dxdt.blog: занимательный интернет-журнал

Записка про DNSSEC в реальности Интернета получила хорошее продолжение.

Благодаря поддержке RU-CENTER, – персональное спасибо Павлу Ильичеву, – содействию ФРИ (Фонд Развития Интернет – администратор домена SU) и ТЦИ (Технический Центр Интернет – оператор реестра), домен nox.su, который я привожу в пример в прошлой записке по теме, подписан по всем правилам. Cоответствующая DS-запись внесена в зону .su без проблем. (Для того, чтобы посмотреть на результат, можно воспользоваться всё тем же инструментом от VeriSign.)

Так что технология DNSSEC в домене с особым статусом SU начала разворачиваться на практике. Это хорошо. Насколько я понимаю, nox.su стал первым подписанным доменом второго уровня в .su. Зато теперь не нужно перебираться в .org с экспериментами: .su, при всех особенностях, вполне себе российский домен.

Вот что сообщают:

23 ноября ночью наземным пунктом Европейского космического агентства (г.Перт, Австралия) в ходе одного из четырех сеансов связи получен радиосигнал с космического аппарата (КА) «Фобос-Грунт» в освещенной части витка.

То есть, выходит, что-то пискнуло. Интересно.

Добавил очередную порцию ссылок на страницу “Избранные записки”. Рубрикатор – в планах.

В корневой зоне DNS технологию удостоверения адресной информации DNSSEC развернули больше года назад. Напомню, что DNSSEC криптографическими методами удостоверяет записи об адресации внутри того или иного домена, сильно затрудняя их подделку. Сейчас можно воспользоваться этим полезным механизмом для доменов, находящихся в наиболее технологически развитых зонах верхнего уровня.

К сожалению, в домене ru DNSSEC появится неизвестно когда, но точно нескоро. Другой российский (по факту) домен – su, – хоть и заявлен недавно на конференции ICANN как поддерживающий DNSSEC, на практике, насколько я смог выяснить, не позволяет воспользоваться защитными механизмами. Записи об su в корне DNS подписаны, но в самой этой зоне мне не удалось найти ни одного подписанного домена второго уровня. Более того, не подписан даже домен администратора SU – fid.su. Для рядового же пользователя проблема в том, что, на практике, отсутствует механизм “привязки” подписанной зоны второго уровня к ключам домена SU.

(Addon (17/11/11): как пишут из ТЦИ, реестр SU поддерживает работу с DNSSEC, но регистраторы пока не реализовали свою часть. Ждём.)

Вообще, подписать саму зону можно не прибегая к услугам администратора домена верхнего уровня (см., например, nox.su, который я подписал в порядке эксперимента – сами записи в зоне подписаны, но цепочка рвётся в .su, разместить там нужные данные сейчас не представляется возможным). “Привязка” доменов к единой цепочке выполняется с помощью специальных DS-записей (Delegation signer), вносимых в зону, уровнем выше удостоверяемой, для построения иерархии, ведущей к корневому ключу (кстати, опубликованному на сайте IANA). Если делать всё добротно, то данные DS-записей для подписывания должны передаваться минуя DNS, по другим каналам, подразумевающим некоторую аутентификацию отправителя – иначе теряется большая часть смысла в развёртывании DNSSEC. Стандартный путь проходит через регистраторов доменов.

Итак, для получения работающей конфигурации пришлось dxdt.ru и nox.su предпочесть домен tooktook.org, так как зона .org корректно подписана и размещение DS-записей в ней поддерживается крупными регистраторами (я воспользовался GoDaddy).

Функционирование каждого домена обеспечивают серверы имён (NS). Для tooktook.org я взял пару серверов с BIND 9.7.3 (это известная реализация DNS-сервера), который полностью поддерживает DNSSEC. На сайте ISC есть подборка инструкций по настройке DNSSEC в BIND-е. Я не стану приводить подробных деталей, потому что это будет офтопик, на мой взгляд (если что, то пишите вопросы в комментарии). Сам процесс создания подписанной зоны DNS несложен, и сводится к генерации нескольких ключей (закрытых и открытых), с последующим удостоверением с их помощью записей в файле зоны. В пакете с BIND есть все утилиты: dnssec-keygen, dnssec-signzone и т.п. То есть, на входе у вас текстовый файл зоны без подписей, на выходе – текстовый файл зоны, но уже с дополнительными записями (RRSIG, DNSKEY), содержащими подписи и открытые ключи для их проверки.

