Proč je podpis kořenové zóny tak důležitý pro budoucnost DNS?

Ondřej Filip 21. 7. 2010

Zhruba před měsícem vás kolega Surý seznamoval s tím, jak začala historicky první DNSSEC KSK ceremonie, která odstartovala poslední fázi procesu podpisu kořenové zóny. V dnešním článku bych vás rád seznámil s tím, jak byla tato fáze ukončena a jaké další významy podpis kořenové zóny vlastně má.

Doporučujeme také přečíst článek Jak jsme podepsali kořenovou zónu.

Druhá ceremonie

Snad mi technicky orientovaný čtenář odpustí, že na rozdíl od kolegy už vynechám detaily a naopak budu trochu spoléhat na to, že už některé role a zkratky vysvětlil. Nicméně, pokud by byl zájem o konkrétní detail, rád zodpovím případné dotazy pod tímto článkem.

Celý systém podepisování kořenové zóny je od počátku navržen tak, že na dvou různých místech na světě poběží dva páry zcela analogicky nastavených kryptografických strojů (HSM – hardware security module), ve kterých je uložen klíč pro podepisování klíčů (KSK) ke kořenové zóně DNS. První takové místo je na východním pobřeží USA (Culpeper), kde celá ceremonie začala, a druhé takové místo je na západním pobřeží USA v městečku El Segungo, poblíž Los Angeles.

Stejně jako ta první je i druhá lokalita velice kvalitně zabezpečena, opět se setkáte s komplikovanou vstupní procedurou, kontrolami dokladů, skenery oční rohovky nebo otisků prstů, čipovými kartami, zadáváním hesel a pauzami mezi jednotlivými vstupy. Pro vstup do nejdůležitějších částí zabezpečené místnosti k trezorům je opět potřeba několik lidí a podobně. Zatímco v první ceremonii byl vygenerován vlastní KSK a podepsán klíč pro podepisování zóny (ZSK) pro první období (červenec až září), smyslem druhé ceremonie bylo rozběhnout druhou lokalitu jako věrnou kopii té první a podepsat ZSK pro druhé období (říjen až prosinec).

Celé to proběhlo tak, že každý ze sedmi Crypto Officerů (CO – jiní lidé než v Culpeperu) nejprve dostal klíč k bezpečnostní schránce v jednom z trezorů. Pak se iniciovaly příslušné HSM pro CO, byly nastaveny karty, které jsou nutné pro ovládání tohoto druhého páru HSM (tedy přesně řečeno, stačí tři ze sedmi pro každé zařízení). Dále bylo zkontrolováno a rozpečetěno pět pytlíků (TEB – Tamper Evident Bag) s kartami iniciovanými v předchozí ceremonii na východním pobřeží a z těchto pěti karet (4 x SMK + 1 x AP) byly přeneseny KSK do obou HSM. SMK karty pak byly skartovány, takže jediný způsob, jak se dostat ke klíči je přes SMK karty, které mají u sebe Recovery Key Share Holdeří (RKSH), kteří jsou na geograficky různých místech. Z HSM strojů by to pochopitelně jít nemělo. Pak došlo v podpisu již zmiňovaného ZSK (přesněji Key Signing Request – KSR), které přinesl zástupce společnosti Verisign. A nakonec opět CO zapečetili a uložili své karty do bezpečnostních schránek v trezoru.

Celá tato popisovaná akce trvala zhruba šest hodin a účastnil se ji trochu menší počet lidí oproti východnímu pobřeží především proto, že zde už nebyli RKSH.

Strategický pohled

Pojďme teď na chvíli odhlédnout od technologických detailů a zkusme se na význam celé akce podívat z trochu jiného pohledu. Kořenová zóna byla až dosud zcela spravována a generována skupinou amerických subjektů (ICANN, NTIA, Verisign). I když by se mohlo zdát, že podpis kořenové zóny je jen určitým technickým detailem, zástupce mnoha vlád trochu dráždil fakt, že by měli důvěřovat klíčům, které vygenerovaly instituce USA. Proto byli poprvé do zásadního procesu spojeného s kořenovou zónou vpuštěni zástupci komunit mnoha států ze všech geografických regionů.

