專利名稱：一種網(wǎng)站可信標識安裝及識別方法
技術(shù)領(lǐng)域：
本發(fā)明涉及網(wǎng)絡(luò)中可信標識技術(shù)領(lǐng)域，尤其涉及一種網(wǎng)站可信標識安裝及識別方法。
背景技術(shù)：
根據(jù)互聯(lián)網(wǎng)發(fā)展研究報告，從2009年下半年開始電子商務(wù)快速發(fā)展。數(shù)據(jù)顯示 2010年上半年的網(wǎng)絡(luò)購物用戶增長了 4千萬，用戶數(shù)增長得非?？欤憩F(xiàn)出電子商務(wù)市場的巨大潛力。但是與電子商務(wù)蓬勃發(fā)展相對應(yīng)的是廣大網(wǎng)民對網(wǎng)絡(luò)交易信任度不高，網(wǎng)絡(luò)釣魚網(wǎng)絡(luò)欺詐等誠信問題越來越嚴重?！?009年中國網(wǎng)民網(wǎng)絡(luò)信息安全狀況調(diào)查報告》顯示，2009年有超過九成網(wǎng)民遇到過網(wǎng)絡(luò)釣魚，在遭遇過網(wǎng)絡(luò)釣魚事件的網(wǎng)民中，4500萬網(wǎng)民蒙受了經(jīng)濟損失，占網(wǎng)民總數(shù)11.9%。網(wǎng)絡(luò)釣魚給網(wǎng)民造成的損失已達76億元。針對電子商務(wù)用戶的調(diào)查發(fā)現(xiàn)，網(wǎng)民對網(wǎng)站信息的不信任使進入實質(zhì)性的交易環(huán)節(jié)的用戶只有最初的I%，這對電子商務(wù)發(fā)展來講是一個非常重要的瓶頸。為了避免上述事件的發(fā)生，一些公司推出了不同的信息驗證系統(tǒng)，通過向使用者展示網(wǎng)站相關(guān)企業(yè)的工商信息、域名信息等，幫助用戶識別網(wǎng)站或相關(guān)企業(yè)的真?zhèn)?。國外主要是verisign發(fā)布的verisign trust seal,國內(nèi)類似的有可信網(wǎng)站驗證、itrust、信用網(wǎng)
站認證等。網(wǎng)站驗證服務(wù)在驗證網(wǎng)站身份和可信性后，通常需要給網(wǎng)站增加可信標識，來標記網(wǎng)站可信認證情況。這就涉及到網(wǎng)站可信標識的安裝和標記。目前網(wǎng)站可信標識主要有 3種安裝方法，第一種、頁面圖標安裝方法；第二種、信息文件安裝方法；第三種、服務(wù)器證書安裝方法。I、對于第一種頁面圖標安裝方法來說該方案的優(yōu)點是安裝簡單，只要有web頁面就可以安裝，而且由于動態(tài)嵌入了可信標識，所以在服務(wù)器端可以對安裝網(wǎng)站的有效性、真實性進行校驗，并且可以動態(tài)更新安裝標識上的時間戳，具有一定的防偽性。此外由于標識是保存在服務(wù)器上，動態(tài)嵌入web頁面中，所以當標識更新或樣式調(diào)整時，比較容易統(tǒng)一更換。該方案的缺點是客戶端每次刷新可信標識時，都需要到服務(wù)器端動態(tài)獲取代碼和標識，需要額外的網(wǎng)絡(luò)連接，會影響可信標識在被驗證網(wǎng)站頁面的打開速度。對有一定頁面打開速度要求的網(wǎng)站和非常嚴格安全性要求的網(wǎng)站，可能限制這種額外的訪問行為。另外因為服務(wù)器端的壓力是所有安裝可信標識網(wǎng)站訪問量的總和，所以該方案對服務(wù)器端壓力非常大。2、對于第二種信息文件安裝方法來說其實提出了一個基于PKI (Public Key Infrastructure,公鑰基礎(chǔ)設(shè)施)體系的可信標識安裝方案。該方案原理是PKI的基礎(chǔ)技術(shù)包括加密、數(shù)字簽名、數(shù)據(jù)完整性機制、數(shù)字信封、雙重數(shù)字簽名I)通過驗證機構(gòu)的數(shù)字證書私鑰對被驗證網(wǎng)站的基本信息網(wǎng)址、IP地址、網(wǎng)站名稱、企業(yè)信息等進行簽名；2)將被驗證網(wǎng)站的基本信息、簽名信息共同保存在一個文件中，上傳到被驗證網(wǎng)站根目錄特定位置。3)客戶端在訪問被驗證網(wǎng)站時，到網(wǎng)站根目錄特定位置獲取簽名文件。利用客戶端內(nèi)置的公鑰對簽名信息進行校驗，如果通過簽名校驗，證明網(wǎng)站信息文件是真實的，則瀏覽器解析網(wǎng)站信息文件中包含的網(wǎng)站基本信息。4)客戶端根據(jù)網(wǎng)站基本信息中的網(wǎng)址、IP地址和訪問站點的網(wǎng)址、IP地址進行比對，如果信息匹配，則在客戶端地址欄顯示網(wǎng)站可信標識。否則不會顯示。該方案的缺點是無法解決動態(tài)IP或⑶N情況，也無法動態(tài)改變網(wǎng)站的驗證情況。 大型網(wǎng)站基本都采用了 CDN加速或在世界范圍內(nèi)有多個節(jié)點，IP地址是不固定的，將IP地址放在網(wǎng)站信息文件中，會導致CDN的網(wǎng)站無法通過客戶端驗證。第二個缺點是如果被驗證網(wǎng)站因為掛馬或其他原因被取締，由于驗證文件保存在網(wǎng)站根目錄，所以客戶端仍然會認為網(wǎng)站是可信的，會顯示可信標識。