一種網站可信標識安裝及識別方法
2023-05-20 07:30:51 4
專利名稱：一種網站可信標識安裝及識別方法
技術領域：
本發明涉及網絡中可信標識技術領域，尤其涉及一種網站可信標識安裝及識別方法。
背景技術：
根據網際網路發展研究報告，從2009年下半年開始電子商務快速發展。數據顯示 2010年上半年的網絡購物用戶增長了 4千萬，用戶數增長得非常快，表現出電子商務市場的巨大潛力。但是與電子商務蓬勃發展相對應的是廣大網民對網絡交易信任度不高，網絡釣魚網絡欺詐等誠信問題越來越嚴重。《2009年中國網民網絡信息安全狀況調查報告》顯示，2009年有超過九成網民遇到過網絡釣魚，在遭遇過網絡釣魚事件的網民中，4500萬網民蒙受了經濟損失，佔網民總數11.9%。網絡釣魚給網民造成的損失已達76億元。針對電子商務用戶的調查發現，網民對網站信息的不信任使進入實質性的交易環節的用戶只有最初的I%，這對電子商務發展來講是一個非常重要的瓶頸。為了避免上述事件的發生，一些公司推出了不同的信息驗證系統，通過向使用者展示網站相關企業的工商信息、域名信息等，幫助用戶識別網站或相關企業的真偽。國外主要是verisign發布的verisign trust seal,國內類似的有可信網站驗證、itrust、信用網
站認證等。網站驗證服務在驗證網站身份和可信性後，通常需要給網站增加可信標識，來標記網站可信認證情況。這就涉及到網站可信標識的安裝和標記。目前網站可信標識主要有 3種安裝方法，第一種、頁面圖標安裝方法；第二種、信息文件安裝方法；第三種、伺服器證書安裝方法。I、對於第一種頁面圖標安裝方法來說該方案的優點是安裝簡單，只要有web頁面就可以安裝，而且由於動態嵌入了可信標識，所以在伺服器端可以對安裝網站的有效性、真實性進行校驗，並且可以動態更新安裝標識上的時間戳，具有一定的防偽性。此外由於標識是保存在伺服器上，動態嵌入web頁面中，所以當標識更新或樣式調整時，比較容易統一更換。該方案的缺點是客戶端每次刷新可信標識時，都需要到伺服器端動態獲取代碼和標識，需要額外的網絡連接，會影響可信標識在被驗證網站頁面的打開速度。對有一定頁面打開速度要求的網站和非常嚴格安全性要求的網站，可能限制這種額外的訪問行為。另外因為伺服器端的壓力是所有安裝可信標識網站訪問量的總和，所以該方案對伺服器端壓力非常大。2、對於第二種信息文件安裝方法來說其實提出了一個基於PKI (Public Key Infrastructure,公鑰基礎設施)體系的可信標識安裝方案。該方案原理是PKI的基礎技術包括加密、數字籤名、數據完整性機制、數字信封、雙重數字籤名I)通過驗證機構的數字證書私鑰對被驗證網站的基本信息網址、IP位址、網站名稱、企業信息等進行籤名；2)將被驗證網站的基本信息、籤名信息共同保存在一個文件中，上傳到被驗證網站根目錄特定位置。3)客戶端在訪問被驗證網站時，到網站根目錄特定位置獲取籤名文件。利用客戶端內置的公鑰對籤名信息進行校驗，如果通過籤名校驗，證明網站信息文件是真實的，則瀏覽器解析網站信息文件中包含的網站基本信息。4)客戶端根據網站基本信息中的網址、IP位址和訪問站點的網址、IP位址進行比對，如果信息匹配，則在客戶端地址欄顯示網站可信標識。否則不會顯示。該方案的缺點是無法解決動態IP或⑶N情況，也無法動態改變網站的驗證情況。 大型網站基本都採用了 CDN加速或在世界範圍內有多個節點，IP位址是不固定的，將IP位址放在網站信息文件中，會導致CDN的網站無法通過客戶端驗證。第二個缺點是如果被驗證網站因為掛馬或其他原因被取締，由於驗證文件保存在網站根目錄，所以客戶端仍然會認為網站是可信的，會顯示可信標識。3、對於第三種伺服器證書安裝方法來說伺服器證書是基於PKI體系，由國際公認的CA機構在確認了網站身份後籤發的數字證書。該證書文件需要裝載網站web伺服器的應用伺服器中，並在應用伺服器中進行配置。