Двадцать человек четырежды в год собираются вместе для проведения определенной церемонии. По сути собрания напоминают стандартные совещания в офисе, только есть одна особенность. Это серьезные меры безопасности, которые всем участникам приходится проходить. В противном случае они не достигнут своей цели и их не пропустят. Для проверки личности используются сканеры отпечатков, проверка биометрических данных, устройства, сканирующие сетчатку глаз. Этот список далеко не полный. Да и сам повод для встречи нельзя назвать банальным и стандартным. Дело в том, что среди участников есть хранители особого ключа от всемирной Сети. Если сложить все эти ключи воедино, они являются мастер-ключом, который осуществляет контроль над одной из основных мер, обеспечивающих безопасность. Она является основой работоспособности интернета – DNS.

Кто такие хранители, что это за ключ, зачем он нужен, как проходят встречи, рассказывается на baza.io.

Что собой представляет DNS

Чтобы открыть интернет-сайт, в браузере нужно ввести его IP-адрес или имя. Людям удобнее и проще пользоваться вторым, тогда как машине первым вариантом. В связи с этим требуется присутствие посредника, преобразующего символы в такие адреса.

Domain Name System является хранителем и управляющим сведениями о доменных зонах.

Чтобы было проще понять, DNS рассматривают со стороны телефонного справочника, где содержатся имена людей (URL-адреса) с их телефонными номерами (имеются в виду IP-адреса). Эта система находится не в виртуальном мире, а на специальных серверах с соответствующим программным обеспечением.

Принцип действия сервера DNS

Человек формирует запрос в браузер, который перенаправляет его этому серверу. Последний занимается поиском совпадений. При обнаружении правильного ответа сразу же выдает нужную страницу. При отсутствии совпадений запрос перенаправляется дальше – на сервер, только его уровень уже на порядок выше, или же на корневой.

Дальше запрос уходит серверу 1-о уровня, а от того серверу 2-о уровня. Цепочка передачи запроса прерывается только тогда, когда совпадение обнаруживается.

В браузер поступает ответ на заданный запрос, он его отправляет к хостингу, после чего открывается требуемая страница.

Где размещаются серверы DNS

Базой для обработки запросов выступают корневые серверы, которые отвечают за DNS. Всего в мире таких серверов тринадцать. Руководят ими различные операторы, которые действуют согласно договору с ICANN. Сюда входят организации американского Минобороны, ассоциации некоммерческого типа, университеты. В Соединенных штатах находится десять серверов. Остальные три в Японии, Швеции, Нидерландах. Кроме них существуют дубликаты, количество которых исчисляется сотнями. Одиннадцать из них находится в Российской Федерации. Полностью система не подконтрольна какой-то одной конкретной организации, так как операторы не зависят от корпорации ни в финансовых вопросах, ни в юридических.

Церемониальная процедура проверки

В создании ICANN в 1998 г. принимали участие американские власти. Организация создавалась с целью решения вопросов, касающихся доменных имен и других пунктов работы интернет-сети. Независимой организация стала с 2016 г. Составляющей масштабных мер по организации безопасности сети выступает созданная здесь система с применением мастер-ключа и его разрозненное хранение.

Начиная с 2010 г., те, у кого находятся эти ключи (их называют держателями) организовывают ежегодно четыре встречи. Де из них проходят на Восточном американском побережье и столько же на Западном. Цель встреч – обновление ключей и проверка защищенности сети. Хранителями являются эксперты в сфере безопасности, участники комьюнити, проживающие в разных странах. Группа подбиралась, исходя из опыта каждого человека в отдельности и их территориальной принадлежности. Дело в том, что ни одна страна мира не имеет права держать контроль над большим числом ключей. В противном случае власть может стать централизованной, причем, в одном месте, чего допустить нельзя.

Среди хранителей есть как мужчины, так и женщины. Именно они осуществляют контроль над DNS. Практически при каждой встрече они занимаются проверкой достоверности всех записей, имеющихся в этих онлайн-книгах с адресами. Если IP-адреса были подменены, интернет-пользователь рискует попасть на вирусный сайт, который ворует персональные данные и позволяет мошенникам взломать ПК.

«Ритуал» подразумевает под собой генерацию обновленного мастер-ключа, активируемого впоследствии смарт-картами, подписываемого хранителями и загружаемого на носители USB для серверов доменных зон.

В тех церемониях, которые проводятся на побережьях, участвуют по семь специалистов-держателей. Еще 7, разбросанных по миру, наделены правом восстанавливать работоспособность системы в экстренном порядке, если вдруг возникнут проблемы. На каждое из побережий приходится по семь ключей (в целом четырнадцать). Каждый из их держателей имеет еще и ключ, речь о металлическом изделии, который открывает сейф. В нем и лежит смарт-карта, активирующая прибор, отвечающий за создание мастер-ключа.

На всякий случай, для перестраховки, у подстраховывающей группы людей есть смарт-карты с отдельными частями кода, который требуется, чтобы сделать новый генератор для создания мастер-ключей. Раз в год каждый из этой семерки делает селфи, держа в руках газету с текущей датой и своим ключом. И отправляет снимок в ICANN. Это делается, чтобы в компании понимали, что с человеком ничего не случилось.