3、對于第三種服務(wù)器證書安裝方法來說服務(wù)器證書是基于PKI體系，由國際公認的CA機構(gòu)在確認了網(wǎng)站身份后簽發(fā)的數(shù)字證書。該證書文件需要裝載網(wǎng)站web服務(wù)器的應(yīng)用服務(wù)器中，并在應(yīng)用服務(wù)器中進行配置。其缺點是1)服務(wù)器證書中驗證的內(nèi)容比較簡單，不能增加企業(yè)信息、工商信息等自定義內(nèi)容。2)服務(wù)器證書在現(xiàn)階段還不能解決虛擬主機網(wǎng)站安裝的問題。國內(nèi)大部分中小企業(yè)網(wǎng)站都是使用虛機提供對外服務(wù)的，所以應(yīng)用性不好。3)服務(wù)器證書無法在使用 ⑶N加速的大中型網(wǎng)站使用。因為⑶N服務(wù)的原理和服務(wù)器證書的安全性要求，決定了⑶N 無法提供https的加速服務(wù)。4)使用服務(wù)器證書對僅有網(wǎng)站身份驗證需求，沒有數(shù)據(jù)傳輸加密需求的網(wǎng)站來說，增加額外的傳輸加密功能會給服務(wù)器帶來很大的負載，增加網(wǎng)站運營成本。5)服務(wù)器證書按照有一定的技術(shù)門檻，對于普通企業(yè)網(wǎng)站管理員安裝過程比較復雜，需要配置web服務(wù)器，安裝過程中對web服務(wù)有一定影響。

發(fā)明內(nèi)容
本發(fā)明所要解決的技術(shù)問題是提供一種網(wǎng)站可信標識安裝及識別方法，以解決現(xiàn)有網(wǎng)站可信標識的安裝問題以及無法防止dns劫持等安全識別問題。為解決上述技術(shù)問題，本發(fā)明提供了一種網(wǎng)站可信標識安裝及識別方法，其特征在于，包括網(wǎng)站管理設(shè)備將需要進行可信標識安裝的網(wǎng)站信息和企業(yè)基本信息交給第三方網(wǎng)站驗證機構(gòu)進行可信驗證；如可信驗證通過，所述網(wǎng)站管理設(shè)備將生成的具有簽名的可信標識文件上傳到該網(wǎng)站根目錄或由該網(wǎng)站服務(wù)器進行配置；客戶端設(shè)備的瀏覽器訪問網(wǎng)站時，所述客戶端設(shè)備首先判斷該網(wǎng)站是否有所述可信標識文件，如有則判斷該可信標識文件的構(gòu)成進行驗證，如驗證通過則所述客戶端設(shè)備顯示該網(wǎng)站可信驗證標識。進一步地，其中，還包括
如可信驗證通過，所述第三方網(wǎng)站驗證機構(gòu)的CA給網(wǎng)站管理設(shè)備簽發(fā)證書；所述網(wǎng)站管理設(shè)備完成證書下載，并簽發(fā)可信標識安全附加文件；所述網(wǎng)站管理設(shè)備將所述證書的公鑰和所述可信標識安全附加文件生成可信標識文件。進一步地，其中，還包括如可信驗證通過，所述第三方網(wǎng)站驗證機構(gòu)直接生成具有簽名的所述可信標識文件給所述網(wǎng)站管理設(shè)備。進一步地，其中，所述可信標識安全附加文件中包括DNSSEC校驗開關(guān)，用于標記是否需要進行DNSSEC校驗。進一步地，其中，所述可信標識安全附加文件中還包括IP地址校驗開關(guān)，用于標記所述客戶端設(shè)備是否進行IP地址校驗。進一步地，其中，所述可信標識安全附加文件中還包括可信標識安全附加文件的簽名，用于使用證書私鑰對生成的所述可信標識安全附加文件做數(shù)字簽名。進一步地，其中，還包括當該網(wǎng)站信息變化或證書到期前，所述網(wǎng)站管理設(shè)備需要到所述第三方網(wǎng)站驗證機構(gòu)更新驗證資料，進行重新驗證。在通過驗證后，所述第三方網(wǎng)站驗證機構(gòu)會給所述網(wǎng)站管理設(shè)備重新簽發(fā)新的可信標識文件，所述網(wǎng)站管理設(shè)備將新的可信標識文件安裝到該網(wǎng)站。進一步地，其中，還包括當該網(wǎng)站的dns信息或IP地址變化時，且所述可信標識文件是使用所述第三方網(wǎng)站驗證機構(gòu)的CA簽發(fā)時，IP地址是保存在所述可信標識安全附加文件中的，在證書有效期內(nèi)，該網(wǎng)站管理設(shè)備可隨時使用證書私鑰隨時簽發(fā)新的可信標識安全附加文件并自行更換。進一步地，其中，還包括當該網(wǎng)站的dns信息或IP地址變化時，且當所述可信標識文件是使用所述第三方網(wǎng)站驗證機構(gòu)的證書簽名時，所述第三方網(wǎng)站驗證機構(gòu)重新生成新的具有簽名的可信標識文件，所述網(wǎng)站管理設(shè)備將該新的具有簽名的可信標識文件安裝到該網(wǎng)站上。進一步地，其中，所述可信標識安全附加文件還包括網(wǎng)站圖標，用于為具有可自定義在客戶端設(shè)備的可信標識上展示的網(wǎng)站縮略圖標；網(wǎng)站IP地址列表，用于網(wǎng)站為靜態(tài)IP時，將所述IP地址校驗開關(guān)打開，并添加信任的IP地址列表；DNSSEC校驗使用的DNS服務(wù)器地址列表，用于當網(wǎng)站為⑶N加速或動態(tài)IP配置， 無法使用靜態(tài)IP做DNS劫持校驗，并且該網(wǎng)站配置了 DNSSEC時，打開所述DNSSEC校驗開關(guān)，并設(shè)置所述DNSSEC校驗使用的DNS服務(wù)器地址列表。進一步地，其中，所述可信標識文件中包括IP地址校驗開關(guān)、標記客戶端是否進行IP地址校驗、DNSSEC校驗開關(guān)和/或標記客戶端是否進行DNSSEC校驗。進一步地，其中，所述可信標識文件中還包括
