dxdt.blog: занимательный интернет-журнал

8 декабря в СДК МАИ пройдёт церемония вручения призов первого технологического конкурса веб-сайтов WebHiTech-2009. Да не просто церемония, а ещё и конференция по клиентским технологиям сообщества веб-разработчиков “Веб-стандарты”. Это полезное, интересное и бесплатное мероприятие. Начало мини-конференции – около 13:00, начало церемонии награждения – около 18:00. С программой знакомьтесь на сайте WebHiTech, там же можно зарегистрироваться, пока есть места.

Собственно, сложно было ожидать другого варианта с новым доменом РФ:

Самые звучные домены в новой кириллической доменной зоне – .РФ – принадлежат одной компании. Она своевременно оформила права на соответствующие товарные знаки (пишут СМИ)

Механизм регистрации общеупотребительных слов в качестве доменных имён на этапе приоритетной регистрации несложен. Регистрируется товарный знак, но по классу “товаров/услуг”, где данное слово не является общеупотребительным. Понятно, что нельзя зарегистрировать товарный знак, условно, “забор” по классу “строительство заборов”, но можно по классу “реализация макулатуры”. И если классов товаров/услуг много, и там подобное разделение представляется допустимым, то домен – он один в принципе, и по правилам приоритетной регистрации достаётся наиболее шустрому администратору с соответствующим свидетельством.

Вот так вот. А кто-то, вроде бы, надеялся, что домен будет доступен для рядовых пользователей Интернета? На практике, конечно, всё достаётся профессиональным коммерческим игрокам рынка.

Продолжаем “неделю” информационной безопасности Интернета в блоге dxdt.ru. С введением технологии DNSSEC связано много “непоняток”, что, в общем-то, ожидаемо. Одна из этих “непоняток” – реальные возможности по управлению адресным пространством, возникающие у держателя главного ключа. (Напомню, кратко, что DNSSEC – это набор протоколов, вводящий в DNS криптографические механизмы подтверждения подлинности адресной информации.)

Так вот, как показывает практика, при оценке “глобальных возможностей”, даже ИТ-специалисты упускают из виду ключевой момент: сейчас с шумом намечен первый практический шаг на пути внедрения DNSSEC – подписывание корневой зоны (это главный источник данных в глобальной DNS); а вот второй шаг остаётся в тени, ему мощной PR-поддержки пока не оказывают: этот шаг – внедрение на клиентские машины новых резолверов, поддерживающих проверку данных DNSSEC.

О чём идёт речь: сейчас на типичной клиентской машине (персональном компьютере, подключенном к Интернету, работающем под управлением ОС Windows), для получения информации из DNS используется так называемый stub resolver – это такая весьма простая программа (или, скажем, системная служба – не важно), которая лишь отправляет запросы о получении IP-адреса для того или иного домена на внешний DNS-сервер. Основная особенность тут в том, что stub resolver не выполняет “рекурсивного поиска” в глобальной DNS, а поручает всю работу по такому поиску известному DNS-серверу (обычно, это сервер, принадлежащий интернет-провайдеру).

Столь простой резолвер не знает о DNSSEC, поэтому не может проверить валидность данных, полученных в ответ на запрос от DNS-сервера. Иными словами, возникает следующая ситуация: полнофункциональные DNS-серверы поддерживают DNSSEC и обмениваются между собой удостоверенной информацией, а до массового конечного потребителя, до пользователя, “цифровые подписи” не доходят, так как резолвер на его машине – оказался туповат.

Думаю, теперь понятно, что внедрение поддерживающих DNSSEC резолверов на клиентские машины хорошо оправдывается решением только что описанной проблемы “последней мили DNS”, тем более, что DNSSEC задумана как технология обеспечения защиты информации в схеме “точка-точка”, а не “точка-шлюз”. Собственно, движение уже намечено: резолвер DNS в Windows 7 использует такую схему работы с DNSSEC, в которой валидность адресной информации по запросу резолвера проверяет тот или иной доверенный DNS-сервер. Сложно сказать, как скоро в рядовые пользовательские системы придёт рекурсивный резолвер и как именно он будет устроен, но можно отметить, что аналогичная древовидная система уже работает у типичных “клиентов Интернета” – это SSL-сертификаты, известные многим по реализации в браузерах.