其缺點是1)伺服器證書中驗證的內容比較簡單，不能增加企業信息、工商信息等自定義內容。2)伺服器證書在現階段還不能解決虛擬主機網站安裝的問題。國內大部分中小企業網站都是使用虛機提供對外服務的，所以應用性不好。3)伺服器證書無法在使用 ⑶N加速的大中型網站使用。因為⑶N服務的原理和伺服器證書的安全性要求，決定了⑶N 無法提供https的加速服務。4)使用伺服器證書對僅有網站身份驗證需求，沒有數據傳輸加密需求的網站來說，增加額外的傳輸加密功能會給伺服器帶來很大的負載，增加網站運營成本。5)伺服器證書按照有一定的技術門檻，對於普通企業網站管理員安裝過程比較複雜，需要配置web伺服器，安裝過程中對web服務有一定影響。
發明內容
本發明所要解決的技術問題是提供一種網站可信標識安裝及識別方法，以解決現有網站可信標識的安裝問題以及無法防止dns劫持等安全識別問題。為解決上述技術問題，本發明提供了一種網站可信標識安裝及識別方法，其特徵在於，包括網站管理設備將需要進行可信標識安裝的網站信息和企業基本信息交給第三方網站驗證機構進行可信驗證；如可信驗證通過，所述網站管理設備將生成的具有籤名的可信標識文件上傳到該網站根目錄或由該網站伺服器進行配置；客戶端設備的瀏覽器訪問網站時，所述客戶端設備首先判斷該網站是否有所述可信標識文件，如有則判斷該可信標識文件的構成進行驗證，如驗證通過則所述客戶端設備顯示該網站可信驗證標識。進一步地，其中，還包括
如可信驗證通過，所述第三方網站驗證機構的CA給網站管理設備籤發證書；所述網站管理設備完成證書下載，並籤發可信標識安全附加文件；所述網站管理設備將所述證書的公鑰和所述可信標識安全附加文件生成可信標識文件。進一步地，其中，還包括如可信驗證通過，所述第三方網站驗證機構直接生成具有籤名的所述可信標識文件給所述網站管理設備。進一步地，其中，所述可信標識安全附加文件中包括DNSSEC校驗開關，用於標記是否需要進行DNSSEC校驗。進一步地，其中，所述可信標識安全附加文件中還包括IP位址校驗開關，用於標記所述客戶端設備是否進行IP位址校驗。進一步地，其中，所述可信標識安全附加文件中還包括可信標識安全附加文件的籤名，用於使用證書私鑰對生成的所述可信標識安全附加文件做數字籤名。進一步地，其中，還包括當該網站信息變化或證書到期前，所述網站管理設備需要到所述第三方網站驗證機構更新驗證資料，進行重新驗證。在通過驗證後，所述第三方網站驗證機構會給所述網站管理設備重新籤發新的可信標識文件，所述網站管理設備將新的可信標識文件安裝到該網站。進一步地，其中，還包括當該網站的dns信息或IP位址變化時，且所述可信標識文件是使用所述第三方網站驗證機構的CA籤發時，IP位址是保存在所述可信標識安全附加文件中的，在證書有效期內，該網站管理設備可隨時使用證書私鑰隨時籤發新的可信標識安全附加文件並自行更換。進一步地，其中，還包括當該網站的dns信息或IP位址變化時，且當所述可信標識文件是使用所述第三方網站驗證機構的證書籤名時，所述第三方網站驗證機構重新生成新的具有籤名的可信標識文件，所述網站管理設備將該新的具有籤名的可信標識文件安裝到該網站上。進一步地，其中，所述可信標識安全附加文件還包括網站圖標，用於為具有可自定義在客戶端設備的可信標識上展示的網站縮略圖標；網站IP位址列表，用於網站為靜態IP時，將所述IP位址校驗開關打開，並添加信任的IP位址列表；DNSSEC校驗使用的DNS伺服器地址列表，用於當網站為⑶N加速或動態IP配置， 無法使用靜態IP做DNS劫持校驗，並且該網站配置了 DNSSEC時，打開所述DNSSEC校驗開關，並設置所述DNSSEC校驗使用的DNS伺服器地址列表。進一步地，其中，所述可信標識文件中包括IP位址校驗開關、標記客戶端是否進行IP位址校驗、DNSSEC校驗開關和/或標記客戶端是否進行DNSSEC校驗。進一步地，其中，所述可信標識文件中還包括
