dxdt.blog: занимательный интернет-журнал

Жюри определило финалистов конкурса WebHiTech, их 15, список доступен на сайте конкурса. Ура!

Довольно часто веб-разработчики спрашивают на семинарах: зачем реально нужен Unicode в качестве единственной кодировки на русскоязычном сайте, если есть удобная и привычная Windows-1251? Тем более, мотивируют своё отрицание разработчики, что Unicode увеличивает объём передаваемых данных.

Так вот есть отличный пример необходимости Unicode: многоязычные доменные имена. Предположим, что эти имена упоминаются в тексте новости на сайте. Если сайт работает не в Unicode, а в Windows-1251, то указать имя (не картинкой) просто не получится – нет там нужных символов в таблице. На мой взгляд, уже одного этого достаточно, чтобы перейти на Unicode и следовать современным веб-стандартам.

Кстати, без “внешних” относительно DNS центров доверия – в DNSSEC смысла нет. Дело вот в чём. DNSSEC подразумевает подписывание адресной информации. Подпись должна гарантировать достоверность данных. Однако, скажем, на компьютер конечного пользователя данные из DNS поступают с сервера интернет-провайдера. Ну вот, предположим, подписал провайдер эти данные какой-то подписью – и что? Это ведь не снимает вопрос доверия провайдеру: понятно, что он мог подписать какие угодно данные какой-нибудь только что сгенерированной подписью, выдав её за подпись администратора соответствующей доменной зоны (при этом и открытые ключи провайдер может подменить).

То есть, для полезной системы нужен удостоверяющий центр, который позволит проверить достоверность самой подписи, подтвердить, что её владелец действительно является администратором той доменной зоны, информация из которой подписана.

Вообще у провайдеров будут хитрые проблемы с DNSSEC. Скажем, DNSSEC позволяет давать “авторитативные” ответы о том, что запрошенный адрес не существует. Это перекрывает кислород тем интернет-провайдерам, которые подменяют через DNS несуществующие адреса на свои (рекламные, информационные) страницы.

Как рассказали участники конференции “Электронная торговля” (это известный “Оборот”), в рамках своего доклада на этом мероприятии представитель “Яндекса” сообщила, что “в связи с возможностью появления из-за кризиса дешёвой рабочей силы, “Яндекс” планирует существенно обновить парк программистов” (это, как я понимаю, не точная цитата, а близкий к оригиналу пересказ). Вот так вот. Это при том, что с программистами на рынке напряжно дела обстоят: специалистов мало, как ни крути, и дешёвыми они не станут, конечно. Но дело не в этом, а в самом подходе “Яндекса”, позволяющем делать подобные заявления. Видимо, недолго уже компании осталось существовать. Прогнозы – позже. Но, видимо, где-то к весне начнутся там всякие реорганизации.

Update: так как люди в комментариях обоснованно возмущаются, я ещё раз поясню: да, в этом сообщении есть элемент слухов, по-моему, это понятно. Тем не менее, свою оценку перспектив “Яндекса”, построенную не на слухах, я пока не готов изменить. Опять же понятно, что я могу ошибаться (см. коммент ниже). Давайте подождём весны.

Ботнеты, по логике, должны находиться на переднем крае технологий распределения нагрузки или, если хотите, создания высоконагрузочных систем. Но почему-то о ботнетах не очень часто и подробно рассказывают на технологических конференциях.

Вообще же, современные ботнеты готовы предлагать не только вычислительные ресурсы в аренду, но и, скажем, супернадёжный отказоустойчивый (если позволите такой термин) хостинг.

Не совсем понятно, предлагаются ли такие услуги уже сейчас, но очевидно, что владельцы крупных ботнетов с хорошим ПО могут их реализовать. То есть файлы распределяются по большому количеству узлов (эти узлы – заражённые зомби-машины), узлы связываются в “кластер” (что-то вроде IP anycast) и через DNS привязываются к веб в нужной “точке выхода”. При этом точки привязки можно быстро изменять, в том числе и массово регистрируя новые домены второго уровня. А в некоторых доменных зонах такой автоматической регистрацией также могут заниматься машины-зомби. При этом узлы-участники ботнета – бесплатны. Домены стоят копейки. Интересная картина, да.