Итог: DNSSEC проникает в корневую зону DNS и во все домены первого уровня (а дальше – ниже), а также и на клиентские машины. С точки зрения управления Интернетом – второй момент имеет не меньшую важность.

Корневую доменную зону раздаёт по глобальной DNS скрытый сервер, контролируемый штатовской компанией VeriSign. Подписывать зону в DNSSEC также будет VeriSign своим секретным ключом (хотя, да, ключ ей “делегирует” ICANN). Операционные системы, работающие на большинстве пользовательских компьютеров, выпускает другая штатовская корпорация – Microsoft. Понятно, что новые резолверы устанавливаются с помощью глобального обновления ОС: это стандартная процедура. Надеюсь, пытливый читатель способен самостоятельно сопоставить эти два “технологически-административных” момента и сделать вывод о свойствах пространства, в котором существует “независимость” современного Интернета, и, соответственно, трезво оценить рычаги управления, вводимые с помощью DNSSEC (на фоне объявления о “независимости ICANN”).

Лирическое отступление: реалии централизованного управления DNS, которая, по мнению многих и многих “интернет-энтузиастов”, выступающих в форумах, является “распределённой системой без центра контроля”, наверное, заслуживают отдельной заметки.

Так что, действительно, внести изменения в корневую зону, скорректировав управление тем или иным доменом верхнего уровня, можно уже сейчас, без DNSSEC – нужно только иметь доступ к генератору зоны. Внесённые изменения коснутся всех тех, кто посылает запросы к данным физическим корневым серверам. Но только DNSSEC позволяет построить криптографически защищённое “второе плечо”, контролирующее всё дерево со стороны пользовательских ОС (а Интернет – он для массовых пользователей). При работе этого плеча “перейти на другие серверы” уже так просто не получится, ведь “главного ключа” в доступности не будет.

Сейчас всплеск интереса к приближающемуся домену РФ – первому в мире кириллическому домену верхнего уровня. Про фишинг, использующий особенности записи адресов Интернета, думаю, все читатели слышали. Интересно взглянуть на фишинговые угрозы в разрезе возросшей популярности кириллицы в адресах – что там нового нас ждёт.

Как известно, для борьбы с самым очевидным вариантом фишинга, с использованием графически идентичных букв латиницы и кириллицы (типа буквы “эр” и буквы p – “пи”), в домене РФ запрещают использование латиницы вообще. Это очень разумно.

Важный момент: для кодирования отличных от латинской азбуки символов в имена, допустимые для DNS, используется специальный алгоритм Punycode. Так, на вход этого алгоритма могут подаваться произвольные символы Unicode, а на выходе получается строка из латинских букв, дефисов и цифр (понятно, есть и обратное преобразование).

Как я уже писал ранее, домены верхнего уровня – это домены верхнего уровня, а при этом никто не запрещает использовать многоязычные имена в других доменных зонах, третьего уровня, скажем, и ниже. Punycode здесь также работает, а ограничения регистраторов доменов на смешивание символов – нет.

Превращение алфавитов осуществляют браузеры (в большинстве практически важных для фишера случаев). От введения дополнительного слоя преобразований безопасность пользователя в данном случае не может улучшиться, это очевидно. Ожидать, конечно, нужно и дыр в реализациях преобразований Punycode. Но с появлением и распространением домена РФ важнее умелое использование этих технологий в других доменных зонах.

Гипотетический пример: доменное имя, закодированное вот такими “кракозябрами”: xn--80adjurfhd.xn--click-uye2a8548c.dxdt.ru – в представлении Unicode выглядит приблизительно (эта страница может быть не в UTF-8, поэтому один символ я заменяю) так: “проверка.рф⁄click.dxdt.ru”. Здесь для имитации слеша использован спец.символ из таблиц Unicode с кодом 0x2044; (“знак деления”). Итоговый URL может быть таким: http://проверка.рф⁄click.dxdt.ru/ – мимикрия под “проверка.рф”, реально домен находится в зоне .dxdt.ru. Понятно, что на практике использовать будут другие варианты исходных доменов, какие-нибудь известные бренды.