網(wǎng)站域名、站點名稱、網(wǎng)站所屬機構(gòu)或所屬企業(yè)名稱、網(wǎng)站在其企業(yè)中所屬部門、 網(wǎng)站所在的市、省、國；網(wǎng)站所屬機構(gòu)的組織機構(gòu)代碼證號或所屬企業(yè)的執(zhí)照號、所屬機構(gòu)或企業(yè)的類別、所屬機構(gòu)或企業(yè)所在的市、省、國；第三方網(wǎng)站驗證機構(gòu)登記的可信編碼、驗證級別、第三方網(wǎng)站驗證機構(gòu)信息和/或可信標識的狀態(tài)在線查詢地址。進一步地，其中，所述網(wǎng)站域名進一步包括單域名、多域名，通配符域名和/或中文域名；所述第三方網(wǎng)站驗證機構(gòu)信息中進一步包括有第三方網(wǎng)站驗證機構(gòu)詳細信息驗證地址。與現(xiàn)有技術(shù)相比，本發(fā)明所述的一種網(wǎng)站可信標識安裝及識別方法，能夠解決現(xiàn)有網(wǎng)站可信標識的安裝問題以及無法防止dns劫持等安全識別問題，且提供一種更加簡單、更安全、更易于辨識、有更好兼容性的方法。


圖I為本發(fā)明實施例所述的一種網(wǎng)站可信標識安裝及識別方法流程圖；圖2為本發(fā)明實施例所述的一種網(wǎng)站可信標識安裝及識別方法中步驟102至步驟 103的具體執(zhí)行流程圖。圖3為本發(fā)明實施例所述的一種網(wǎng)站可信標識安裝及識別方法中步驟2021至步驟203的具體執(zhí)行流程圖。圖4為本發(fā)明實施例所述的一種網(wǎng)站可信標識安裝及識別方法中步驟2022至步驟203的具體執(zhí)行流程圖。圖5為本發(fā)明實施例所述的一種網(wǎng)站可信標識安裝及識別方法中步驟2022中步驟E)和F)的具體執(zhí)行流程圖。圖6為本發(fā)明實施例所述的一種網(wǎng)站可信標識安裝及識別方法中按照步驟1021 執(zhí)行時各裝置之間的結(jié)構(gòu)框圖。圖7為本發(fā)明實施例所述的一種網(wǎng)站可信標識安裝及識別方法中按照步驟1022 執(zhí)行時各裝置之間的結(jié)構(gòu)框圖。
具體實施例方式以下結(jié)合附圖對本發(fā)明作進一步詳細說明，但不作為對本發(fā)明的限定。如圖I所示，為本發(fā)明實施例所述的一種網(wǎng)站可信標識安裝及識別方法，包括步驟101，首先網(wǎng)站管理設(shè)備將需要進行可信標識安裝的網(wǎng)站信息和企業(yè)基本信息交給第三方網(wǎng)站驗證機構(gòu)，進行網(wǎng)站的可信驗證，通過可信驗證后進行下一步。步驟102，如可信驗證通過，所述網(wǎng)站管理設(shè)備將生成的具有簽名的可信標識文件上傳到該網(wǎng)站根目錄下。具體地，該步驟102可以分成兩種方式執(zhí)行一種是按步驟1021的方式執(zhí)行下去， 另一種是按步驟1022的方式執(zhí)行下去。如圖2和6所示。步驟1021，所述第三方網(wǎng)站驗證機構(gòu)給網(wǎng)站管理設(shè)備簽發(fā)站點證書。進一步步驟1021為所述第三方網(wǎng)站驗證機構(gòu)的CA(證書授權(quán))給用戶簽發(fā)站點證書。
其中，這里所述站點證書可以是類似EV證書或服務(wù)器證書的公私鑰證書，同時站點證書的DN (Distinct Name,是采用多個字段來標識一個實體的標識)中增加額外信息。其中，所述DN中增加額外信息，包括網(wǎng)站域名(進一步包括單域名、多域名，通配符域名，中文域名等)；網(wǎng)站名稱；網(wǎng)站所屬機構(gòu)或所屬企業(yè)名稱；網(wǎng)站在其企業(yè)中所屬部門；網(wǎng)站所在的市、省、國；網(wǎng)站所屬機構(gòu)的組織機構(gòu)代碼證號或所屬企業(yè)的執(zhí)照號；所屬機構(gòu)或企業(yè)的類別；所屬機構(gòu)或企業(yè)所在的市、省、國；第三方網(wǎng)站驗證機構(gòu)登記的可信編碼；驗證級別；第三方網(wǎng)站驗證機構(gòu)信息(其中包括Verify Point (第三方網(wǎng)站驗證機構(gòu)詳細信息驗證地址))。所述第三方網(wǎng)站驗證機構(gòu)詳細信息驗證系統(tǒng)地址(Verify Point),為用來標記當用戶點擊客戶端的網(wǎng)站可信標識時，可以跳轉(zhuǎn)直達的第三方網(wǎng)站驗證機構(gòu)詳細信息驗證系統(tǒng)地址。步驟1031，所述網(wǎng)站管理設(shè)備完成證書下載，并簽發(fā)可信標識安全附加文件；所述網(wǎng)站管理設(shè)備將所述證書的公鑰和所述可信標識安全附加文件(本實施例采用site, security,當然也可以在網(wǎng)站的Webserver (網(wǎng)站服務(wù)器)中配置)，下同生成可信標識文件。