Домены. Все, что нужно знать о ключевом элементе Интернета

Текущую ситуацию с безопасностью систем адресации в Интернете нельзя назвать хорошей.

А классическая DNS вообще лишена каких бы то ни было механизмов обеспечения информационной безопасности. Причина в том, что, когда разрабатывалась DNS, многих угроз современного сетевого компьютерного мира просто не существовало, даже в лабораториях. Их тогда еще не успели разработать. Более того, четверть века назад Интернет не был столь агрессивным пространством, в которое он превратился сейчас, в конце первого десятилетия XXI века, поэтому и о противодействии активным злоумышленникам, вмешивающимся в работу сетевых протоколов, думали не так много, как теперь. Выбранный путь развития требует решать проблемы безопасности с «древними» протоколами в основном с помощью надстроек. Однако заметны и попытки обновить базовые протоколы, приведя их в соответствие с реалиями (самый масштабный пример – новая версия протокола IPv6; это базовый «транспорт» Интернета, используемый в том числе и DNS).

Чтобы несколько упростить изложение, разделим вопросы доменной безопасности на три большие группы.

1. Управление правами доступа администраторов доменов.

2. Доступ к ресурсам, размещенным под доменами, со стороны всего остального Интернета.

3. Достоверность данных DNS и доверие к доменам со стороны пользователей Сети.

На чем основано такое деление? Прежде всего на том, что эти три группы различаются в техническом плане.

Первая группа вопросов касается социальной инженерии, документооборота между регистратором и конкретным администратором домена.

Вторая – технологий и принципов работы серверов DNS, непосредственно обслуживающих домен.

Третья – технологий работы распределенной DNS Интернета и методов, используемых злоумышленниками «на стороне клиента» (то есть на компьютерах рядовых пользователей Сети).

Попробуем взглянуть на ситуацию несколько более детально. Так, кража злоумышленником паролей доступа к настройкам домена второго уровня у законного администратора – это проблема прав доступа, то есть проблема из первой группы.

Отказ обслуживающих домен серверов DNS, приведший к недоступности размещенных под доменом ресурсов, – это проблема доступа из второй группы. Подделка записей, соответствующих доменному имени, в локальной DNS интернет-провайдера относится к третьей группе.

Административный апокалипсис, или Главный рубильник

Довольно часто можно услышать такие вопросы: где находится главный рубильник от Интернета? Существует ли такой рубильник? Можно ли отключить Интернет? Это первейшие вопросы из области администрирования доменов, потому что касаются особенностей управления системами адресации на самом верхнем уровне. Часто

на эти вопросы дают такой общий ответ: «Интернет является распределенной системой и не управляется какой-то одной организацией, а поэтому отключить его «одним рубильником» невозможно». Но этот ответ неполон. И неверен.

В действительности существует даже несколько «главных рубильников». Например, как мы уже разобрались выше, для современного массового пользователя Интернет немыслим без DNS. DNS, конечно, распределенная система. Однако данные в ней имеют общий источник – корневые серверы. Более того, все корневые серверы получают сведения об адресации из одного источника, которым является скрытый сервер, контролируемый компанией VeriSign (см. соответствующую главу книги). Очевидно, что если отключить корневую зону DNS или изменить записи в ней, то либо глобальная доменная система имен окажется полностью недоступна, либо недоступны будут какие-то сегменты, ветви, доменного пространства. Пользователи, набирающие привычные имена доменов в адресной строке браузера, не смогут попасть на свои любимые сайты – для них Интернет будет выключен. Итак, мы довольно быстро нашли первый «главный рубильник» – он в руках тех организаций, которые контролируют корневую зону DNS.