Addon (05/11/09): оказывается, не все сразу понимают, о чём идёт речь. Пояснение: возьмите любой современный браузер (как заметили в комментариях: исключая Opera 10.x) и скопируйте с этой страницы в адресную строку текст:

нажмите enter – в результате браузер перейдёт по указанному частично кириллическому адресу на веб-страничку с поясняющим текстом (хоть домена РФ пока и не существует).

Наблюдение над комментариями к записям про паспортизацию Рунета (“домены по паспорту”) и наблюдение за вопросами на профильных семинарах показывают, что пользователи (да и не только они) не в курсе основной особенности такого документа как паспорт. А ведь паспорт, – самый традиционный бумажный, – это типичный пример средства биометрической идентификации человека. Биометрические данные сохраняет и демонстрирует фотография.

Как известно, надёжное, с точки зрения безопасности, использование биометрических систем идентификации возможно только при непосредственном присутствии самого носителя исходных биометрических данных, потому что идентификация состоит в “сличении записанных характеристик” с, как говорится, оригиналом-носителем. Это, кстати, касается не только традиционных паспортов, но и новомодных сканеров отпечатков пальцев, детекторов капилляров ладони и прочей подобной чудо-техники.

Всякая добротно спроектированная система “биометрической аутентификации” должна включать специальное звено, задача которого удостоверить систему в том, что “носитель данных” лично присутствовал в момент идентификации. Это важнейшее доверенное звено. Для “бумажного паспорта” – реализация включает доверенного сотрудника, который “запрашивает паспорт” и проверяет по фотографии, что перед ним именно тот человек. (Сейчас, например в банках, такую схему вполне разумно улучшают, добавляя видеозапись, фиксирующую идентифицируемого человека.)

Злоумышленник может приклеить усы и стать похожим на фото в чужом паспорте. Это известно. Если вы думаете, что в случае со “сканерами пальцев” или “сканерами глаза” такой фокус не пройдёт, то вы заблуждаетесь. Сканеры можно эффективно обмануть. (Нет, похищать для этого глаза или пальцы – не нужно, обойдёмся без кинофильмов-ужастиков.) Обман возможен с помощью технических имитаторов фиксируемых сканерами параметров: сканеры часто устроены довольно примитивно, срабатывают на всякие полимерные штуки с тонкими нагреваемыми нитями и даже на более простые решения с ИК-лазерами и световыми проекторами.

Трудность тут лишь в том, чтобы заполучить копию “биометрии” нужного человека. Но, как не очень трудно сообразить, для этого не нужно выслеживать “объект” и с шумом принудительно снимать его отпечатки пальцев. Получить нужную копию можно разными более тонкими способами: либо имитируя процесс идентификации (подставляем ложный сканер), либо перехватив сеанс идентификации (вторжение в канал связи), либо заполучив базу данных, по которой происходит проверка. (Базу, конечно, не обязательно похищать именно в том “сервисе”, который планируется атаковать “фиктивной идентификацией” – биометрические данные у человека практически неизменны, можно использовать любую базу.)

При ближайшем рассмотрении все описанные высокотехнологичнные методы (которые мы, вероятно, встретим в практике, как только биометрические системы станут повсеместными) перекликаются с их прародителем – с теми самыми “сканами паспортов”.

В пользу злого умысла “сканы” работают именно тогда, когда либо не используется доверенное звено контроля личного присутствия человека, чья личность удостоверяется паспортом, либо это звено оказывается испорченным. Пример последнего случая: давно известный в практике служб безопасности банков и операторов связи подлог ксерокопий паспортов клиентов, осуществляемый недобросовестным сотрудником, уполномоченным заключать договора. Заметьте, однажды “вброшенный в систему” на начальном этапе ложный “скан” очень сложно выявить другим сотрудникам, так как они лишены контакта с клиентом (или “клиентом”), чьи данные использованы. Ну а первый случай – это как раз та самая регистрация каких-то прав (например, управления доменом) по присланному кем-то из Интернета (или по почте) “скану паспорта”.