另外，步驟1031還可以是所述網(wǎng)站管理設(shè)備完成證書下載，并將證書的公私鑰保存在所述第三方網(wǎng)站驗證機構(gòu)中，由所述第三方網(wǎng)站信息驗證機構(gòu)的后臺生成可信標識安全附加文件；然后所述網(wǎng)站管理設(shè)備將所述證書的公鑰和所述可信標識安全附加文件生成可信標識文件。其中，由所述第三方網(wǎng)站信息驗證機構(gòu)的后臺生成可信標識安全附加文件，具體地是，由所述第三方網(wǎng)站信息驗證機構(gòu)的后臺提供頁面并協(xié)助所述網(wǎng)站管理設(shè)備生成可信標識安全附加文件。具體地，所述可信標識安全附加文件包括I) IP地址校驗開關(guān)，其用于標記客戶端設(shè)備是否進行IP地址校驗。2) DNSSEC (Domain Name System Security Extensions,域名系統(tǒng)安全擴展)校驗開關(guān)，其用于標記是否需要進行DNSSEC校驗。3)可信標識安全附加文件的簽名，其是使用證書私鑰對生成的所述可信標識安全附加文件做數(shù)字簽名。目的是確保文件真實有效。所述可信標識安全附加文件除了上述兩者外，還可以包括下列內(nèi)容I)網(wǎng)站圖標(可選)，其為具有可自定義在客戶端設(shè)備的可信標識上展示的網(wǎng)站縮略圖標。2)網(wǎng)站IP地址列表(可選)，其是為了當網(wǎng)站為靜態(tài)IP，將所述IP地址校驗開關(guān)打開，并添加信任的IP地址列表，確保網(wǎng)站不被DNS劫持。3)DNSSEC校驗使用的DNS(域名系統(tǒng),Domain Name System)服務(wù)器地址列表(可選)，其是為了如果網(wǎng)站為CDN加速或動態(tài)IP配置，無法使用靜態(tài)IP做DNS劫持校驗，并且網(wǎng)站配置了 DNSSEC，則可打開所述DNSSEC校驗開關(guān)，并設(shè)置所述DNSSEC校驗使用的DNS 服務(wù)器地址列表。如圖7所示，另一種執(zhí)行方式步驟1022，所述第三方網(wǎng)站驗證機構(gòu)直接生成具有簽名的所述可信標識文件給所
8述網(wǎng)站管理設(shè)備。其中，所述可信標識文件，包括網(wǎng)站域名(包括單域名、多域名，通配符域名或中文域名等)；站點名稱；網(wǎng)站所屬機構(gòu)或所屬企業(yè)名稱；網(wǎng)站在其企業(yè)中所屬部門；網(wǎng)站所在的市、省、國；網(wǎng)站所屬機構(gòu)的組織機構(gòu)代碼證號或所屬企業(yè)的執(zhí)照號；所屬機構(gòu)或企業(yè)的類別；所屬機構(gòu)或企業(yè)所在的市、省、國；第三方網(wǎng)站驗證機構(gòu)登記的可信編碼；驗證級別；第三方網(wǎng)站驗證機構(gòu)信息(其中包括Verify Point (第三方網(wǎng)站驗證機構(gòu)詳細信息驗證地址))；可信標識的狀態(tài)在線查詢地址；IP地址校驗開關(guān)，標記客戶端是否進行IP地址校驗；DNSSEC校驗開關(guān)，標記客戶端是否進行DNSSEC校驗。進一步還可以包括網(wǎng)站圖標(可選)，用戶可自定義在客戶端可信標識上展示的網(wǎng)站縮略圖標；網(wǎng)站IP地址列表(可選)，如果用戶網(wǎng)站為靜態(tài)IP，可將當IP地址校驗開關(guān)打開，并添加信任的IP地址列表，確保網(wǎng)站不被dns劫持；DNSSEC校驗使用的DNS服務(wù)器地址列表(可選)，如果網(wǎng)站為⑶N加速或動態(tài)IP配置，無法使用靜態(tài)IP做dns劫持校驗，并且網(wǎng)站配置了 DNSSEC，則可打開DNSSEC校驗開關(guān)，并設(shè)置DNSSEC校驗使用的DNS服務(wù)器地址列表。其中，步驟1031和步驟1022中生成的所述可信標識文件也可以擴展其他附加文件，這些都統(tǒng)稱為可信標識文件；另一種情況是這些可信標識文件可以是獨立的文件，也可以和其他已有文件附加在一起。對于上述方式，是采用步驟1021和1031這個流程執(zhí)行還是采用步驟1022這個流程執(zhí)行可由所述第三方網(wǎng)站驗證機構(gòu)根據(jù)具體情況進行選擇。對應(yīng)的效果來看，使用所述第三方網(wǎng)站驗證機構(gòu)的CA方式(即采用步驟1021和1031)安全性高，對第三方網(wǎng)站驗證機構(gòu)的資質(zhì)要求和管理水平要求也比較高，對用戶的技術(shù)水平要求也會較高。而使用簽名方式(即采用步驟1022)，就會相對簡單，但安全性比證書方式略低。步驟103，所述網(wǎng)站管理設(shè)備將所述可信標識文件上傳到該網(wǎng)站根目錄下或通過網(wǎng)站的Webserver進行配置。其中，所述證書的公鑰，在本實施例中以site, cert文件命名。進一步地，在步驟103中為保證客戶端通用性，所述證書的公鑰和可信標識安全附加文件，都必須使用固定的名字，并放在固定的路徑下。