網站域名、站點名稱、網站所屬機構或所屬企業名稱、網站在其企業中所屬部門、 網站所在的市、省、國；網站所屬機構的組織機構代碼證號或所屬企業的執照號、所屬機構或企業的類別、所屬機構或企業所在的市、省、國；第三方網站驗證機構登記的可信編碼、驗證級別、第三方網站驗證機構信息和/或可信標識的狀態在線查詢地址。進一步地，其中，所述網站域名進一步包括單域名、多域名，通配符域名和/或中文域名；所述第三方網站驗證機構信息中進一步包括有第三方網站驗證機構詳細信息驗證地址。與現有技術相比，本發明所述的一種網站可信標識安裝及識別方法，能夠解決現有網站可信標識的安裝問題以及無法防止dns劫持等安全識別問題，且提供一種更加簡單、更安全、更易於辨識、有更好兼容性的方法。
圖I為本發明實施例所述的一種網站可信標識安裝及識別方法流程圖；圖2為本發明實施例所述的一種網站可信標識安裝及識別方法中步驟102至步驟 103的具體執行流程圖。圖3為本發明實施例所述的一種網站可信標識安裝及識別方法中步驟2021至步驟203的具體執行流程圖。圖4為本發明實施例所述的一種網站可信標識安裝及識別方法中步驟2022至步驟203的具體執行流程圖。圖5為本發明實施例所述的一種網站可信標識安裝及識別方法中步驟2022中步驟E)和F)的具體執行流程圖。圖6為本發明實施例所述的一種網站可信標識安裝及識別方法中按照步驟1021 執行時各裝置之間的結構框圖。圖7為本發明實施例所述的一種網站可信標識安裝及識別方法中按照步驟1022 執行時各裝置之間的結構框圖。
具體實施例方式以下結合附圖對本發明作進一步詳細說明，但不作為對本發明的限定。如圖I所示，為本發明實施例所述的一種網站可信標識安裝及識別方法，包括步驟101，首先網站管理設備將需要進行可信標識安裝的網站信息和企業基本信息交給第三方網站驗證機構，進行網站的可信驗證，通過可信驗證後進行下一步。步驟102，如可信驗證通過，所述網站管理設備將生成的具有籤名的可信標識文件上傳到該網站根目錄下。具體地，該步驟102可以分成兩種方式執行一種是按步驟1021的方式執行下去， 另一種是按步驟1022的方式執行下去。如圖2和6所示。步驟1021，所述第三方網站驗證機構給網站管理設備籤發站點證書。進一步步驟1021為所述第三方網站驗證機構的CA(證書授權)給用戶籤發站點證書。
其中，這裡所述站點證書可以是類似EV證書或伺服器證書的公私鑰證書，同時站點證書的DN (Distinct Name,是採用多個欄位來標識一個實體的標識)中增加額外信息。其中，所述DN中增加額外信息，包括網站域名(進一步包括單域名、多域名，通配符域名，中文域名等)；網站名稱；網站所屬機構或所屬企業名稱；網站在其企業中所屬部門；網站所在的市、省、國；網站所屬機構的組織機構代碼證號或所屬企業的執照號；所屬機構或企業的類別；所屬機構或企業所在的市、省、國；第三方網站驗證機構登記的可信編碼；驗證級別；第三方網站驗證機構信息(其中包括Verify Point (第三方網站驗證機構詳細信息驗證地址))。所述第三方網站驗證機構詳細信息驗證系統地址(Verify Point),為用來標記當用戶點擊客戶端的網站可信標識時，可以跳轉直達的第三方網站驗證機構詳細信息驗證系統地址。步驟1031，所述網站管理設備完成證書下載，並籤發可信標識安全附加文件；所述網站管理設備將所述證書的公鑰和所述可信標識安全附加文件(本實施例採用site, security,當然也可以在網站的Webserver (網站伺服器)中配置)，下同生成可信標識文件。另外，步驟1031還可以是所述網站管理設備完成證書下載，並將證書的公私鑰保存在所述第三方網站驗證機構中，由所述第三方網站信息驗證機構的後臺生成可信標識安全附加文件；然後所述網站管理設備將所述證書的公鑰和所述可信標識安全附加文件生成可信標識文件。其中，由所述第三方網站信息驗證機構的後臺生成可信標識安全附加文件，具體地是，由所述第三方網站信息驗證機構的後臺提供頁面並協助所述網站管理設備生成可信標識安全附加文件。