После того, как зона подписана, генерируем DS-запись (записи), содержащую значение хеш-функции от открытой части ключа (KSK), с помощью которого подписан ключ (ZSK), удостоверяющий записи в зоне. (Пара ключей используется для удобства их ротации и оптимизации процедуры подписывания зоны. И, да, можно сгенерировать DS-запись до подписывания зоны.) В случае с доменом tooktook.org я без каких-то трудностей разместил DS-запись при помощи клиентского веб-интерфейса GoDaddy. На удивление, весь процесс – генерация подписанной зоны, размещение записей, – занял примерно 20 минут, включая ожидание обновления информации в DNS.

Теперь tooktook.org подписан (проверить можно с помощью веб-интерфейса от VeriSign). Зачем? Следующий шаг – проверка на практике технологии, дополняющей, с помощью DNSSEC, механизмы использования SSL-сертификатов в браузерах и уже поддерживаемой в Chrome. Нужно же посмотреть, что нас ждёт в ближайшем будущем.

В сентябре очень шумно обсуждалось сообщение о наблюдении нейтрино, летящих со сверхсветовой скоростью. Как обычно, столь странный результат потребовал от физиков-экспериментаторов дополнительной проверки всего оборудования, в том числе, перепроверки “тайминга” для всех электрических цепей и устройств, участвовавших в измерениях. Ну и вообще сообщество физиков ищет самые разные возможные ошибки, связанные с тем нашумевшим экспериментом OPERA.

Появилась и работа (Ronald A.J. van Elburg – arXiv:1110.2685v3), примечательная тем, что там ошибка в измерениях скорости нейтрино объясняется неверной интерпретацией релятивистских эффектов, связанных с работой GPS. Как известно, GPS – это такое живое подтверждение того, что специальная теория относительности работает. А “сверхсветовые нейтрино”, как бы спорят с этой же теорией (хотя, это и не так).

При помощи GPS в исходном эксперименте (давшем “сверхсветовую скорость нейтрино”) синхронизировались часы на разных точках, задействованных в схеме измерений. Экспериментальные данные оперируют масштабами времени в десятки наносекунд, так что задача синхронизации тут технически непростая. И при этом, – если прав автор упомянутой статьи, – выходит, что набралось примерно 60 наносекунд ошибки, причиной которой послужило взаимное движение орбитальных часов (то есть, электроники спутников GPS) и экспериментального оборудования.

Естественно, при подготовке исходного эксперимента релятивистские эффекты учитывались, и сам спор (если так можно выразиться) идёт вокруг того, правильно ли эти эффекты учли. Кроме того, пока что не ясно, кто там вообще прав.

(Via Physics arXiv Blog)

“Фобос-Грунт” аппарат большой. На борту должно остаться топливо. В общем, сход его с орбиты в атмосферу будет заметным событием. Судя по схемам, на борту также находится капсула, предназначенная для доставки грунта с Фобоса. Она прочная, и рассчитана именно на такое “баллистическое” падение. Конечно, тот факт, что капсула для грунта сейчас связана с самим аппаратом, может стать причиной того, что она тоже сгорит. Но всё равно шансы для каких-то обломков прибыть на поверхность Земли очень велики.

Вообще, амбициозность проекта и тут приводит к сплошным негативным последствиям для имиджа: практически всё сообщество энтузиастов-наблюдателей, – из тех, у кого подходящее географическое положение, – будет следить за тем, как “Фобос-Грунт” сгорает в атмосфере. Одно дело, если бы небольшой сбойный спутник остался где-то на орбите, или незаметно сгорел при падении. А тут – раскрученный проект, большая межпланетная станция. Ещё один “красочный” повод для СМИ. И даты довольно интересно подбираются: примерно в тех же числах ноября к Марсу отправляется MSL от NASA. Параллели провести несложно.