Пишут, что национальный домен Швеции SE “сломался”, после того, как кто-то во внутренних адресах забыл про точку в записи названий зон. Понятно, что “отключение” домена приводит к автоматической недоступности веб-сайтов для обычного пользователя: ведь все привыкли к навигации по доменным именам. То есть, в результате, из-за элементарной ошибки админов, шведский сегмент Сети оказался на некоторое время недоступен для пользователей.

Интересно, что в .SE довольно давно введена ограниченная поддержка DNSSEC. От ошибок, подобных только что описанной, DNSSEC, понятно, никак уберечь не может. Зато, напротив, внедрение DNSSEC увеличивает вероятность таких ошибок в будущем: ведь настройка DNS и администрирование зон становятся гораздо сложнее. (Впрочем, именно в этом конкретном случае связь DNSSEC и проблем с доменом не ясна.)

Не по теме блога, конечно, но интересно: на “Инфоцентре” статья про судебные разбирательства вокруг домена antirao.ru. Вот там очень хорошо видны проблемы “понимания” реального мира технологий в юридической практике и подходы “борцов за копирайт” (хотя конкретно о копирайте речи нет).

Особенно впечатляет формулировка: “признать не соответствующим действительности … доменное имя www.antirao.ru”.

Свежее продолжение истории с “независимостью” Интернета и ICANN (из-за “техничности” повода, СМИ широкого профиля тенденцию из вида упустили):

Пишут, что с 1 июля 2010 года в корневой зоне системы DNS вводится полная поддержка технологии DNSSEC.

При этом, подписать зону (в тестовом режиме) планируют раньше, 1 декабря. А вот раздавать ключи – как раз начнут летом следующего года. Подписывать всё будут в IANA, силами VeriSign, с разрешения Правительства США. Понятно, что секретный ключ от корня DNS вообще никому передавать не станут, он будет храниться на специальном защищённом сервере (это технологически правильное решение).

То есть, “логическое” доменное пространство (в представлении рядовых пользователей) как бы отпускают “на свободу” под эгидой ICANN и GAC (обсуждайте правила в доменах, обдумывайте введение новых – пожалуйста). Как и ожидалось, параллельно, уровнем ниже вводится новый мощный технологический рычаг, сохраняющий иерархию управления – DNSSEC. Следующий логичный шаг: подписывание анонсов в BGP, подписывание блоков IP (ускоренная миграция в IPv6 – в помощь). Там также будет корневой ключ и, думаю, мудрые Штаты его так же оставят у себя в кармане.

Шумная новость: закончилось одно из соглашений ICANN с Правительством США (с минторгом, если точнее) – делается вывод о том, что и ICANN, и, попутно, Интернет, обрели независимость. Прямо так и пишут: “США больше не контролируют Интернет”.

Вообще, опытному взору сразу открываются важные PR-метки в этой ситуации. Во-первых, полная пафоса шумиха разводится вокруг одного из рамочных документов, действие которого закончилось. Реальные административные последствия – не обсуждаются. Во-вторых, сама шумиха тщательно подготовлена: например, ещё за несколько недель до события, в массовой прессе появляются “слухи” и “сведения из источников”, сообщающие, что США “ослабят контроль”. В-третьих, делается это всё на фоне очередной волны возражений и жалоб на штатовскую гегемонию в глобальной Сети. Всё это обычные шаги в отработанном сценарии.

Для понимания расклада нужно вспомнить историю. Практически все журналисты, следом за официальным сообщением ICANN, написали, что эта корпорация создана в 1998 году. Но что-то при этом упускают контекст, в котором ICANN появилась. А между тем, появилась ICANN в результате хитрого “хода конём”, сделанного штатовскими стратегами в ответ на первые серьёзные требования передать управление Интернетом от Правительства США международной организации. Активисты предлагали передать управление в комитет при ООН. А в итоге управление оказалось у штатовской как бы независимой и как бы международной организации, которая, впрочем, заранее была привязана к комиссии минторга США (а не ООН). Сделали много публикаций, сообщили в газетах о “революции”. То есть, и нажим протестующих ослабили, и фактическое управление Сетью – сохранили. Грамотно.