Понятно, что тысячи узлов, задействованных в хранении и публикации файлов, не только сложно отследить, но и сложно заблокировать. Более того, возникают большие сложности с доказательным выявлением реальных владельцев и администраторов, публикующих информацию.

Такие сети уже действуют. Их деятельность видна, в том числе, и в DNS. То есть технологии есть, и они развиваются. Как бороться с подобными “размытыми облаками” – не понятно. При этом вычислительная мощность потенциального зомби-компьютера растёт: пользователи обновляют свои машины, покупают более современные процессоры и, что особенно интересно, устанавливают мощные 3D-ускорители (годятся для криптологических вычислений). И, конечно, большую роль играет повсеместное внедрение широкополосного доступа.

Когда об этом расскажут на технологических конференциях?

Уже сильно больше года домены в зоне .RU открыто предлагают “в розницу” по цене регистрации значительно ниже установленных правилами 500 рублей (+100 руб. НДС). Если называть вещи своими именами, то имеет место некий демпинг: домены предлагают зарегистрировать, например, по 300, по 200, по 99 рублей.

К чему это приведёт? Один из исходов такой: регистрация доменов получит прямое государственное регулирование. Почему? Потому что как только стоимость регистрации де-факто станет “бесплатной”, то все мыслимые доменные имена перекочуют в руки домейнеров (кибирсквоттеров – называйте, как хотите), а рядовой потребитель, желающий приобрести один домен, получит единственную же возможность: платить по спекулятивной цене “магнатам”, создавшим дефицит имён. То есть, окажется, что рыночные механизмы управления доменами .RU не сработали, а рядовой конечный потребитель (для которого, собственно, домен и создан) оказывается просто задавлен. Регулировать такую ситуацию должно государство.

Как регулировать? Известный и неплохой пример: распределение радиочастот. Радиоэфир – тоже общий, количество частот тоже ограничено. Частоты раздаёт государственная структура, на основании анализа поступающих заявок и с существенными ограничениями. Вот так может и с доменами получиться. Тем более, что в ряде национальных доменов похожие принципы управления уже действуют.

И существует более или менее мягкий способ забрать домены у “магнатов”: изменяются правила администрирования зоны (вводятся ограничения на число доменов в одних руках) и, по окончании оплаченного периода регистрации (сейчас один год), избыток доменов у массовых администраторов изымается без нарушения правил.

По следам недавнего падения “Яндекса” “из-за проблем маршрутизации” в блоге “Яндекс.Поиск”, очевидно, не нашли ничего лучше, как воспользоваться собственным яндексовским сервисом “Рефераты” для генерирования ТЗ на “спасительное решение для яндексовского NOC”. Судите сами, цитата:

Дано
Порядка тысячи подсетей с десятками тысяч узлов, динамически взаимодействующих между собой (т.е. все выпадения, разрывы и прочие повреждения и изменения системы отрабатываются автоматически) и разложенных в несколько разнесенных в пространстве дата-центров. Собственная магистраль, обеспечивающая интенсивный обмен данными между элементами. Развитая избыточная внешняя коннективность, обеспечивающая независимость от функционирования любых внешних структур.

Закончился приём заявок на технологический конкурс WebHiTech. За весь период номинирования (апрель-сентябрь, включительно) мы получили 286 заявок. Немало. Из них уже допущено на конкурс 133 (есть некоторое количество заявок, пришедших в последний момент, их ещё рассматривает отборочный комитет). Следующий этап – работа жюри и определение победителей.

Кстати, внедрение DNSSEC приведёт к появлению новых типов атак на DNS, среди которых есть довольно интересные и неожиданные (впрочем, два упомянутых ниже типа специалистам давно известны и описаны в соответствующих RFC, но тем не менее).

Скажем, для проверки достоверности данных в DNSSEC используются криптографические ключи, которые крепко привязаны ко времени: у каждого ключа строго определён срок действия. Так что если часы компьютера, проверяющего адресную информацию по DNSSEC, не привязаны к “всеинтернетовскому” глобальному времени DNS, то у этого компьютера большие проблемы с корректностью обработки адресов. Соответствующая атака, видимо, должна использовать какие-то манипуляции с системным временем. Для DNS, работающей без DNSSEC, глобальное время не так важно.