Как ни странно, но первый этап отбора этих хранителей прошел практически незаметно. На своем сайте компания разместила объявление о том, что набираются участники. В ответ пришло всего сорок заявок (позиций было 21). Список людей, участвующих в мероприятии, не скрывается и, если сравнивать с 1-й церемонией, то изменился незначительно. Представителем от России выступает Д. Бурков, один из первооткрывателей рунета.

Порядок проведения церемонии

На Западном побережье данную церемонию проводят вблизи Лос-Анджелеса на ничем не отличающейся территории промзоны, которая охраняется. Здание отличается минимальным количеством окон, а в зале, где и проходит все это действие, они вообще отсутствуют. За то здесь есть огромное количество разнообразных камер, сканеров и датчиков. Без сканирования руки, смарт-карты и введения пин-кода не попадешь даже в столовую. Потом человек попадает в маленькую комнату с только одной открытой дверью. Для выхода предусмотрен другой порядок смарт-карт и прочих защитных действий.

В зал, являющийся главным в этом здании, никто из посторонних не имеет доступа. Сюда не зайдет ни уборщица, ни охранники. Участники лично подготавливают его. Церемония представляет собой план, в котором есть более сотни пунктов. Все расписано практически поминутно. Если вдруг где-то образовалась даже незначительная задержка, это вносится в протокол мероприятия. Участники его впоследствии обязаны прочитать и поставить свою подпись.

Войти внутрь можно только тогда, когда уполномоченный специалист ICANN пройдет сканер, идентифицирующий личность по сетчатке глаза. После этого все оказываются в помещении, отдаленно напоминающем приемную в медицинской клинике. Ряды с закрепленными металлическими креслами, напротив которых расположен стол. По другую сторону помещения стоят два супербезопасные сейфы в специальной клетке. Вверху под потолком работают камеры. Отсюда на сайте компании ведется прямая трансляция.

Кстати, для церемонии не обязательно семь держателей – не меньше трех. Сотрудник компании вместе с держателями входят в клетку и забирают из сейфа свои карты. Они лежат в сейфах в спецпакетах, оснащенных защитой от несанкционированного вскрытия.

Дальше происходит настройка компьютера с дальнейшим подключением к нему ряда накопителей USB. Перед окончанием церемонии один из них используется, чтобы загрузить в Сеть утвержденный ключ. Код загружается на определяющие контроль над доменными зонами сервера.

Поле этого идет настройка генератора основного ключа – HSM. Внешний вид устройства абсолютно непримечательный. Обычная серая небольшого размера коробка, на которой есть клавиатура. Кроме этого, на передней панели находится слот для карт. При неаккуратном движении, например, если ее встряхнуть или уронить, все ключи, хранящиеся в ней, будут уничтожены. Активация ее происходит при помощи взятых из сейфов смарт-карт.

Хранители передают каждый свою карту и генератор запускается. В него вводят программный код, генерирующий цифровой ключ. После этого накопитель USB попадает к другому специалисту компании. В будущем именно он передаст его по хорошо защищенному от взломов каналу для размещения в Сети. Действие ее рассчитано на трехмесячный срок. Затем церемония повторяется.  

Дальше проходит обратная процедура по возвращению смарт-карт в сейфы.

К чему такая торжественность и прямой эфир

Часто поддается критике то, что одной из наиболее важных задач по обеспечению глобальной безопасности Сети выступает не организация международного формата или правительственное формирование, а ICANN, база которой находится в Америке. Что касается самой церемонии, нередко чрезмерной, то это делается, чтобы показать окружающим, с какой ответственностью относится компания к выполняемой ею миссии, когда имеется в виду поддержка доверия.

В 2016 г. осенью (октябрь месяц) закончился контракт, подписанный ICANN, американским Министерством торговли и NTIA. В итоге поддержка реестра доменов самого верхнего уровня и корневых серверов перешла к Verisign, тогда как за ICANN осталось администрирование адресного пространства. У компании отпала необходимость в предварительном согласовании собственных действий с американским правительством. Такой поворот несколько уменьшил количество высказываний критикующего содержания.

Как для России, так и многих других государств, отстранение правительства Соединенных Штатов от контроля над Интернетом являлось долгожданным и желанным происшествием. Не только Россия, но и Китай, Бразилия в течении долгих лет добивались передачи функций контроля ООН или другой организации международного формата.

Несмотря на это, подавляющая часть дата-центров и инфраструктуры технического типа, которые поддерживают функционирование системы, расположены в Штатах.

Есть и еще один момент, о котором стоит упомянуть. ICANN не согласна с таким понятием, как ключи от Сети, так как их просто нет. Ключей, запускающих функционирование Интернета, вообще никогда не было. Процедура, о которой шла речь относится исключительно к одному компоненту Сети из огромного их количества – DNSSEC. Основой являются криптоключи. Их иерархия берет начало на уровне DNS. Это и есть зона ответственности ICANN. Использовать такой ключ вне HSM-модуля нельзя.

Что произойдет в случае потери доступа ко всем ключам

Учитывая уровень безопасности, такой вариант невозможен в принципе. Но компания на всякий случай перестраховалась и создала резервный вариант. Если перестанут работать модули, их компания закажет у того же производителя и восстановит из копий ключи. На этот случай предусмотрено проведение специальной церемонии.  

Интернет – сложная сеть, состоящая из огромного количества систем, и управление одной из них не может обеспечить абсолютный контроль над сетью.