Наверное, некоторые читатели уже заметили параллели с текущей ситуацией. Понятно, что если бы в ответ наметившемуся очередной раз движению за то, чтобы “отобрать у США рычаги”, штатовские стратеги выстроили открытую жёсткую оппозицию вида “а идите лесом, ничего вам отдавать не станем”, то это было бы просто глупо. Ведь в результате у противников гегемонии только окрепла бы поддержка, возросла уверенность в том, что нужно продолжить начатое – глядишь, и правда бы занялись реальным перераспределением рычагов (а это задача весьма непростая, кстати). Но стратеги – очень умны. Поэтому в отношении ICANN была выбрана хитрая PR-схема, как бы направленная навстречу протестующим.

Судите сами. Фактические изменения в корневой зоне DNS, изменения в IP-адресном пространстве, которые технически контролирует такая организация как IANA – ICANN всё равно должна согласовывать с Правительством США. Этого требуют отдельные договор и соглашения между IANA и Правительством, которые никто не отменял. Об этом аспекте почему-то лишь упоминают вскользь, но ведь реальными-то проводником “управляющих воздействий” ICANN как раз является IANA (и, кстати, важна штатовская коммерческая компания VeriSign, а последняя, между тем, вообще осталась за рамками “победных реляций”).

Если внимательно посмотреть на опубликованные документы и процедуры ICANN, регламентирующие какие-либо значимые шаги по управлению Сетью, то там везде осталось требование о согласовании и одобрении шагов Правительством США. Например, обсуждающийся сейчас план ускоренного делегирования национальных доменов IDN (это домены, записанные символами национальных алфавитов, как домен “РФ”) – содержит специальный пункт, требующий одобрения домена Правительством США.

Да, такие требования вносилось как бы с оглядкой на старое соглашение с Минторгом. Теперь соглашения как бы и нет, ага. Но в реальности-то – действуют по согласованным ранее процедурам. Будут ли их менять? Решает исполнительный директор, – а на эту должность летом назначен Род Бэкстром, пришедший прямо из Министерства госбезопасности (DHS) США.

Заметьте, что ICANN создавалась для того, чтобы управлять Интернетом в интересах налогоплательщиков США. Поэтому и отчёты о деятельности, о которых теперь громко пишут, отправлялись в правительственную комиссию. Поэтому и деятельность корпорации обсуждалась на слушаниях в Конгрессе.

ICANN – осталась той же. Суть изменений в том, что консультативный наблюдательный орган вроде GAC (межправительственного комитета) теперь тоже сможет читать формальные отчёты. Очень важно, да. При этом каких-то мощных управляющих рычагов у наблюдательного органа не появилось.

Действительно, теперь сама ICANN, хорошо разрекламированная в качестве “фасада”, вполне может выполнять представительские функции по взаимодействию с другими государствами и с “сетевым сообществом”, через наблюдательные советы типа GAC. Но важно понимать, что реальные технические рычаги (IANA) – они-то остались в руках США. Логика развития тут вот в чём. Сейчас идёт перевод иерархии административного управления Интернетом на новые технологические механизмы: DNSSEC и IPv6. На этом фоне, логическое доменное пространство, превращающееся в некоторую чисто коммерческую “внешнюю оболочку”, можно отдать под “управление сообщества” – это жест “доброй воли”. (Ну не запрещала же напрямую ICANN публиковать что-то на конкретных веб-сайтах, не регулировала, например, допустимые версии веб-серверов у хостинг-провайдеров.)

Теперь следует ожидать достаточно быстрого и навязчивого внедрения DNSSEC и IPv6, проводимых руками IANA и, конечно, штатовскими производителями операционных систем для ПК. Эти технологии позволят сохранить реальное управление системами адресации. А что конкретные домены, как символьные названия сайтов? Ну так в новом Интернете, который скоро появится, они, с точки зрения контроля, не более важны, чем технология Веб.