當然如果是使用網(wǎng)站的 Webserver配置,就不必要固定的名字和路徑。其中，可信標識安全附加文件在步驟103中不是必須的，用戶如果沒有額外的安全性需求，也可以只在網(wǎng)站根目錄放置site, cert文件(證書的公鑰)。步驟103進一步還包括在該網(wǎng)站W(wǎng)ebserver的配置文件中增加該網(wǎng)站所述可信標識文件配置部分，在該網(wǎng)站W(wǎng)ebserver中配置網(wǎng)站安裝的標識文件的文件名，文件的路徑。使瀏覽器可以根據(jù)配置信息訪問到正確的網(wǎng)站標識文件。此步驟是為了避免人為規(guī)定上傳文件的文件名和路徑本發(fā)明實施例通過上面四個步驟即可完成網(wǎng)站可信標識的安裝過程。下面描述客戶端設(shè)備的瀏覽器(本實施例采用的是客戶端的瀏覽器，當然還可以采用其它類型比如搜索引擎等，結(jié)果也并不是只可以在瀏覽器展示，還可以在搜索結(jié)果展示)對網(wǎng)站可信標識的識別和驗證過程步驟201，客戶端設(shè)備的瀏覽器訪問網(wǎng)站時，所述客戶端設(shè)備首先判斷該網(wǎng)站是否有可信標識文件，如不存在則退出，如存在則進行下一步。步驟202，所述客戶端設(shè)備判斷所述可信標識文件的構(gòu)成，如是所述第三方網(wǎng)站驗證機構(gòu)的CA簽發(fā)的所述可信標識文件，則執(zhí)行步驟2021 ;如是所述第三方網(wǎng)站驗證機構(gòu)直接生成具有簽名的所述可信標識文件，則執(zhí)行步驟2022。步驟2021，所述客戶端設(shè)備對該網(wǎng)站的證書文件進行驗證，如驗證通過后，且該網(wǎng)站的所述可信標識文件中包含有可信標識安全附加文件，則對所述可信標識安全附加文件進行驗證，驗證通過后，所述客戶端設(shè)備顯示該網(wǎng)站是可信網(wǎng)站。進一步地該步驟2021，如圖3所示，具體為第一步，所述客戶端設(shè)備對該網(wǎng)站的證書文件進行驗證。其處理步驟具體包括11)所述客戶端設(shè)備首先判斷該網(wǎng)站的根目錄是否有site, cert文件，如有則根據(jù)對該網(wǎng)站的證書文件的證書鏈判斷該證書的公鑰是否可信，如可信則進行下一步，如不可信則退出，驗證未通過。12)所述客戶端設(shè)備根據(jù)對該網(wǎng)站的證書文件的有效期進行判斷，如有效則執(zhí)行下一步，如無效則退出，驗證未通過。13)所述客戶端設(shè)備根據(jù)該網(wǎng)站的證書文件的證書主題或備用主題中的域名字段，判斷是否是所訪問的域名；如是則執(zhí)行下一步，如不是則退出，驗證未通過。14)所述客戶端設(shè)備根據(jù)對該網(wǎng)站的證書文件的crl或ocsp查詢地址(CRL : Certificate Revocation List,指證書吊銷列表。用來查詢證書狀態(tài)的；OCSP :0nline Certificate Status Protocol,在線證書狀態(tài)協(xié)議,是另一種在線查詢證書狀態(tài)的協(xié)議。 這兩個都是國際標準，和本文的文件不一樣)查詢該證書文件是否被吊銷，如未被吊銷則驗證通過，如已被吊銷則驗證未通過。注以上步驟必須全部通過才能算是有效性驗證通過。第二步，如果該網(wǎng)站的證書文件有效性校驗通過后，且該網(wǎng)站的所述可信標識文件中包含有可信標識安全附加文件(site. Security文件)，則對所述可信標識安全附加文件進行驗證。其處理步驟具體包括21)所述客戶端設(shè)備使用上一步驗證通過的證書文件對具有所述可信標識安全附加文件的簽名進行校驗，如果通過校驗，則讀取所述可信標識安全附加文件中的信息，做安全附加驗證即進行下一步；否則認為所述可信標識安全附加文件非法，不再處理該可信標識安全附加文件，驗證未通過。22)如果所述可信標識安全附加文件中設(shè)置了網(wǎng)站圖標，則所述客戶端設(shè)備需要在該網(wǎng)站可信標識展示彈窗中，顯示該圖標，進行下一步。23)如果所述可信標識安全附加文件中設(shè)置了 IP地址校驗，則客戶端需要校驗當前訪問網(wǎng)站服務(wù)器的IP地址是否在該可信標識安全附加文件設(shè)置的IP地址列表段中，否則校驗不通過，通過則執(zhí)行下一步。24)如果所述可信標識安全附加文件中設(shè)置了 dnssec校驗，則客戶端設(shè)備在訪問該網(wǎng)站時沒有使用dnssec查詢,則需要補充做dnssec校驗，向客戶端設(shè)備設(shè)定的支持 dnssec的域名服務(wù)器做dnssec域名查詢；如果客戶端設(shè)備沒有設(shè)定特定的dnssec域名服務(wù)器，則使用默認的或系統(tǒng)默認的域名服務(wù)器查詢；