具體地，所述可信標識安全附加文件包括I) IP位址校驗開關，其用於標記客戶端設備是否進行IP位址校驗。2) DNSSEC (Domain Name System Security Extensions,域名系統安全擴展)校驗開關，其用於標記是否需要進行DNSSEC校驗。3)可信標識安全附加文件的籤名，其是使用證書私鑰對生成的所述可信標識安全附加文件做數字籤名。目的是確保文件真實有效。所述可信標識安全附加文件除了上述兩者外，還可以包括下列內容I)網站圖標(可選)，其為具有可自定義在客戶端設備的可信標識上展示的網站縮略圖標。2)網站IP位址列表(可選)，其是為了當網站為靜態IP，將所述IP位址校驗開關打開，並添加信任的IP位址列表，確保網站不被DNS劫持。3)DNSSEC校驗使用的DNS(域名系統,Domain Name System)伺服器地址列表(可選)，其是為了如果網站為CDN加速或動態IP配置，無法使用靜態IP做DNS劫持校驗，並且網站配置了 DNSSEC，則可打開所述DNSSEC校驗開關，並設置所述DNSSEC校驗使用的DNS 伺服器地址列表。如圖7所示，另一種執行方式步驟1022，所述第三方網站驗證機構直接生成具有籤名的所述可信標識文件給所
8述網站管理設備。其中，所述可信標識文件，包括網站域名(包括單域名、多域名，通配符域名或中文域名等)；站點名稱；網站所屬機構或所屬企業名稱；網站在其企業中所屬部門；網站所在的市、省、國；網站所屬機構的組織機構代碼證號或所屬企業的執照號；所屬機構或企業的類別；所屬機構或企業所在的市、省、國；第三方網站驗證機構登記的可信編碼；驗證級別；第三方網站驗證機構信息(其中包括Verify Point (第三方網站驗證機構詳細信息驗證地址))；可信標識的狀態在線查詢地址；IP位址校驗開關，標記客戶端是否進行IP位址校驗；DNSSEC校驗開關，標記客戶端是否進行DNSSEC校驗。進一步還可以包括網站圖標(可選)，用戶可自定義在客戶端可信標識上展示的網站縮略圖標；網站IP位址列表(可選)，如果用戶網站為靜態IP，可將當IP位址校驗開關打開，並添加信任的IP位址列表，確保網站不被dns劫持；DNSSEC校驗使用的DNS伺服器地址列表(可選)，如果網站為⑶N加速或動態IP配置，無法使用靜態IP做dns劫持校驗，並且網站配置了 DNSSEC，則可打開DNSSEC校驗開關，並設置DNSSEC校驗使用的DNS伺服器地址列表。其中，步驟1031和步驟1022中生成的所述可信標識文件也可以擴展其他附加文件，這些都統稱為可信標識文件；另一種情況是這些可信標識文件可以是獨立的文件，也可以和其他已有文件附加在一起。對於上述方式，是採用步驟1021和1031這個流程執行還是採用步驟1022這個流程執行可由所述第三方網站驗證機構根據具體情況進行選擇。對應的效果來看，使用所述第三方網站驗證機構的CA方式(即採用步驟1021和1031)安全性高，對第三方網站驗證機構的資質要求和管理水平要求也比較高，對用戶的技術水平要求也會較高。而使用籤名方式(即採用步驟1022)，就會相對簡單，但安全性比證書方式略低。步驟103，所述網站管理設備將所述可信標識文件上傳到該網站根目錄下或通過網站的Webserver進行配置。其中，所述證書的公鑰，在本實施例中以site, cert文件命名。進一步地，在步驟103中為保證客戶端通用性，所述證書的公鑰和可信標識安全附加文件，都必須使用固定的名字，並放在固定的路徑下。當然如果是使用網站的 Webserver配置,就不必要固定的名字和路徑。其中，可信標識安全附加文件在步驟103中不是必須的，用戶如果沒有額外的安全性需求，也可以只在網站根目錄放置site, cert文件(證書的公鑰)。步驟103進一步還包括在該網站Webserver的配置文件中增加該網站所述可信標識文件配置部分，在該網站Webserver中配置網站安裝的標識文件的文件名，文件的路徑。