Между тем, в конце ноября NASA отправляет на Марс атомный исследовательский вездеход. Да, именно так, потому что MSL (Mars Science Laboratory) питается энергией от радиоизотопного источника. Он обеспечивает и электричество, и тепло для приборов и инструментов робота. Занятно, что источник рассчитан на 14 лет работы. Если новый робот сделан надёжно, – как и два предыдущих марсианских ровера, – то вполне можно поверить, что и лет десять проработает.

Сегодня 11.11.11 – первый день для массового продления регистрации доменов .РФ. Ровно год назад зарегистрировали существенную часть кириллических имён. По итогам продления будет видно, насколько имена оказались востребованы. (Надо заметить, что если посмотреть в статистику DNS, то трафик на кириллических именах сейчас просто не сравним с трафиком в .RU – отличается на несколько порядков, не в пользу кириллицы, конечно.) Впрочем, освобождаться домены начнут в декабре: правилами предусмотрен 30-дневный срок “преимущественного продления”, в течение которого домен не удаляют из реестра. (Но особого энтузиазма в прогнозах нет.)

В этом году “народное голосование” на сайте “Премии Рунета” не порадовало нас новой капчей. Похоже, просто доработана прошлогодняя. Но чтобы не нарушать традиции с разбором капчи и предложением общего решения для роботов, поделюсь ссылкой на прошлую записку по теме, с описанием методов автоматического решения.

Update (25.11.11): в итоге капчу поменяли на ходу (видимо, накрутки давали о себе знать); новый вариант – reCAPTCHA, стандартное решение со словами.

Вот, кстати, с АМС “Фобос-Грунт” связь возможна в редких окнах. Для того чтобы бороться с подобными неприятными эффектами в отношении других аппаратов готовят специальные спутники-ретрансляторы. Например, “Луч-5А”, который, как пишут, доставили на Байконур:

Запуск ракеты космического назначения «Протон-М» с разгонным блоком «Бриз-М» и кластером из двух спутников – российского «Луч-5А» и израильского «Амос-5» (AMOS-5) запланирован на декабрь.

Раньше для обеспечения связи использовали сеть наземных станций и станций морского базирования. Сейчас эта сеть явно поредела. Но спутники-ретрансляторы, это, конечно, более прогрессивное решение. Хотя, в стратегическом смысле, гораздо менее гибкое, если сравнивать с наземной сетью: ведь для обеспечения связи нужно ещё и уверенно управлять самим ретранслятором, а он находится на орбите. Наземные же системы, очевидно, более доступны для перенастройки, замены, обслуживания.

Занятно, что, в теории, для связи со спутником на низкой орбите, – а это и есть случай “Фобос-Грунта”, – необязательно городить огромную станцию с многометровыми антеннами. Можно использовать мобильный комплект оборудования, умещающегося в один автомобиль. Посудите сами: это примерно та же ситуация, что и организация спутниковой телефонной связи. Да, конечно, в случае с космическим аппаратом мощность передатчиков и чувствительность бортовых приёмных антенн могут быть не самыми подходящими. Но не в такой степени, чтобы с расстояния в несколько сотен километров не было возможности принимать телеметрию, если уж не компактным любительским радиосканером, то с грузовичка.

Ну вот, собственно, пока что “Фобос-грунт” околоземную орбиту не покидает. Конечно, сразу объявлять аппарат потерянным не стали бы в любом случае, на сайте Роскосмоса вообще ещё нет официальной информации о том, что происходит (!). Продолжаем, как говорится, следить за этим амбициозным проектом.

Addon: кстати, занятно, что нет общедоступной и адекватной технической информации из первоисточника о том, что случилось. Похоже, никто не занимается таким информированием. То есть, можно предположить, что не получают вообще никакой телеметрии, а аппарат, как обычно, на орбите отыскали какие-нибудь штатовские станции. И с аппаратом нет связи, а это как раз означает, что и шансов исправить ситуацию тоже практически нет. Отсюда и какие-то ну очень странные перепевы про “осталось три дня”. (Да, можно порассуждать о том, что, в зависимости от орбиты, связь с аппаратом возможна только в рамках некоторых окон, а они редки и т.п., и т.д.)

Update (15:15): вот, написали, наконец.