如果客戶端查詢的結(jié)果不符合dnssec結(jié)果，則提示dnssec查詢失敗，建議配置 dnssec ；如果dnssec返回的記錄結(jié)果正確,但和客戶端設(shè)備當前訪問的網(wǎng)站IP地址不一致，則客戶端設(shè)備做提示域名可能被劫持，存在安全風險。如果dnssec返回的記錄結(jié)果正確,但和客戶端當前訪問的網(wǎng)站IP地址一致，則通過dnssec校驗。步驟2022，如是所述第三方網(wǎng)站驗證機構(gòu)直接生成具有簽名的所述可信標識文件時，客戶端設(shè)備只需要校驗可信標識文件即可。如圖4所示，其處理步驟包括A)客戶端設(shè)備使用該第三方網(wǎng)站驗證機構(gòu)的證書公鑰，校驗該可信標識文件的簽名，如果校驗通過，則證明可信標識文件確實是第三方網(wǎng)站驗證機構(gòu)簽發(fā)的，客戶端設(shè)備會信賴該可信標識文件；否則校驗不通過，客戶端設(shè)備則停止校驗；B)客戶端設(shè)備根據(jù)可信標識文件中的有效期，檢查該可信標識文件是否有效，如有效，則根據(jù)所述可信標識文件和當前訪問域名判斷是否一致，如一致則執(zhí)行下一步；C)通過有效期檢查后，客戶端設(shè)備根據(jù)可信標識文件中的可信標識狀態(tài)在線查詢地址(crl地址)，檢查該可信標識是否被吊銷；當該網(wǎng)站因某種原因被吊銷了可信標識后， 客戶端設(shè)備在校驗此步驟時，將不會通過。該步驟確保了可信標識的權(quán)威性和有效性。D)如果可信標識文件中設(shè)置了網(wǎng)站圖標，則客戶端設(shè)備還需要在網(wǎng)站可信標識展示彈窗中，顯示該圖標。下面步驟E)和F)可以如圖5所示。E)如果可信標識文件中設(shè)置了 IP地址校驗，則客戶端設(shè)備還需要校驗當前訪問該網(wǎng)站服務(wù)器的IP地址是否在文件設(shè)置的IP地址列表段中，否則校驗不通過。F)如果可信標識文件中設(shè)置了 dnssec校驗，而且客戶端設(shè)備在訪問該網(wǎng)站時沒有使用dnssec查詢,則需要補充做dnssec校驗，向客戶端設(shè)備設(shè)定的支持dnssec的域名服務(wù)器做dnssec域名查詢；如果客戶端設(shè)備沒有設(shè)定特定的dnssec域名服務(wù)器，則使用客戶端設(shè)備默認的或系統(tǒng)默認的域名服務(wù)器查詢；如果客戶端設(shè)備查詢的結(jié)果不符合dnssec結(jié)果,則提示dnssec查詢失敗,建議配置 dnssec。如果dnssec返回的記錄結(jié)果正確,但和客戶端設(shè)備當前訪問的網(wǎng)站IP地址不一致，則客戶端設(shè)備進行提示域名可能被劫持，存在安全風險；如果dnssec返回的記錄結(jié)果正確,但和客戶端設(shè)備當前訪問的網(wǎng)站IP地址一致， 則通過dnssec校驗。步驟203，當客戶端設(shè)備對該網(wǎng)站的證書文件和所述可信標識文件中包含有可信標識安全附加文件都通過校驗后，則所述客戶端設(shè)備顯示該網(wǎng)站可信驗證標識，并提示當前訪問的網(wǎng)站是可信網(wǎng)站。對于步驟203來說，用戶可通過點擊或鼠標懸停等事件，觸發(fā)客戶端設(shè)備來顯示該網(wǎng)站詳細的基本信息，包括在可信標識文件中定義的網(wǎng)站域名、站點名稱、網(wǎng)站所屬機構(gòu)或所屬企業(yè)名稱、驗證級別、第三方網(wǎng)站驗證機構(gòu)等信息。另外，客戶端設(shè)備還可以同時提供更詳細信息點擊查詢功能，當網(wǎng)民點擊該功能時，客戶端設(shè)備根據(jù)所述可信標識文件中的Verify Point地址和該網(wǎng)站可信編碼，跳轉(zhuǎn)到第三方網(wǎng)站驗證機構(gòu)詳細信息驗證系統(tǒng)地址查驗該網(wǎng)站更詳細的信息。下面描述所述客戶端設(shè)備對網(wǎng)站可信標識的更新過程。步驟301，當網(wǎng)站信息變化或證書到期前，網(wǎng)站管理設(shè)備需要到第三方網(wǎng)站驗證機構(gòu)更新網(wǎng)站驗證資料，進行重新驗證。在通過驗證后，第三方網(wǎng)站驗證機構(gòu)會給網(wǎng)站管理設(shè)備重新簽發(fā)新的可信標識文件，然后網(wǎng)站管理設(shè)備將新的可信標識文件安裝到該網(wǎng)站。步驟302，當網(wǎng)站的dns信息或IP地址變化時，且所述可信標識文件是使用CA簽發(fā)時，IP地址是保存在所述可信標識安全附加文件中的，所以在證書有效期內(nèi)，網(wǎng)站管理設(shè)備可隨時使用證書私鑰隨時簽發(fā)新的可信標識安全附加文件，自行更換網(wǎng)站上文件；當站點dns信息或IP地址變化時，且當可信標識文件是使用所述第三方網(wǎng)站驗證機構(gòu)的證書簽名時，dns和IP地址是保存在可信標識文件中，并經(jīng)過了所述第三方網(wǎng)站驗證機構(gòu)簽名，所以用戶IP地址變更，需要到第三方機構(gòu)提交申請，由所述第三方網(wǎng)站驗證機構(gòu)重新生成新的具有簽名的可信標識文件，網(wǎng)站管理設(shè)備將該新的具有簽名的可信標識文件安裝到該網(wǎng)站上。使用本方案可以達到以下效果首先，本發(fā)明的方案中使用兩種可選的方式CA證書方式和文件簽名方式，來解決網(wǎng)站可信標識安裝和識別；該方案是基于PKI體系的加密驗證方式，具有很強的安全性， 這確保了網(wǎng)站信息文件不可被復制和篡改，滿足方案安全性需求。