使瀏覽器可以根據配置信息訪問到正確的網站標識文件。此步驟是為了避免人為規定上傳文件的文件名和路徑本發明實施例通過上面四個步驟即可完成網站可信標識的安裝過程。下面描述客戶端設備的瀏覽器(本實施例採用的是客戶端的瀏覽器，當然還可以採用其它類型比如搜尋引擎等，結果也並不是只可以在瀏覽器展示，還可以在搜索結果展示)對網站可信標識的識別和驗證過程步驟201，客戶端設備的瀏覽器訪問網站時，所述客戶端設備首先判斷該網站是否有可信標識文件，如不存在則退出，如存在則進行下一步。步驟202，所述客戶端設備判斷所述可信標識文件的構成，如是所述第三方網站驗證機構的CA籤發的所述可信標識文件，則執行步驟2021 ;如是所述第三方網站驗證機構直接生成具有籤名的所述可信標識文件，則執行步驟2022。步驟2021，所述客戶端設備對該網站的證書文件進行驗證，如驗證通過後，且該網站的所述可信標識文件中包含有可信標識安全附加文件，則對所述可信標識安全附加文件進行驗證，驗證通過後，所述客戶端設備顯示該網站是可信網站。進一步地該步驟2021，如圖3所示，具體為第一步，所述客戶端設備對該網站的證書文件進行驗證。其處理步驟具體包括11)所述客戶端設備首先判斷該網站的根目錄是否有site, cert文件，如有則根據對該網站的證書文件的證書鏈判斷該證書的公鑰是否可信，如可信則進行下一步，如不可信則退出，驗證未通過。12)所述客戶端設備根據對該網站的證書文件的有效期進行判斷，如有效則執行下一步，如無效則退出，驗證未通過。13)所述客戶端設備根據該網站的證書文件的證書主題或備用主題中的域名欄位，判斷是否是所訪問的域名；如是則執行下一步，如不是則退出，驗證未通過。14)所述客戶端設備根據對該網站的證書文件的crl或ocsp查詢地址(CRL : Certificate Revocation List,指證書吊銷列表。用來查詢證書狀態的；OCSP :0nline Certificate Status Protocol,在線證書狀態協議,是另一種在線查詢證書狀態的協議。 這兩個都是國際標準，和本文的文件不一樣)查詢該證書文件是否被吊銷，如未被吊銷則驗證通過，如已被吊銷則驗證未通過。注以上步驟必須全部通過才能算是有效性驗證通過。第二步，如果該網站的證書文件有效性校驗通過後，且該網站的所述可信標識文件中包含有可信標識安全附加文件(site. Security文件)，則對所述可信標識安全附加文件進行驗證。其處理步驟具體包括21)所述客戶端設備使用上一步驗證通過的證書文件對具有所述可信標識安全附加文件的籤名進行校驗，如果通過校驗，則讀取所述可信標識安全附加文件中的信息，做安全附加驗證即進行下一步；否則認為所述可信標識安全附加文件非法，不再處理該可信標識安全附加文件，驗證未通過。22)如果所述可信標識安全附加文件中設置了網站圖標，則所述客戶端設備需要在該網站可信標識展示彈窗中，顯示該圖標，進行下一步。23)如果所述可信標識安全附加文件中設置了 IP位址校驗，則客戶端需要校驗當前訪問網站伺服器的IP位址是否在該可信標識安全附加文件設置的IP位址列表段中，否則校驗不通過，通過則執行下一步。24)如果所述可信標識安全附加文件中設置了 dnssec校驗，則客戶端設備在訪問該網站時沒有使用dnssec查詢,則需要補充做dnssec校驗，向客戶端設備設定的支持 dnssec的域名伺服器做dnssec域名查詢；如果客戶端設備沒有設定特定的dnssec域名伺服器，則使用默認的或系統默認的域名伺服器查詢；
