和備DNSSEC服務(wù)器的簽名進(jìn)程與MySQL集群進(jìn)行通信，獲取第一DNS區(qū)對(duì)應(yīng)的密鑰標(biāo)識(shí)符；指示主DNSSEC服務(wù)器和備DNSSEC服務(wù)器的簽名進(jìn)程與HSM集群進(jìn)行通信，獲取HSM集群根據(jù)第一DNS區(qū)對(duì)應(yīng)的密鑰標(biāo)識(shí)符對(duì)第一DNS區(qū)的初始資源記錄進(jìn)行加密簽名后的簽名數(shù)據(jù)；指示主DNSSEC服務(wù)器的簽名進(jìn)程將所述簽名數(shù)據(jù)下發(fā)給權(quán)威DNS服務(wù)器。

進(jìn)一步的，可以理解的是，監(jiān)測(cè)模塊A具體還可以用于：指示主DNSSEC服務(wù)器的密鑰生命周期管理進(jìn)程與HSM集群通信，以使HSM集群生成至少一個(gè)DNS區(qū)對(duì)應(yīng)的密鑰數(shù)據(jù)，該密鑰數(shù)據(jù)包括密鑰標(biāo)識(shí)符和密鑰生命周期參數(shù)，其中，至少一個(gè)DNS區(qū)也就是該熱備系統(tǒng)所管理的DNS區(qū)，其包括上述的第一DNS區(qū)；指示主DNSSEC服務(wù)器的密鑰生命周期管理進(jìn)程將密鑰標(biāo)識(shí)符和密鑰生命周期參數(shù)保存至MySQL集群。

作為另一種可能的實(shí)施方式，監(jiān)測(cè)模塊A具體可以用于：指示主DNSSEC服務(wù)器和備DNSSEC服務(wù)器的簽名進(jìn)程從域名注冊(cè)數(shù)據(jù)庫(kù)中獲取第一DNS區(qū)的初始資源記錄；指示主DNSSEC服務(wù)器和備DNSSEC服務(wù)器的簽名進(jìn)程與MySQL集群進(jìn)行通信，確定第一DNS區(qū)對(duì)應(yīng)的密鑰標(biāo)識(shí)符已被刪除；指示主DNSSEC服務(wù)器和備DNSSEC服務(wù)器的簽名進(jìn)程與HSM集群進(jìn)行通信，以使HSM集群對(duì)第一DNS區(qū)的初始資源記錄進(jìn)行加密簽名，生成簽名數(shù)據(jù)以及第一DNS區(qū)對(duì)應(yīng)的新的密鑰數(shù)據(jù)，該新的密鑰數(shù)據(jù)包括密鑰標(biāo)識(shí)符和密鑰生命周期參數(shù)；指示主DNSSEC服務(wù)器的簽名進(jìn)程將簽名數(shù)據(jù)下發(fā)給權(quán)威 DNS服務(wù)器。

進(jìn)一步的，可以理解的是，監(jiān)測(cè)模塊A具體還可以用于：指示主DNSSEC服務(wù)器的密鑰生命周期管理進(jìn)程將上述新的密鑰數(shù)據(jù)得密鑰標(biāo)識(shí)符和密鑰生命周期參數(shù)保存至所述MySQL集群。

另外，可以理解的是，在實(shí)際應(yīng)用中，監(jiān)測(cè)模塊A具體還可以用于：指示主DNSSEC服務(wù)器的密鑰生命周期管理進(jìn)程監(jiān)控第一DNS區(qū)對(duì)應(yīng)的密鑰數(shù)據(jù)的生命周期狀態(tài)；若判斷第一DNS區(qū)對(duì)應(yīng)的密鑰數(shù)據(jù)已到期，則刪除HSM集群中第一DNS區(qū)對(duì)應(yīng)的密鑰數(shù)據(jù)和MySQL集群中第一DNS區(qū)對(duì)應(yīng)的密鑰標(biāo)識(shí)符及密鑰生命周期參數(shù)。

本實(shí)施例提供的DNSSEC簽名服務(wù)的熱備系統(tǒng)，可以用來(lái)實(shí)現(xiàn)本發(fā)明圖1所示實(shí)施例提供的數(shù)據(jù)處理方法，其實(shí)現(xiàn)原理和技術(shù)效果類(lèi)似，此處不再贅述。

本領(lǐng)域普通技術(shù)人員可以理解：實(shí)現(xiàn)上述各方法實(shí)施例的全部或部分步驟可以通過(guò)程序指令相關(guān)的硬件來(lái)完成。前述的程序可以存儲(chǔ)于一計(jì)算機(jī)可讀取存儲(chǔ)介質(zhì)中。該程序在執(zhí)行時(shí)，執(zhí)行包括上述各方法實(shí)施例的步驟；而前述的存儲(chǔ)介質(zhì)包括：ROM、RAM、磁碟或者光盤(pán)等各種可以存儲(chǔ)程序代碼的介質(zhì)。

最后應(yīng)說(shuō)明的是：以上各實(shí)施例僅用以說(shuō)明本發(fā)明的技術(shù)方案，而非對(duì)其限制；盡管參照前述各實(shí)施例對(duì)本發(fā)明進(jìn)行了詳細(xì)的說(shuō)明，本領(lǐng)域的普通技術(shù)人員應(yīng)當(dāng)理解：其依然可以對(duì)前述各實(shí)施例所記載的技術(shù)方案進(jìn)行修改，或者對(duì)其中部分或者全部技術(shù)特征進(jìn)行等同替換；而這些修改或者替換，并不使相應(yīng)技術(shù)方案的本質(zhì)脫離本發(fā)明各實(shí)施例技術(shù)方案的范圍。