Нам сложно представить жизнь без интернета. Недавний сбой в работе Facebook вызвал если не массовую истерию, то по крайней мере обеспокоенность и нервозность. Мне самой казалось, словно мировая сеть － некое божество, не зависящее от человека и не подчиняющееся ему, однако это не так. У человечества есть вполне реальная возможность отключить интернет. И нужно для этого всего семь человек.
Представьте, одним прекрасным утром вам внезапно прилетает электронное письмо от банка. Там говорится, что вы должны обновить пароль по соображениям безопасности. Вы обновляете его. И… пуфф! Все ваши деньги растворились в воздухе. Прямо как вещи из рук Дэвида Копперфильда.
Но этот исход вовсе не обязателен, так как есть люди, которые заботятся об интернете, как о ребенке в утробе матери.
Контролировать интернет легко. Каждый раз, когда моей матери нужно сказать что-то важное, она просто выдергивает маршрутизатор Wi-Fi из розетки. И вуаля! Минуту спустя все мои братья и сестры уже оказываются рядом. Берите на заметку.
Сага об ICANN
Есть группа ботаников, называющихся ICANN (Internet Corporation for Assigned Names and Numbers) － Корпорация по управлению доменными именами и IP-адресами. Короче говоря, ICANN говорит:
«Я могу выключить интернет. Подержите моё пиво».
ICANN раздали семь ключей людям по всему миру. С этими специальными ключами можно выключить и перезапустить всю мировую сеть.
Здесь уже можно начинать шутить про братство ключей, однако у нас нет на это времени. Нам необходимо разобраться в куче сложных терминов. Начиная с…
DNS
Если вдруг вы не знаете, что такое DNS, я объясню. И нет, это не магазин электроники.
Все компьютеры, подключенные к интернету, идентифицируются через длинные номера, так называем IP адреса, или Internet Protocol addresses (адреса интернет протокола).
К примеру, я хочу залезть в Твиттер, чтобы пролистать бесконечный микс из сплетен, злости, нативной рекламы и видео Канье Уэста, который говорит о проблемных вещах. Я не хочу вводить 199.59.148.0 － это IP адрес одного из серверов, на котором расположен Твиттер. Я хочу ввести www.twitter.com, чтобы меня отвели туда, где я увижу фотографии людей, посещающих вечеринки во время пандемии.
Итак, мой компьютер должен перевести www.twitter.com в правильный IP адрес. Он делает это, сперва задавая целый ряд вопросов.
Для начала он спрашивает Клиппи. Но Клиппи не знает.
Так что вместо этого он спрашивает операционную систему. Она может знать. Если операционная система не знает, она спрашивает нечто, называемое рекурсивным сервером имен. Угадайте, что дальше? Правильно, если сервер имен не знает, он спрашивает у тринадцати мировых корневых серверов. Они посылают вас на сервер домена верхнего уровня. В таком случае сервер, который управляет всеми .com, отправляет вам правильный авторитетный сервер имен. А потом он такой: «О, да! Твиттер это 199.59.148.0».
Однако вам нужен кто-то, кто будет управлять всей системой. Администрация в первую очередь удостоверяется, что IP адреса не раздаются направо и налево, и, что более важно, держит всё в безопасности.
Таким образом, люди не могу приходить и говорить, что IP адрес government.ru на самом деле ведет на сайт отдай-мне-все-свои-деньги-прямо-сейчас-точно-сто-процентов-не-развод.рф.
Я надеюсь, это всё прояснит.
ICANN и DNSSEC
Итак, ICANN проверяет подлинность DNS с помощью системы под названием DNSSEC. Я вам обещаю, скоро мы доберемся до таинственных ключей. Однако до этого нам надо выяснить, как работает DNSSEC.
Первая важная идея － это асимметричное шифрование. Оно включает в себя приватный и публичный ключи － длинные числа, соединённые математически. Публичный ключ доступен всем, приватный хранится в секрете и доступен лишь одному человеку. Это важно: при помощи приватного ключа вы можете поставить так называемую электронную подпись на документе, чтобы кто-то мог, взглянув на соответствующий публичный ключ, сказать: «О, основываясь на том, что говорит этот открытый ключ, я знаю, что эту подпись поставил человек с подходящим приватным ключом».
Именно так проверяется подлинность DNS. Информация, что Твиттер это 199.59.148.0 подписана приватным ключом, который принадлежит Твиттеру. Затем мой компьютер использует публичный ключ Твиттера, смотрит на подпись и говорит: «Ага, эта подпись совершенно точно была поставлена, используя приватный ключ Твиттера, так что информация достоверна».
Но чтобы знать, что их публичный ключ является достоверным, он подписан еще высшим органом власти, и так далее, и так далее, пока он не будет подписан ICANN, который я упоминал ранее, используя единственный приватный ключ.
IP-адрес каждого отдельного сайта в DNS в конечном счёте защищен единственным публичным и приватным ключами, которые называются якорями доверия.
Аппаратные модули безопасности
Сейчас числа, составляющие приватный ключ ICANN, который защищает весь DNS, хранятся на жёстких дисках внутри ящиков, называемых аппаратными модулями безопасности или HSM (Hardware Security Modules). Всего их четыре, и хранятся они парами на станциях ICANN в США на расстоянии чуть более 4000 км друг от друга: в Калпеппере, Вирджиния и в Эль-Сегундо, Калифорния.
Как только вы проберетесь мимо вооруженных охранников и пин-кодов, сканеров карт, биометрических замков и медведей, сражающихся на мечах, чтобы попасть в аппаратные модули безопасности, вам понадобится несколько смарт-карт. Они хранятся в других ящиках, которые можно открыть только физическими ключами, которые, наконец, находятся у семи человек по всему миру.
А, и я пошутил насчет медведей, сражающихся на мечах. Всем известно, что ICANN используют акул, вооруженных нунчаками.
Хранители ключей не являются мировыми лидерами или вроде того, они просто эксперты по безопасности, назначенные ICANN. Вот эти люди:
- Paul Kane (Великобритания)
- Dan Kaminsky (США)
- Jiakang Yao (Китай)
- Moussa Guebre (Буркина-Фасо)
- Bevil Wooding (Тринидад и Тобаго)
- Ondrez Suri (Чешская Республика)
- Norm Ritchie (Канада)
Если с DNS что-то пойдет не так, пятерым из семи держателей ключей придется отправиться на станции ICANN, использовать свои ключи (это называется «церемонией ключей»), чтобы добраться до смарт-карт, затем использовать их, чтобы открыть ящик с приватным ключом ICANN. После этого они используют ключ, чтобы отключить DNS, а вместе с ним и подавляющее большинство функций интернета, и перезагрузить систему.
Переводчик: Мария Болмусова
Фото автора Field Engineer: Pexels