如果客戶端查詢的結果不符合dnssec結果，則提示dnssec查詢失敗，建議配置 dnssec ；如果dnssec返回的記錄結果正確,但和客戶端設備當前訪問的網站IP位址不一致，則客戶端設備做提示域名可能被劫持，存在安全風險。如果dnssec返回的記錄結果正確,但和客戶端當前訪問的網站IP位址一致，則通過dnssec校驗。步驟2022，如是所述第三方網站驗證機構直接生成具有籤名的所述可信標識文件時，客戶端設備只需要校驗可信標識文件即可。如圖4所示，其處理步驟包括A)客戶端設備使用該第三方網站驗證機構的證書公鑰，校驗該可信標識文件的籤名，如果校驗通過，則證明可信標識文件確實是第三方網站驗證機構籤發的，客戶端設備會信賴該可信標識文件；否則校驗不通過，客戶端設備則停止校驗；B)客戶端設備根據可信標識文件中的有效期，檢查該可信標識文件是否有效，如有效，則根據所述可信標識文件和當前訪問域名判斷是否一致，如一致則執行下一步；C)通過有效期檢查後，客戶端設備根據可信標識文件中的可信標識狀態在線查詢地址(crl地址)，檢查該可信標識是否被吊銷；當該網站因某種原因被吊銷了可信標識後， 客戶端設備在校驗此步驟時，將不會通過。該步驟確保了可信標識的權威性和有效性。D)如果可信標識文件中設置了網站圖標，則客戶端設備還需要在網站可信標識展示彈窗中，顯示該圖標。下面步驟E)和F)可以如圖5所示。E)如果可信標識文件中設置了 IP位址校驗，則客戶端設備還需要校驗當前訪問該網站伺服器的IP位址是否在文件設置的IP位址列表段中，否則校驗不通過。F)如果可信標識文件中設置了 dnssec校驗，而且客戶端設備在訪問該網站時沒有使用dnssec查詢,則需要補充做dnssec校驗，向客戶端設備設定的支持dnssec的域名伺服器做dnssec域名查詢；如果客戶端設備沒有設定特定的dnssec域名伺服器，則使用客戶端設備默認的或系統默認的域名伺服器查詢；如果客戶端設備查詢的結果不符合dnssec結果,則提示dnssec查詢失敗,建議配置 dnssec。如果dnssec返回的記錄結果正確,但和客戶端設備當前訪問的網站IP位址不一致，則客戶端設備進行提示域名可能被劫持，存在安全風險；如果dnssec返回的記錄結果正確,但和客戶端設備當前訪問的網站IP位址一致， 則通過dnssec校驗。步驟203，當客戶端設備對該網站的證書文件和所述可信標識文件中包含有可信標識安全附加文件都通過校驗後，則所述客戶端設備顯示該網站可信驗證標識，並提示當前訪問的網站是可信網站。對於步驟203來說，用戶可通過點擊或滑鼠懸停等事件，觸發客戶端設備來顯示該網站詳細的基本信息，包括在可信標識文件中定義的網站域名、站點名稱、網站所屬機構或所屬企業名稱、驗證級別、第三方網站驗證機構等信息。另外，客戶端設備還可以同時提供更詳細信息點擊查詢功能，當網民點擊該功能時，客戶端設備根據所述可信標識文件中的Verify Point地址和該網站可信編碼，跳轉到第三方網站驗證機構詳細信息驗證系統地址查驗該網站更詳細的信息。下面描述所述客戶端設備對網站可信標識的更新過程。步驟301，當網站信息變化或證書到期前，網站管理設備需要到第三方網站驗證機構更新網站驗證資料，進行重新驗證。在通過驗證後，第三方網站驗證機構會給網站管理設備重新籤發新的可信標識文件，然後網站管理設備將新的可信標識文件安裝到該網站。步驟302，當網站的dns信息或IP位址變化時，且所述可信標識文件是使用CA籤發時，IP位址是保存在所述可信標識安全附加文件中的，所以在證書有效期內，網站管理設備可隨時使用證書私鑰隨時籤發新的可信標識安全附加文件，自行更換網站上文件；當站點dns信息或IP位址變化時，且當可信標識文件是使用所述第三方網站驗證機構的證書籤名時，dns和IP位址是保存在可信標識文件中，並經過了所述第三方網站驗證機構籤名，所以用戶IP位址變更，需要到第三方機構提交申請，由所述第三方網站驗證機構重新生成新的具有籤名的可信標識文件，網站管理設備將該新的具有籤名的可信標識文件安裝到該網站上。使用本方案可以達到以下效果首先，本發明的方案中使用兩種可選的方式CA證書方式和文件籤名方式，來解決網站可信標識安裝和識別；該方案是基於PKI體系的加密驗證方式，具有很強的安全性， 這確保了網站信息文件不可被複製和篡改，滿足方案安全性需求。