Другой вариант: DNSSEC использует вычислительно затратные криптографические операции. Это означает, что новая DOS-атака (на отказ) может основываться на подсовывании поддерживающим DNSSEC системам “дефектных” подписей и ключей. При этом атакуемый компьютер тратит немалые вычислительные мощности на бесполезную обработку данных от злоумышленников. Затраты процессорного времени тут просто не сравнимы с затратами на обработку запросов по протоколам “классической” DNS: DNSSEC потребует гораздо больше ресурсов.

На первый технологический конкурс веб-сайтов в Рунете – WebHiTech – очередной вал заявок. Этот вал, судя по всему, объясняется тем, что завтра (25 сентября) заканчивается приём заявок. Все спешат вскочить в последний вагон. А вообще статистика по конкурсу такая:

По состоянию на 23 сентября, оргкомитетом получено 275 заявок. Из них рассмотрено 269. 133 проекта допущено к участию в конкурсе, 136 заявок отклонено.

То есть, отбор суперстрогий: менее половины заявленных сайтов проходят в номинанты. Заявки отборочный комитет отклоняет с подробными объяснениями причин. Интересно, что целый ряд проектов активно приходили “на пересдачу”: вносили изменения на сайты и подавали заявки вновь.

Дальнейшие планы конкурса такие: в октябре жюри проголосует и определит победителей и призёров в трёх номинациях (но не только в них, потому что есть ещё секретная номинация – да, для особенно прилежных веб-мастеров, – и специальные призы). Работа жюри займёт весь октябрь. А уже где-то в ноябре мы публично объявим победителей и устроим церемонию вручения призов. Так что будет интересно.

Как известно, DNSSEC – это технология, помогающая избавиться от основных проблем с уязвимостями в современной DNS. DNSSEC позволяет подписать цифровой подписью данные по адресации в той или иной доменной зоне. В результате участники и пользователи DNS получат возможность проверять достоверность данных об адресах сайтов. То есть, ранее данные принимались “с верой на слово” и вместо реального сайта под доменом test.ru можно было относительно легко попасть на поддельный, расположенный как бы под тем же адресом. DNSSEC позволяет проверить достоверность данных по подписи и на поддельный сайт не ходить.

Хитрости состоят в том, что DNSSEC может добавить лишнего доверия системе DNS. И в тот момент, когда раскроется очередная уязвимость в реализации криптографических протоколов, проблем может оказаться гораздо больше, потому что пользователи будут больше доверять подписанным ответам. Интересно, что OpenSSL, суперсерьёзная ошибка в которой обнаружилась весной этого года, вполне себе используется в работе серверного ПО для реализации DNSSEC (не всегда, впрочем).

Вот. Есть и другой важный момент.

DNSSEC, с криптологической точки зрения, вполне стандартная система авторизации с иерархией удостоверяющих центров. По логике развития, иерархия подписей должна бы соответствовать иерархии самой DNS. То есть подписывать ключи для конкретных зон должны авторитативные серверы (есть такие серверы, служащие источником первичной информации об адресации). А корневые серверы (грубо говоря, серверы корневого домена “.” – см. “Как работает DNS“) должны выступать “верховным центром доверия”.

Но на практике корневые серверы пока ничего в рамках DNSSEC не подписывают (хотя в ближайшее время DNSSEC там, видимо, появится). И авторитативные серверы доменов верхнего уровня также весьма редко поддерживают DNSSEC. Всё это приводит к тому, что некоторые провайдеры или регистраторы, не являясь источником авторитативной информации в данном домене верхнего уровня, начинают, тем не менее, самостоятельно подписывать зоны DNS. Вроде бы – неплохо, а с другой стороны – вводит клиентов в большое заблуждение, потому что получается, что реальные возможности “удостоверяющего центра” вовсе не соответствуют взятой им на себя ответственности.

Но, вообще говоря, понятно, что DNSSEC нужна, и это сейчас единственный реальный шанс как-то улучшить ситуацию с безопасностью в Сети.