Изменения в правилах регистрации доменов .RU вылились всё же в вариант с отправкой электронных “сканов паспортов” регистраторам. То есть, предлагается проводить как бы “аутентификацию” администратора домена, используя просто другое представление данных. Раньше вводили вымышленные паспортные данные в веб-форму. Теперь – нужно рисовать скан.

Интересно, что настоящие злоумышленники и так не используют совсем банальных, явно вымышленных персональных данных, даже если заполняют веб-форму. Напротив, берут или какие-то реальные данные, или данные, очень похожие на реальные, но сгенерированные по специальной базе. При генерации используются реальные фамилии, названия улиц, городов, номера домов и т.п. – такой подход очень давно известен, и много лет назад был принят на вооружение кардерами. Действительно, ведь вполне понятно, что очевидные “Васи Пупкины” вызывают подозрение.

Понятно также, что злоумышленники могут использовать “сканы” настоящих паспортов – они доступны в готовом виде, и на заказ. А ещё есть ПО, генерирующее произвольные паспортные “сканы”. Для беглого изучения реальной ситуации попробуйте поискать в Google “сканы паспортов”. При этом сотрудник регистратора, проверяющий “идентификационные данные”, мягко говоря, совсем необязательно является экспертом в определении цифровых фальшивок. (Кстати, если договор заключается с иностранным подданным, то “детектировать реальность” паспорта какого-нибудь африканского государства – та ещё задачка.)

Когда паспорт предъявляют лично, то можно сверить фото с “личностью” предъявителя (понятно, что паспорт может быть поддельным, но в случае с “физическим документом” – это уже совсем иная история). Собственно, паспорт, как документ, именно для такого “физического” подтверждения личности по фото (по биометрическим данным) и придуман. Использование “сканов” для “якобы аутентификации”, когда физически “аутентифицируемый” пользователь не присутствует рядом – старая, хорошо известная дыра в системах безопасности.

Конечно, злоумышленник, планирующий нарушать закон с использованием домена – имеет и технические навыки, и готовность прислать какой-нибудь “скан”. При этом, удачно “приславший скан” администратор домена получает в системе новый статус: “идентифицированный администратор”. А такой статус, конечно, добавляет некоторой “надёжности” персональным данным, полученным с подтверждением “сканом”. На самом же деле “надёжность” эта чисто мнимая: процедура аутентификации никак не изменилась – как присылал кто-то неизвестно откуда какие-то данные по Интернету, так и присылает кто-то что-то, но в новом формате файлов. А вот статус изменился и администраторы в интерфейсах управления клиентской информацией вдруг “раскрасились в разный цвет”. Для системы безопасности это очень плохо. Потому что добавляет ложной уверенности тем, кто с данными работает.

При этом многие и многие добросовестные пользователи и так указывали верные данные, потому что такие пользователи опасаются проблем с потерей домена в случае возникновения спорной ситуации. В отличие от злоумышленника, добросовестному пользователю домен реально нужен, раз он этот домен регистрирует. И вот эти добросовестные пользователи, администраторы доменов, теперь должны направо и налево рассылать “сканы” своих паспортов, часто по открытым сетям – ведь, например, предлагается отправлять “скан” по электронной почте! Где потом всплывут копии “скана” – кто знает. Остроты добавляет то, что данный “скан”, сохранённый на почтовом сервере (или на локальном диске компьютера, давно заражённого трояном), уже был использован именно для регистрации домена – вдвойне доверенный “скан” получается, ага.

Кто же обрёл дополнительные риски и потенциальные проблемы? Вопрос, впрочем, риторический. И так понятно, что пострадал обычный пользователь Сети.

Я, кстати, не так давно писал про “дыры” в аутентификации по “сканам”.

В современном Интернете анонимность рядового пользователя, не принимающего специальных мер к сокрытию следов, – это миф. Рядового пользователя, нашалившего в форуме, при необходимости оперативно и точно вычисляют. Но, конечно, специалистам известны меры разной степени сложности, позволяющие существенно повысить степень анонимности при использовании Интернета (специальные прокси-серверы, мощная сеть TOR и т.д.).

