ICANN рассказала об итогах замены ключей в мировом интернете

После 11 октября, когда прошла первая в истории замена ключей шифрования, часть интернет-провайдеров все еще проводит обновления, признала ICANN.

После 11 октября, когда прошла первая в истории замена ключей шифрования, часть интернет-провайдеров все еще проводит обновления, признала ICANN.

Корпорация по управлению доменными именами и IP-адресами (ICANN) впервые рассказала о деталях смены ключей шифрования для расширения, защищающего интернет-адреса от хакерских атак. Замена ключей проводилась первый раз в истории 11 октября. Незадолго до этой даты ICANN предупредила — в работе мировой Сети могут возникнуть проблемы, если не все интернет-провайдеры проведут обновления.

Замена прошла без каких-либо серьезных сбоев, сообщила глава по глобальному взаимодействию с заинтересованными сторонами в Восточной Европе и Центральной Азии ICANN Александра Куликова, выступая на третьем Восточноевропейском DNS-форуме во вторник, 4 декабря. «Все состоялось довольно благополучно с учетом ранее ожидаемых сбоев, и нам не очень понятно почему», — призналась она.

Чего боялись в ICANN и почему интернет не распался на части, разбирался РБК.

Что произошло 11 октября

11 октября состоялась смена криптографических ключей

11 октября состоялась смена криптографических ключей, которые служат защитой для системы доменных имен интернета (DNS). Такие ключи появились в 2010 году по инициативе ICANN. Они применяются в расширении DNS Security (DNSSEC) и необходимы для проверки подлинности ответов, что исключает возможность перехвата запроса, отправленного компьютером пользователей, злоумышленниками. Новый ключ должны были установить себе те, кто управляет распознавателями с функцией проверки подлинности, например интернет-провайдеры, администраторы сетей, разработчики программного обеспечения для распознавателей DNS, системные интеграторы и т.п.

ICANN взяла на себя обязательство, что будет менять криптографические ключи при необходимости или по истечении пяти лет работы. Однако первую в истории смену ключей несколько раз откладывали из-за низкой готовности интернет-провайдеров. В августе 2018 года ICANN предупредила, что небольшой процент интернет-пользователей испытает сложности при разрешении доменных имен (то есть при преобразовании имени ресурса в числовой IP-адрес, например rbc.ru — в 80.68.253.13), которые компьютеры используют для соединения друг с другом. Из-за таких сложностей часть пользователей не сможет открыть указанный ими в адресной строке браузера сайт.

Как прошел переход?

Как прошел переход?

Как сообщила Александра Куликова, количество сообщений о сбоях в работе провайдеров было небольшим (менее десяти), они были получены через неформальные каналы (Twitter, e-mail рассылки и форумы). «Судя по всему, они были устранены без особых проблем. Напрямую к ICANN обращений не поступало», — отметила Куликова. В ICANN также «отследили две публикации в СМИ», в которых говорилось о сбоях в работе провайдеров из Ирландии (Eir) и США (Consolidated Communication), однако неясно, связаны ли эти сбои именно с заменой ключей.

Благополучность перехода в ICANN объяснить пока не могут.

«Это может говорить о недостаточности данных для их интерпретации. Мы продолжаем анализ события вместе с техническим сообществом», — отметила Куликова. По ее словам, количество запросов на новые ключи возросло в момент их смены, но даже сейчас остается относительно высоким.

«Вопрос состоит в том, почему количество запросов не падает. Есть подозрение, что существует какое-то количество серверов, которым не удается сверить ключи и соединиться, и они автоматически заново отправляют запросы. Это один из нерешенных вопросов сейчас», — пояснила Куликова.

Почему интернет не сломался

Благополучность перехода в ICANN объяснить пока не могут. «Это может говорить о недостаточности данных для их интерпретации. Мы продолжаем анализ события вместе с техническим сообществом», — отметила Куликова. По ее словам, количество запросов на новые ключи возросло в момент их смены, но даже сейчас остается относительно высоким. «Вопрос состоит в том, почему количество запросов не падает. Есть подозрение, что существует какое-то количество серверов, которым не удается сверить ключи и соединиться, и они автоматически заново отправляют запросы. Это один из нерешенных вопросов сейчас», — пояснила Куликова.  Почему интернет не сломался  Как ранее поясняла РБК Куликова, потенциально с проблемами могут столкнуться те пользователи, у которых доступ в интернет так или иначе зависит от операторов, использующих расширение DNSSEC. В 2017 году таких насчитывалось около 750 млн человек — это примерно четверть всех пользователей интернета. В то же время Куликова говорила, что все крупные игроки заранее произвели необходимые обновления и их клиенты не должны были заметить переход.

Как ранее поясняла РБК Куликова, потенциально с проблемами могут столкнуться те пользователи, у которых доступ в интернет так или иначе зависит от операторов, использующих расширение DNSSEC. В 2017 году таких насчитывалось около 750 млн человек — это примерно четверть всех пользователей интернета. В то же время Куликова говорила, что все крупные игроки заранее произвели необходимые обновления и их клиенты не должны были заметить переход.

По словам старшего вице-президента и технического директора ICANN Дэвида Конрада, также выступавшего на DNS-форуме, если устройство пользователя обратилось к серверу, который не произвел замену ключа, оно может переключиться на другой сервер, который не использует расширение безопасности DNSSEC и потому не нуждается в подтверждении ключа.

По словам директора Координационного центра доменов.RU/.РФ Андрея Воробьева, «возможно, были какие-то перебои, например, могла не с первого раза запуститься страница, но пользователи списывали их на что-то другое — на потерю сигнала, например». Современные системы разветвленные — это особенность архитектуры, они многократно дублируют сами себя, и одна часть может подстраховать другую, пояснил Воробьев. «О внутренней жизни сети может знать только сам оператор», — отметил он.

*************************

Как пояснил РБК руководитель проектов DNS Центра взаимодействия компьютерных сетей «МСК-IX» Павел Храмцов, скорее всего, провайдеры отключили проверку через DNSSEC, поэтому клиенты просто не заметили никаких проблем.

«Конечный клиент все равно всегда получает ответ от оператора и попадает на нужную ему страницу, соответственно, никто не жалуется. Если бы проверкой достоверности полученных из системы DNS данных занимался сам конечный клиент, то тогда он бы сам мог столкнуться с проблемой», — сказал Храмцов. Зачастую архитектура сетей операторов устроена очень сложно, поэтому любые изменения настроек требуют длительной работы инженеров и тестирования — это сложная задача, пояснил Воробьев.


Автор: Евгения Баленко

# — РБК

Фото: Tim Hales / AP

© content.foto.google.com

Введите Ваш email адрес, что бы получать новости:    




Рейтинг@Mail.ru