Samozřejmě tento proces není úplně dokonalý, ale je to rozhodně zajímavý začátek. Kritici by například mohli namítnout, proč například není žádný uzel mimo území USA. V této souvislosti je zajímavé zmínit, že švédská vláda údajně nabízela jeden ze svých vojenských bunkrů pro tento účel. Stejně tak je zajímavé, že žádná část klíče neopustila USA, což byla podmínka americké agentury NTIA [PDF]. CO drží pouze klíčky od bezpečnostních schránek trezorů a RKSH mají pouze části klíče, který umí dekódovat zašifrovaný KSK na AP kartách, které zůstaly u ICANNu.

Nicméně ještě jednou opakuji, že jde o značný posun a každopádně o příslib do budoucna. Zástupci ICANNu několikrát opakovali, že tento stav rozhodně nepovažují za neměnný a že budou na vylepšování situace a vlastních ceremonií dále pracovat. Rozhodně jim nelze upřít snahu o maximální otevřenost a transparentnost, například celá tato druhá ceremonie byla on-line streamovaná.

A jen na okraj uvedu jeden příklad za všechny, v průběhu ceremonie jsem si uvědomil, že jediná část systému, která není nijak auditovaná, je právě upravená linuxová distribuce (CentOS live) uložená na DVD, ze kterého bootuje onen speciální notebook. Požádal jsem tedy zástupce ICANNu, zdali bychom mohli v nějakém nezávislém zařízení udělat kontrolní součet, aby bylo později doložitelné, jaký software vstupy do HSM ovládal, a abychom tuto distribuci mohli dodatečně auditovat. Mimochodem, kopii DVD už máme v držení a pracujeme na tom. A ačkoliv tato akce znamenala další protažení již tak poměrně dlouhé ceremonie a především přidání a změnu pořadí bodů v tomto komplikovaném procesu, bez námitek mi vyhověli.

Česká role

Tímto jsem si tak trochu připravil půdu k dalšímu pohledu na celou věc. Pevně věřím, že vás, čtenáře českého internetového magazínu potěší následující zajímavý fakt. Pouze zástupci tří států byli přítomni na obou ceremoniích, šlo o USA, Švédsko a Českou republiku.

(Snad mi zaměstnanci multikulturního ICANNu prominou, že jsem je tak šmahem označil za Američany, vnímám to teď spíše dle bydliště, jinak například Mehmet Akcin je narozen v Turecku a má dvojí občanství, Kim Davies je Australan a Francisco Arias je Mexičan.)

Role Američanů je myslím dostatečně jasná. Švédi se díky tomu, že DNSSEC spustili jako první a mají s ním nejdelší operační zkušenosti, významně podíleli na přípravě designu celé akce. A od nás zástupců země s největším počtem podepsaných domén, se spíše očekávalo, že budeme celý proces komentovat a hledat případné slabiny. Tímto bych chtěl poděkovat kolegovi Ondřeji Surému, protože se své role v Culpeperu zhostil velice dobře. Koneckonců naši práci budete moci ohodnotit, jakmile budou zveřejněny nahrávky z obou akcí a to by mělo být brzy. Schválně zkuste spočítat, kolikrát se při druhé ceremonii objevily výrazy „Ondrej“ a „other Ondrej“.

První globální PKI

Dalším zajímavým aspektem celého procesu je fakt, že je to snad poprvé, kdy byla vytvořena globální kryptograficky zabezpečená databáze, na které se podílí prakticky všechny státy světa. Uvědomme si, že velice brzy bude možné jednotným způsobem kryptograficky ověřit správnost údajů v (DNS) databázi například USA, Namibie, Srí Lanky a Ruska. Pokud je mi známo, toto se zatím nikde jinde nepovedlo. Zároveň díky tomu, že se DNS mění v bezpečnou databázi, bude možné DNS používat ke zcela novým aplikacím.

Některé doménové registry už pracují na standardizaci ukládání SSL certifikátů do DNS, v současné době už je to možné „v menším“ pro SSH – záznam IN SSHFP. Zájemce o detaily odkazuji na mou přednášku z konference Internet a Technologie 09. A obdobných aplikací jistě ještě přibude, každého možná napadne nějaká spojitost s IPSEC a podobně. Jinými slovy DNS systém prochází zásadním evolučním krokem, který jej posunu významně vpřed.