На этом фоне тем более интересно проанализировать тенденции развития систем адресации Интернета. Начнём, пожалуй, с IPv6. Да, этот новый протокол предлагает новинки в обеспечении безопасности передачи данных, позволяет оптимизировать маршрутизацию, повысить надёжность работы Сети. При этом среди основных особенностей протокола IPv6 – огромная “мощность” пространства адресов. IPv6 позволяет присвоить уникальный адрес каждому квадратному метру поверхности Земли. И при этом множество адресов останется про запас.

Интернет уже давно и прочно обрёл глобальность. Внутрь нового киберпространства затягиваются другие “транспорты мысли”: про газеты, журналы и книги, наверное, не нужно напоминать – все они давно проросли в Сеть; следом на базу Интернета успешно переезжает радио и телевидение. Более того, мобильная и стационарная телефония – также близки к окончательной интеграции с Сетью: технологии передачи речи и автоматической “коммутации абонентов” вот уже не первый год отлично развиваются, вспомните, например, успешный Skype. Да, операторы “традиционной” связи, – в основном, мобильной, – пока что для проформы сопротивляются, даже иногда запрещают использовать сервисы типа Skype в своих сетях. Но надолго ли хватит подобного сопротивления? То есть, в обозримом будущем Интернет окончательно станет основой мировой информационной инфраструктуры.

Вернёмся к “пространству адресов”. В IPv6 адресов так много, что каждое устройство, каждое изделие, – проще говоря: всякий товар, – можно снабдить уникальным сетевым адресом. Кофеварки и холодильники, автоматически подключающиеся к Сети, уже не в новинку. IPv6 позволит автоматически присваивать “глобально уникальный” адрес не только каждому выпускаемому мобильному телефону, но и каждому зонтику, каждой рубашке. Пребывая в прачечную, рубашка сможет отметиться в базах данных, причём из записи будет ясно, что это за рубашка, когда и кем выпущена, как часто бывала она в прачечных.

Можно подумать, что рубашка с IP-адресом – это уж слишком. Но ведь используемый в рамках “складской системы” и уникальный, с точностью до вида продукции, штрих-код на товарах в супермаркете уже никого не удивляет. Именно наличие такого штрих-кода позволяет автоматизировать процесс доставки и массовой продажи товаров. Поэтому уникальный адрес для рубашки – логичное продолжение.

Тем более, что товар с чипом и подключением к Интернету сможет автоматически “отметиться” на кассе супермаркета, чтобы касса сняла деньги со счёта покупателя. В прачечной рубашка сможет сообщить стиральной машине, как именно её нужно стирать. Так что, с поправкой на технологический прогресс, мотивировка наличия уникального IP у каждой рубашки с китайской фабрики, хоть и является некоторым преувеличением, – но может быть даже более убедительной, чем в случае с давно введенными в оборот уникальными глобальными идентификаторами аппаратов сотовой связи.

В старом IPv4 проблемы с недостаточным для всех мыслимых узлов пространством глобально маршрутизируемых адресов научились побеждать. Вдумчивое чтение соответствующих технических спецификаций, использование трансляций адресов – всё это позволило Интернету демонстрировать тот активный рост, который, несмотря на “узкие рамки” IPv4, пока не думает замедляться. При этом, правда, большие группы пользователей локальных сетей оказываются “спрятаны” за единственным видимым снаружи IP-адресом. А пользователь, путешествующий между сетями, появляется в Интернете то под одним адресом, то под другим.

IPv6 борется с этой проблемой. Причём, далеко не только с помощью упоминавшегося большого количества доступных IP-адресов. Предлагаются механизмы, позволяющие “мобильному устройству” перемещаться между сетями, сохраняя свой уникальный IPv6-адрес. Такие адреса вполне могут распределяться отдельными блоками, по корпоративному признаку. Например, компания-производитель коммуникаторов присваивает этим коммуникаторам уникальный адрес на этапе производства и этот адрес позволяет работать во всём IPv6-интернете. Это удобно для пользователя коммуникатора – не нужно менять настройки, перемещаясь по стране или зарубежом, можно получать звонки на тот же самый IPv6-адрес (который, кстати, прописывается в DNS).