其次，防複製方面，客戶端設備在對網站信息文件進行真實性校驗之後，再根據網站域名、IP等信息進行二次校驗，達到防複製驗證的功能。第三，在防dns劫持方面，本發明的方案提供了較大的靈活性，網站管理設備可以根據自己網站的安全性要求，選擇是否增加IP位址校驗或dnssec校驗兩種方式。對使用了⑶N加速的網站，由於其IP位址動態變化，無法使用IP位址校驗方式，可以在dns上配置dnssec,並在網站信息文件中增加dnssec驗證,客戶端設備在驗證dns信息時會使用 dnssec方式進行dns查詢，防止客戶端設備被dns劫持。對政府類網站,使用了靜態固定 IP位址，則直接在網站信息文件中增加IP信息校驗會更加容易和方便。為解決網站IP位址變更問題，網站管理設備可以隨時登錄該網站的後臺系統修改網站信息，對可信標識文件重新生成。安裝上，網站管理設備只需要擁有網站文件上傳功能，即可完成安裝。對網站是否為虛擬主機、vps、獨享主機沒有要求，也不需要用戶對web頁面編碼有技術基礎，真正做到了簡單易用，易於安裝。上述實施例中另一種變形方式為使用dnscurve替換dnssec方式，也可以達到相同的效果，也屬於本方案的其中一個實現方式。其中，Dnscurve和dnssec—樣,是dns安全擴展的另一種標準。其使用方法和dnssec類似，也就是文中所有dnssec的地方都可以使用dnscurve方法替代。這裡是為了保護，防止有人使用dnscurve替換dnssec,繞過方案的保護範圍。與現有技術相比，本發明所述的一種網站可信標識安裝及識別方法，能夠解決現有網站可信標識的安裝問題以及無法防止dns劫持等安全識別問題，且提供一種更加簡單、更安全、更易於辨識、有更好兼容性的方法。
綜上所述，本發明實現了以下目的I)安裝方便，適用於各種建站環境，比如虛擬主機、vps、獨立主機等情況，易於安裝。2)更高的安全性，標識具有唯一性和防偽性，可以解決釣魚網站和非法網站對標識內容的複製，偽造，篡改，dns劫持等情況，避免網民因為偽造的標識造成額外損失。3)可驗證性，為保證安裝的可信標識安全，方案實現了客戶端對網站標識的驗證。4)易於辨識性，可信標識非常明顯，方便網民識別標識，以及識別網站的基本信
肩、O5)較強的兼容性，兼容各種客戶端情況，比如瀏覽器、手機瀏覽器、搜尋引擎爬蟲、 IM客戶端等。當然，本發明還可有其他多種實施例，在不背離本發明精神及其實質的情況下，熟悉本領域的技術人員可根據本發明做出各種相應的改變和變形，但這些相應的改變和變形都應屬於本發明所附的權利要求的保護範圍。
權利要求
1.一種網站可信標識安裝及識別方法，其特徵在於，包括網站管理設備將需要進行可信標識安裝的網站信息和企業基本信息交給第三方網站驗證機構進行可信驗證；如可信驗證通過，所述網站管理設備將生成的具有籤名的可信標識文件上傳到該網站根目錄或由該網站伺服器進行配置；客戶端設備的瀏覽器訪問網站時，所述客戶端設備首先判斷該網站是否有所述可信標識文件，如有則判斷該可信標識文件的構成進行驗證，如驗證通過則所述客戶端設備顯示該網站可信驗證標識。
2.如權利要求I所述的網站可信標識安裝及識別方法，其特徵在於，進一步還包括 如可信驗證通過，所述第三方網站驗證機構的CA給網站管理設備籤發證書；所述網站管理設備完成證書下載，並籤發可信標識安全附加文件；所述網站管理設備將所述證書的公鑰和所述可信標識安全附加文件生成可信標識文件。
3.如權利要求I所述的網站可信標識安裝及識別方法，其特徵在於，進一步還包括 如可信驗證通過，所述第三方網站驗證機構直接生成具有籤名的所述可信標識文件給所述網站管理設備。
4.如權利要求2所述的網站可信標識安裝及識別方法，其特徵在於，所述可信標識安全附加文件中包括DNSSEC校驗開關，用於標記是否需要進行DNSSEC校驗。