其次，防復制方面，客戶端設(shè)備在對網(wǎng)站信息文件進行真實性校驗之后，再根據(jù)網(wǎng)站域名、IP等信息進行二次校驗，達到防復制驗證的功能。第三，在防dns劫持方面，本發(fā)明的方案提供了較大的靈活性，網(wǎng)站管理設(shè)備可以根據(jù)自己網(wǎng)站的安全性要求，選擇是否增加IP地址校驗或dnssec校驗兩種方式。對使用了⑶N加速的網(wǎng)站，由于其IP地址動態(tài)變化，無法使用IP地址校驗方式，可以在dns上配置dnssec,并在網(wǎng)站信息文件中增加dnssec驗證,客戶端設(shè)備在驗證dns信息時會使用 dnssec方式進行dns查詢，防止客戶端設(shè)備被dns劫持。對政府類網(wǎng)站,使用了靜態(tài)固定 IP地址，則直接在網(wǎng)站信息文件中增加IP信息校驗會更加容易和方便。為解決網(wǎng)站IP地址變更問題，網(wǎng)站管理設(shè)備可以隨時登錄該網(wǎng)站的后臺系統(tǒng)修改網(wǎng)站信息，對可信標識文件重新生成。安裝上，網(wǎng)站管理設(shè)備只需要擁有網(wǎng)站文件上傳功能，即可完成安裝。對網(wǎng)站是否為虛擬主機、vps、獨享主機沒有要求，也不需要用戶對web頁面編碼有技術(shù)基礎(chǔ)，真正做到了簡單易用，易于安裝。上述實施例中另一種變形方式為使用dnscurve替換dnssec方式，也可以達到相同的效果，也屬于本方案的其中一個實現(xiàn)方式。其中，Dnscurve和dnssec—樣,是dns安全擴展的另一種標準。其使用方法和dnssec類似，也就是文中所有dnssec的地方都可以使用dnscurve方法替代。這里是為了保護，防止有人使用dnscurve替換dnssec,繞過方案的保護范圍。與現(xiàn)有技術(shù)相比，本發(fā)明所述的一種網(wǎng)站可信標識安裝及識別方法，能夠解決現(xiàn)有網(wǎng)站可信標識的安裝問題以及無法防止dns劫持等安全識別問題，且提供一種更加簡單、更安全、更易于辨識、有更好兼容性的方法。
綜上所述，本發(fā)明實現(xiàn)了以下目的I)安裝方便，適用于各種建站環(huán)境，比如虛擬主機、vps、獨立主機等情況，易于安裝。2)更高的安全性，標識具有唯一性和防偽性，可以解決釣魚網(wǎng)站和非法網(wǎng)站對標識內(nèi)容的復制，偽造，篡改，dns劫持等情況，避免網(wǎng)民因為偽造的標識造成額外損失。3)可驗證性，為保證安裝的可信標識安全，方案實現(xiàn)了客戶端對網(wǎng)站標識的驗證。4)易于辨識性，可信標識非常明顯，方便網(wǎng)民識別標識，以及識別網(wǎng)站的基本信
肩、O5)較強的兼容性，兼容各種客戶端情況，比如瀏覽器、手機瀏覽器、搜索引擎爬蟲、 IM客戶端等。當然，本發(fā)明還可有其他多種實施例，在不背離本發(fā)明精神及其實質(zhì)的情況下，熟悉本領(lǐng)域的技術(shù)人員可根據(jù)本發(fā)明做出各種相應(yīng)的改變和變形，但這些相應(yīng)的改變和變形都應(yīng)屬于本發(fā)明所附的權(quán)利要求的保護范圍。
權(quán)利要求
1.一種網(wǎng)站可信標識安裝及識別方法，其特征在于，包括網(wǎng)站管理設(shè)備將需要進行可信標識安裝的網(wǎng)站信息和企業(yè)基本信息交給第三方網(wǎng)站驗證機構(gòu)進行可信驗證；如可信驗證通過，所述網(wǎng)站管理設(shè)備將生成的具有簽名的可信標識文件上傳到該網(wǎng)站根目錄或由該網(wǎng)站服務(wù)器進行配置；客戶端設(shè)備的瀏覽器訪問網(wǎng)站時，所述客戶端設(shè)備首先判斷該網(wǎng)站是否有所述可信標識文件，如有則判斷該可信標識文件的構(gòu)成進行驗證，如驗證通過則所述客戶端設(shè)備顯示該網(wǎng)站可信驗證標識。
2.如權(quán)利要求I所述的網(wǎng)站可信標識安裝及識別方法，其特征在于，進一步還包括 如可信驗證通過，所述第三方網(wǎng)站驗證機構(gòu)的CA給網(wǎng)站管理設(shè)備簽發(fā)證書；所述網(wǎng)站管理設(shè)備完成證書下載，并簽發(fā)可信標識安全附加文件；所述網(wǎng)站管理設(shè)備將所述證書的公鑰和所述可信標識安全附加文件生成可信標識文件。
3.如權(quán)利要求I所述的網(wǎng)站可信標識安裝及識別方法，其特征在于，進一步還包括 如可信驗證通過，所述第三方網(wǎng)站驗證機構(gòu)直接生成具有簽名的所述可信標識文件給所述網(wǎng)站管理設(shè)備。
4.如權(quán)利要求2所述的網(wǎng)站可信標識安裝及識別方法，其特征在于，所述可信標識安全附加文件中包括DNSSEC校驗開關(guān)，用于標記是否需要進行DNSSEC校驗。
5.如權(quán)利要求4所述的網(wǎng)站可信標識安裝及識別方法，其特征在于，所述可信標識安全附加文件中還包括IP地址校驗開關(guān)，用于標記所述客戶端設(shè)備是否進行IP地址校驗。