Итак, среди фундаментальных особенностей IPv6 – присвоение уникального глобального идентификатора всякому устройству. Адрес присваивается таким образом, чтобы устройство, независимо от своего местоположения, всегда действовало от имени своего адреса. То есть, важнее ответа на вопрос “Где?” – ответ на вопрос “Кто именно?”. И в таком случае не может быть двух коммуникаторов с одинаковым адресом, так как это приведёт к конфликтам в маршрутизации. Этот же момент требует дополнительной авторизации устройства при перемещении между сегментами Сети. Авторизацию может предоставлять фиксированный “домашний узел”, который, логично, находится в ведении компании-производителя коммуникаторов (или, например, оператора сотовой связи – у них уже имеется опыт обмена подобной авторизационной информацией при перемещении абонентов “в руминге”).

Выходит, тенденция развития IP – в дальнейшей “индивидуализации” доступа к ресурсам Сети, в борьбе против “анонимности”.

Другое направление связано с DNS. Контактная информация, адреса глобально доступных ресурсов – всё это хранится в DNS. Система доменных имён остаётся единственным инструментом, позволяющим привязать “человекопонятные” обозначения к сложным для запоминания IPv6-адресам. Следующий этап развития DNS – повсеместное внедрение DNSSEC. Технология DNSSEC – это также инструмент индивидуализации сегментов доменного пространства. В рамках технологии адресная информация подписывается электронной цифровой подписью. А сама подпись удостоверяется доверенным центром. Собственно, схема во многом повторяет давно известный в офлайне институт нотариата.

Система подписей в DNSSEC должна иметь иерархию. В рамках этой иерархии администратор зоны уровнем выше как бы ручается за администраторов доменов, распределяемых в его зоне, удостоверяя данные, переданные этими администраторами.

Почему “как бы”? Потому что до сих пор вопрос о том, за что именно ручается удостоверяющий подпись администратор в DNSSEC, остаётся очень острым вопросом. Отвечает ли администратор доменной зоны за адресацию внутри неё, если он подписал изменения? А если при этом какой-то из доменов указывает на нарушающий закон сайт? Каким образом администратор, поставивший свою подпись под параметрами адресации, может контролировать контент, показываемый под доменами в его зоне, если эта зона содержит тысячи, сотни тысяч и миллионы записей?

В офлайне, по сложившейся практике, для того чтобы избавиться от поисков ответов на неудобные вопросы, стараются тщательно идентифицировать других участников процесса публикации контента. В случае чего – есть возможность указать на виновного. Как только будет широко развернута DNSSEC, и начнётся распределение криптографических ключей в этой системе (а без ключей она работать не сможет), вполне вероятно, что потребуется ввести дополнительнные меры по идентификации администраторов доменов, получающих ключи для генерирования своих подписей.

А использование электронной подписи в дальнейшем, для изменения каких-либо записей о домене, будет чем-то вроде подтверждения того, что изменения внёс именно ранее идентифицированный администратор, а не какой-нибудь там “заезжий хакер”. То есть, опять важным пунктом новой внеряемой технологии, а именно DNSSEC, становится обеспечение ответа на вопрос “А кто именно?”, ответ на вопрос “Где? В каком домене?” – уже вторичен: ведь работа DNSSEC основана на удостоверении автора, источника адресной информации в DNS. Дело в том, что только такое удостоверение позволяет защитить пользователей от атак “с подменой адреса”, потому что позволяет проверить, является ли источник информации авторитативным.

Выходит, что и вектор развития DNS во многом направлен в сторону более строгой индивидуализации, так же как и IPv6. И в целом оба фундаментальных элемента Интернета демонстрируют движение к дальнейшему уничтожению анонимности, на самом базовом уровне. Так что фраза “В Интернет – по виртуальному паспорту” – в ближайшие годы может оказаться совсем не шуточной.