5.如權利要求4所述的網站可信標識安裝及識別方法，其特徵在於，所述可信標識安全附加文件中還包括IP位址校驗開關，用於標記所述客戶端設備是否進行IP位址校驗。
6.如權利要求5所述的網站可信標識安裝及識別方法，其特徵在於，所述可信標識安全附加文件中還包括可信標識安全附加文件的籤名，用於使用證書私鑰對生成的所述可信標識安全附加文件做數字籤名。
7.如權利要求I所述的網站可信標識安裝及識別方法，其特徵在於，進一步還包括 當該網站信息變化或證書到期前，所述網站管理設備需要到所述第三方網站驗證機構更新驗證資料，進行重新驗證。在通過驗證後，所述第三方網站驗證機構會給所述網站管理設備重新籤發新的可信標識文件，所述網站管理設備將新的可信標識文件安裝到該網站。
8.如權利要求6所述的網站可信標識安裝及識別方法，其特徵在於，進一步還包括 當該網站的dns信息或IP位址變化時，且所述可信標識文件是使用所述第三方網站驗證機構的CA籤發時，IP位址是保存在所述可信標識安全附加文件中的，在證書有效期內， 該網站管理設備可隨時使用證書私鑰隨時籤發新的可信標識安全附加文件並自行更換。
9.如權利要求3所述的網站可信標識安裝及識別方法，其特徵在於，進一步還包括 當該網站的dns信息或IP位址變化時，且當所述可信標識文件是使用所述第三方網站驗證機構的證書籤名時，所述第三方網站驗證機構重新生成新的具有籤名的可信標識文件，所述網站管理設備將該新的具有籤名的可信標識文件安裝到該網站上。
10.如權利要求6所述的網站可信標識安裝及識別方法，其特徵在於，所述可信標識安全附加文件還包括網站圖標，用於為具有可自定義在客戶端設備的可信標識上展示的網站縮略圖標； 網站IP位址列表，用於網站為靜態IP時，將所述IP位址校驗開關打開，並添加信任的 IP位址列表；DNSSEC校驗使用的DNS伺服器地址列表，用於當網站為⑶N加速或動態IP配置，無法使用靜態IP做DNS劫持校驗，並且該網站配置了 DNSSEC時，打開所述DNSSEC校驗開關，並設置所述DNSSEC校驗使用的DNS伺服器地址列表。
11.如權利要求3所述的網站可信標識安裝及識別方法，其特徵在於，所述可信標識文件中包括IP位址校驗開關、標記客戶端是否進行IP位址校驗、DNSSEC校驗開關和/或標記客戶端是否進行DNSSEC校驗。
12.如權利要求11所述的網站可信標識安裝及識別方法，其特徵在於，所述可信標識文件中還包括網站域名、站點名稱、網站所屬機構或所屬企業名稱、網站在其企業中所屬部門、網站所在的市、省、國；網站所屬機構的組織機構代碼證號或所屬企業的執照號、所屬機構或企業的類別、所屬機構或企業所在的市、省、國；第三方網站驗證機構登記的可信編碼、驗證級別、第三方網站驗證機構信息和/或可信標識的狀態在線查詢地址。
13.如權利要求9所述的網站可信標識安裝及識別方法，其特徵在於，所述網站域名進一步包括單域名、多域名，通配符域名和/或中文域名；所述第三方網站驗證機構信息中進一步包括有第三方網站驗證機構詳細信息驗證地址。
全文摘要
本發明公開了一種網站可信標識安裝及識別方法，包括網站管理設備將需要進行可信標識安裝的網站信息和企業基本信息交給第三方網站驗證機構進行可信驗證；如可信驗證通過，所述網站管理設備將生成的具有籤名的可信標識文件上傳到該網站根目錄或由該網站伺服器進行配置；客戶端設備的瀏覽器訪問網站時，所述客戶端設備首先判斷該網站是否有所述可信標識文件，如有則判斷該可信標識文件的構成進行驗證，如驗證通過則所述客戶端設備顯示該網站可信驗證標識。本發明能夠解決現有網站可信標識的安裝問題以及無法防止dns劫持等安全識別問題，且提供一種更加簡單、更安全、更易於辨識、有更好兼容性的方法。
文檔編號H04L9/32GK102611707SQ20121007661
公開日2012年7月25日 申請日期2012年3月21日 優先權日2012年3月21日
發明者盧文哲, 高寧 申請人:北龍中網(北京)科技有限責任公司