6.如權(quán)利要求5所述的網(wǎng)站可信標識安裝及識別方法，其特征在于，所述可信標識安全附加文件中還包括可信標識安全附加文件的簽名，用于使用證書私鑰對生成的所述可信標識安全附加文件做數(shù)字簽名。
7.如權(quán)利要求I所述的網(wǎng)站可信標識安裝及識別方法，其特征在于，進一步還包括 當該網(wǎng)站信息變化或證書到期前，所述網(wǎng)站管理設(shè)備需要到所述第三方網(wǎng)站驗證機構(gòu)更新驗證資料，進行重新驗證。在通過驗證后，所述第三方網(wǎng)站驗證機構(gòu)會給所述網(wǎng)站管理設(shè)備重新簽發(fā)新的可信標識文件，所述網(wǎng)站管理設(shè)備將新的可信標識文件安裝到該網(wǎng)站。
8.如權(quán)利要求6所述的網(wǎng)站可信標識安裝及識別方法，其特征在于，進一步還包括 當該網(wǎng)站的dns信息或IP地址變化時，且所述可信標識文件是使用所述第三方網(wǎng)站驗證機構(gòu)的CA簽發(fā)時，IP地址是保存在所述可信標識安全附加文件中的，在證書有效期內(nèi)， 該網(wǎng)站管理設(shè)備可隨時使用證書私鑰隨時簽發(fā)新的可信標識安全附加文件并自行更換。
9.如權(quán)利要求3所述的網(wǎng)站可信標識安裝及識別方法，其特征在于，進一步還包括 當該網(wǎng)站的dns信息或IP地址變化時，且當所述可信標識文件是使用所述第三方網(wǎng)站驗證機構(gòu)的證書簽名時，所述第三方網(wǎng)站驗證機構(gòu)重新生成新的具有簽名的可信標識文件，所述網(wǎng)站管理設(shè)備將該新的具有簽名的可信標識文件安裝到該網(wǎng)站上。
10.如權(quán)利要求6所述的網(wǎng)站可信標識安裝及識別方法，其特征在于，所述可信標識安全附加文件還包括網(wǎng)站圖標，用于為具有可自定義在客戶端設(shè)備的可信標識上展示的網(wǎng)站縮略圖標； 網(wǎng)站IP地址列表，用于網(wǎng)站為靜態(tài)IP時，將所述IP地址校驗開關(guān)打開，并添加信任的 IP地址列表；DNSSEC校驗使用的DNS服務(wù)器地址列表，用于當網(wǎng)站為⑶N加速或動態(tài)IP配置，無法使用靜態(tài)IP做DNS劫持校驗，并且該網(wǎng)站配置了 DNSSEC時，打開所述DNSSEC校驗開關(guān)，并設(shè)置所述DNSSEC校驗使用的DNS服務(wù)器地址列表。
11.如權(quán)利要求3所述的網(wǎng)站可信標識安裝及識別方法，其特征在于，所述可信標識文件中包括IP地址校驗開關(guān)、標記客戶端是否進行IP地址校驗、DNSSEC校驗開關(guān)和/或標記客戶端是否進行DNSSEC校驗。
12.如權(quán)利要求11所述的網(wǎng)站可信標識安裝及識別方法，其特征在于，所述可信標識文件中還包括網(wǎng)站域名、站點名稱、網(wǎng)站所屬機構(gòu)或所屬企業(yè)名稱、網(wǎng)站在其企業(yè)中所屬部門、網(wǎng)站所在的市、省、國；網(wǎng)站所屬機構(gòu)的組織機構(gòu)代碼證號或所屬企業(yè)的執(zhí)照號、所屬機構(gòu)或企業(yè)的類別、所屬機構(gòu)或企業(yè)所在的市、省、國；第三方網(wǎng)站驗證機構(gòu)登記的可信編碼、驗證級別、第三方網(wǎng)站驗證機構(gòu)信息和/或可信標識的狀態(tài)在線查詢地址。
13.如權(quán)利要求9所述的網(wǎng)站可信標識安裝及識別方法，其特征在于，所述網(wǎng)站域名進一步包括單域名、多域名，通配符域名和/或中文域名；所述第三方網(wǎng)站驗證機構(gòu)信息中進一步包括有第三方網(wǎng)站驗證機構(gòu)詳細信息驗證地址。
全文摘要
本發(fā)明公開了一種網(wǎng)站可信標識安裝及識別方法，包括網(wǎng)站管理設(shè)備將需要進行可信標識安裝的網(wǎng)站信息和企業(yè)基本信息交給第三方網(wǎng)站驗證機構(gòu)進行可信驗證；如可信驗證通過，所述網(wǎng)站管理設(shè)備將生成的具有簽名的可信標識文件上傳到該網(wǎng)站根目錄或由該網(wǎng)站服務(wù)器進行配置；客戶端設(shè)備的瀏覽器訪問網(wǎng)站時，所述客戶端設(shè)備首先判斷該網(wǎng)站是否有所述可信標識文件，如有則判斷該可信標識文件的構(gòu)成進行驗證，如驗證通過則所述客戶端設(shè)備顯示該網(wǎng)站可信驗證標識。本發(fā)明能夠解決現(xiàn)有網(wǎng)站可信標識的安裝問題以及無法防止dns劫持等安全識別問題，且提供一種更加簡單、更安全、更易于辨識、有更好兼容性的方法。
文檔編號H04L9/32GK102611707SQ20121007661
公開日2012年7月25日 申請日期2012年3月21日 優(yōu)先權(quán)日2012年3月21日
發(fā)明者盧文哲, 高寧 申請人:北龍中網(wǎng)(北京)科技有限責任公司