Корпорация по управлению доменными именами и IP-адресами (ICANN) готовится к замене криптографических ключей защиты DNS-серверов 11 октября. Если что-то пойдет не так, у миллионов пользователей возникнут проблемы с интернетом.
Система адресации Всемирной паутины устроена таким образом, чтобы нам не приходилось запоминать цифровые IP сайтов – достаточно знать URL на естественном языке (например, infostart.ru вместо 80.93.184.195). DNS-сервер (от англ. Domain Name System) выполнит задачу переводчика за нас и определит, какой веб-ресурс мы ищем, набирая тот или иной адрес или кликая по строке выдачи поисковика.
С тех пор как Сеть стала площадкой для бизнеса, с каждым годом росло число жертв кибермошенников, которые перехватывали запрос пользователя к DNS-серверу и вместо нужного сайта перенаправляли его на подставной, порой визуально неотличимый от оригинала. Поэтому в 2010 году ICANN ввела систему ключей KSK (от англ. Key Signing Key) – расширений безопасности системы доменных имен (DNS Security, или DNSSEC), срок замены которых давно истек.
Зоны корневых DNS-серверов
Источник: Википедия.
Ключевая дата
KSK используются для дополнительной защиты запросов пользователей к системе DNS. Они устанавливаются в конфигуратор (якорь доверия) на серверы корневых (валидирующие резолверы) и локальных (рекурсивные резолверы) доменных зон и обеспечивают гарантию соответствия указанного в запросе URL подлинному IP-адресу. KSK по регламенту подлежат замене каждые пять лет. Но поскольку срок полномочий правительства США по управлению доменными именами истек, а многие крупные операторы оказались не готовы, решили не спешить.
Всерьез про обновление ключей заговорили в июле 2016 года, а на днях корпорация объявила готовность номер один – 11 октября запланирована деактивация действующей версии KSK и переход к новой. Поскольку у операторов было достаточно времени на обновление конфигураторов резолверов, смена ключей должна пройти автоматически и незаметно для остального мира. Более того, двое из каждых трех пользователей интернета вообще не имеют отношения к DNSSEC.
Безопасность ценой риска
Однако, по оценке самой ICANN, существует вероятность, что некоторые резолверы по каким-то причинам оставят в якоре доверия старые ключи – в таком случае DNS-сервер просто не сможет понять, какой сайт у него запрашивают. При этом в силу особенностей валидации ключей корневой доменной зоны так называемыми авторитетными DNS-серверами (отвечающими за домены первого порядка, например, зону .ru) последствия могут проявиться спустя двое суток.
Криптографические офицеры ICANN предупреждают, что для 750 млн рядовых пользователей это может обернуться непредсказуемыми ошибками доступа к странице в браузере (типа «server failure» и SERVFAIL) или загрузкой сайта без картинок, сбоями при обмене почтой, битыми сообщениями и общим замедлением быстродействия Сети. Более серьезные последствия грозят автоматизированным системам и сервисам, подключенным к DNSSEC – сломается не просто синхронизация времени, а весь электронный документооборот.
Помимо этого, ICANN ожидает существенный рост вычислительной нагрузки на всю иерархию DNS из-за увеличения числа запросов на обновление KSK от операторов со старыми ключами. Результаты мониторинга ситуации обещают публиковать на сайте корпорации.
Корневой DNS-сервер зоны K
Источник: Википедия.
Обстановка в зоне .RU
По словам представителей российских провайдеров, им известно о процедуре замены криптографических ключей, и они давно записали их в конфигураторы своих резолверов. При этом некоторые компании косвенным образом заранее перекладывают ответственность за возможные сбои в интернете на ICANN, хотя готовность к 11 октября подтвердили далеко не все операторы.
Вместе с тем, не стоит забывать, что значительные мощности отечественного телекома сейчас брошены на исполнение требований «закона Яровой», а рунет регулярно лихорадит от синдрома сетевой сегментации в результате блокировок Роскомнадзора. В совокупности с традиционными проблемами цифрового неравенства в регионах эти обстоятельства усиливают риски обновления KSK.
Более того, специалисты ICANN отмечают, что «нет возможности предсказать, когда операторы резолверов, на которых отразится обновление, заметят, что у них прекратилась валидация». Иными словами, россиянам стоит рассчитывать лишь на бдительность и компетентность сограждан-айтишников.