Perličky na závěr

Milovníkům zajímavostí jsem na závěr připravil pár údajů

  • Ještě pořád zůstává vzpomínka na Československo – Rick Lamb se při představování účastníků ceremonie přeřekl a řekl, že pocházím z „Czechoslovakia“, vzápětí se ale opravil.
  • Celá šestihodinová ceremonie měla zhruba 200 různých kroků a pár dalších bylo přidáno v průběhu (tzv. výjimky, které jsou zaznamenané v protokolu).
  • Ve chvíli, kdy jeden z CO ukládal své karty do bezpečnostní schránky, se zjistilo, že schránka nejde odemknout. Byla mu tedy přidělena jiná schránka, ale je to trochu nepříjemné. K další ceremonii budou pozváni pouze čtyři CO a k ovládání zařízení jsou nutní nejméně tři. Pokud by tedy například jeden měl komplikace s příletem a pak další schránka nefungovala, přišla by na řadu vrtačka.
  • Že konfigurace použitého HSM zařízení není příliš uživatelsky příznivá dokládá následující pasáž z bodu 70 rozpisu ceremonie: e.g. if LCD display shows ”key import disable“ this means key import is enabled. Podotýkám, že nejde o omyl.

(Autorem fotografií je Kim Davies a obrázky jsou k dispozici pod licencí CC by-nc-nd.)

Ohodnoťte jako ve škole:

Průměrná známka 1,25

Našli jste v článku chybu?
Zasílat nově přidané názory e-mailem
120na80.cz: Tady se vaří padělané léky

Tady se vaří padělané léky

120na80.cz: Velký přehled: 7 očkování proti exotickým nemocem

Velký přehled: 7 očkování proti exotickým nemocem

120na80.cz: Co lidi tropí se sádrou

Co lidi tropí se sádrou

120na80.cz: 10 dezinfekcí: Vede „starý dobrý“ peroxid

10 dezinfekcí: Vede „starý dobrý“ peroxid

Vitalia.cz: Tetanus v USA – i po odřeninách

Tetanus v USA – i po odřeninách

120na80.cz: Jak si udržet zdravou vaginu

Jak si udržet zdravou vaginu

Vitalia.cz: Syndrom počítačového vidění: stačí dvě hodiny denně

Syndrom počítačového vidění: stačí dvě hodiny denně

120na80.cz: 5 triků, jak zastavit krvácení po holení

5 triků, jak zastavit krvácení po holení

Podnikatel.cz: Rošáda v živnostech. Týká se vás?

Rošáda v živnostech. Týká se vás?

DigiZone.cz: Konec geoblokace online médií?

Konec geoblokace online médií?

Vitalia.cz: 7 nemocí očí, které musíte léčit včas

7 nemocí očí, které musíte léčit včas

Lupa.cz: Babiš: nevím o návodu, jak obejít blokování webů

Babiš: nevím o návodu, jak obejít blokování webů

Vitalia.cz: Proč máme prasklý chléb nejraději?

Proč máme prasklý chléb nejraději?

DigiZone.cz: Konec geoblokace? Ani náhodou…

Konec geoblokace? Ani náhodou…

Vitalia.cz: Mražené ryby z Makra byly falšované

Mražené ryby z Makra byly falšované

Vitalia.cz: Před, nebo po snídani? Kdy je lepší čistit si zuby

Před, nebo po snídani? Kdy je lepší čistit si zuby

Podnikatel.cz: Konečně vývar. Skoro jako od Steva Jobse

Konečně vývar. Skoro jako od Steva Jobse

Vitalia.cz: SÚKL: vakcíny jsou bezpečné a s autismem nesouvisí

SÚKL: vakcíny jsou bezpečné a s autismem nesouvisí

DigiZone.cz: Změní se veřejnoprávní status ČT?

Změní se veřejnoprávní status ČT?

Root.cz: Zákon o hazardu je v rozporu s ústavou

Zákon o hazardu je v rozporu s ústavou