DNSSEC добавляет критическую безопасность в место, где в Интернете нет ни одного. Система доменных имен (DNS) работает хорошо, но в любой момент процесса нет проверки, которая оставляет дыры открытыми для злоумышленников.
Текущее состояние дел
Мы объяснили, как работает DNS в прошлом. Вкратце, всякий раз, когда вы подключаетесь к доменному имени, например «google.com» или «howtogeek.com», ваш компьютер связывается с его DNS-сервером и ищет соответствующий IP-адрес для этого имени домена. Затем ваш компьютер подключается к этому IP-адресу.
Важно отметить, что процесс поиска DNS не выполняется. Ваш компьютер запрашивает свой DNS-сервер для адреса, связанного с веб-сайтом, DNS-сервер отвечает IP-адресом, а ваш компьютер говорит «хорошо!» И с радостью подключается к этому веб-сайту. Ваш компьютер не останавливается, чтобы проверить, является ли это действительным ответом.
Шифрование HTTPS обеспечивает некоторую проверку. Например, предположим, вы пытаетесь подключиться к веб-сайту своего банка, и вы видите HTTPS и значок блокировки в адресной строке. Вы знаете, что центр сертификации подтвердил, что веб-сайт принадлежит вашему банку.
Ваш банк не может сказать: «Это законные IP-адреса для нашего сайта».
Как DNSSEC поможет
Поиск DNS фактически происходит в несколько этапов. Например, когда ваш компьютер запрашивает www.howtogeek.com, ваш компьютер выполняет этот поиск в несколько этапов:
- Сначала он спрашивает «каталог корневой зоны», где он может найти .com.
- Затем он запрашивает каталог.com, где он может найти howtogeek.com.
- Затем он спрашивает howtogeek.com, где он может найти www.howtogeek.com.
DNSSEC предполагает «подписание корня». Когда ваш компьютер отправляется спрашивать корневую зону, где он может найти.com, он сможет проверить ключ подписи корневой зоны и подтвердить, что это законная корневая зона с достоверной информацией. Затем корневая зона предоставит информацию о ключе подписи или.com и его местоположении, что позволит вашему компьютеру связаться с каталогом.com и обеспечить его легитимность. В каталоге.com будет предоставлен ключ подписи и информация для howtogeek.com, позволяющая ему связаться с howtogeek.com и убедиться, что вы подключены к реальному howtogeek.com, что подтверждается зонами, расположенными над ним.
Когда DNSSEC будет полностью развернут, ваш компьютер сможет подтвердить, что ответы DNS являются законными и истинными, тогда как в настоящее время он не знает, какие из них являются поддельными, а какие - реальными.
Что сделала бы SOPA
Итак, как все это произошло в «Остановлении онлайн-пиратства», более известном как SOPA? Ну, если вы следовали за SOPA, вы понимаете, что это написано людьми, которые не понимают Интернет, поэтому он «разрывает Интернет» различными способами. Это одна из них.
Помните, что DNSSEC позволяет владельцам доменных имен подписывать свои DNS-записи. Так, например, thepiratebay.se может использовать DNSSEC для указания IP-адресов, с которыми он связан. Когда компьютер выполняет поиск DNS - будь то для google.com или thepiratebay.se - DNSSEC разрешает компьютеру определять, что он получает правильный ответ, подтвержденный владельцами доменных имен. DNSSEC - это всего лишь протокол; он не пытается различать «хорошие» и «плохие» веб-сайты.
SOPA потребовало бы, чтобы поставщики интернет-услуг перенаправляли поисковые запросы DNS на «плохие» веб-сайты. Например, если подписчики провайдера интернет-услуг попытались получить доступ к thepiratebay.se, DNS-серверы ISP вернут адрес другого веб-сайта, который будет информировать их о блокировке Pirate Bay.
С DNSSEC такое перенаправление было бы неотличимым от атаки «человек в середине», которую DNSSEC был разработан для предотвращения. Интернет-провайдеры, внедряющие DNSSEC, должны будут ответить фактическим адресом пиратской бухты и, таким образом, будут нарушать SOPA.Чтобы разместить SOPA, DNSSEC должен был бы иметь в себе большое отверстие, которое позволит провайдерам интернет-услуг и правительствам перенаправлять DNS-запросы доменных имен без разрешения владельцев доменных имен. Это было бы трудно (если не невозможно) сделать безопасным способом, вероятно, открыв новые дыры в безопасности для злоумышленников.
К счастью, SOPA мертв, и, надеюсь, он не вернется. DNSSEC в настоящее время развертывается, обеспечивая долговременное исправление этой проблемы.
