Datové schránky a DNSSEC

Publicita a odborník na problematiku počítačových sítí Jiří Peterka napsal pro informační server Lupa.cz řadu článků o datových schránkách. Zatím poslední z nich vyšel právě dnes a je o bezpečnosti a prevenci spojené s touto službou.

Článek vám mohu doporučit a to i proto, že se v něm dočtete o tom, jak je možné ochránit vaši datovou schránku s pomocí systému DNSSEC. Dodám už jen, že do rodiny podepsaných domén přibyla doména mojedatovaschranka.cz 12. listopadu tohoto roku.

Vilém Sládek

Významné usnesení vlády ČR

Dnes si dovolím, i když trochu se zpožděním, okomentovat událost z června tohoto roku, o které, co vím, vůbec česká média zabývající se Internetem nereferovala. Budu mluvit o usnesení vlády České republiky číslo 727 z 8. června 2009, k němuž svým dílem přispělo i sdružení CZ.NIC.

Je trochu s podivem, že takto pro český Internet významné usnesení, které bude mít dopad na síťové služby a infrastruktury celé řady státních úřadů, prošlo bez sebemenšího zájmu. Usnesení totiž ukládá všem ministrů a ústředním orgánům státní správy zajistit přístup k internetovým stránkám a veřejně dostupným službám eGovernmentu protokoly IPv4 i IPv6 a to do 31. prosince 2010. Jinými slovy, do konce příštího roku bychom měli mít služby jako portal.gov.cz, www.justice.cz a jim podobné přístupné také pomocí protokolu IPv6.

Musím pochválit naši vládu a především předkladatele – Ministerstvo průmyslu a obchodu, že se rozhodli jít cestou stimulace poptávky. Bohužel se občas objevují hlasy, a byly slyšet i nedávno na Internet Governance Foru, že by vlády a regulátoři měli „povzbudit“ přechod na protokol IPv6 pomocí nějaké nespecifikované regulace nebo že by měli dokonce nějak dotovat či podporovat ISP v přechodu na IPv6. Osobně si myslím, že na nějaké dotace či daňové úlevy prostor není. Pokladnice velkého množství států jsou spíše prázdné a peníze jsou jistě potřeba na řešení mnohem naléhavějších problémů. Stejně tak nevěřím, že nějaké regulace může Internetu prospět. Proto aplauduji této „české“ variantě, která se omezuje pouze na státní správu samou.

Pokud se někdo obává, že nařízení vlády není proveditelné, že na trhu není dostatek ISP, kteří IPv6 podporují, tak bych rád uvedl, že nový systém CZ.NICu a všechny jeho služby jsou dostupné po IPv6 od okamžiku spuštění, tedy už více než dva roky. IPv6 připojení tedy v ČR možné sehnat je, konečně je to vidět i na seznamu sítí, které provozují IPv6 peering v rámci uzlu NIX.CZ

Každopádně by bylo skvělé, kdyby po tomto usnesení následovalo ještě podobné týkající se bezpečnosti DNS; tedy stanovení termínu, kdy by ministerstva a ústřední orgány musely podepsat pomocí protokolu DNSSEC všechny své domény. A ještě více bych uvítal usnesení, které by stanovilo datum, do něhož bude poskytování služeb pomocí IPv4 zastaveno. To by byl jistě ten hlavní impulz pro rozvoj IPv6 v České republice.

Určitě tedy velice vítám tento pionýrský krok a těším se na konec roku 2010.

Ondřej Filip

Malý krok pro ICANN

Organizace ICANN na svém posledním zasedání v korejském Soulu schválila omezené rozšíření IDN národních domén nejvyšší úrovně (ccTLD) takzvaný Fast Track. Nový ředitel ICANNu Rod Beckstrom v této souvislosti parafrázoval výrok Neila Armstronga, když řekl: „Je to malý krok pro ICANN, ale velký skok pro polovinu lidstva, která používá jiné abecedy než latinku.“ A dlužno podotknout, že Rod nebyl sám, kdo byl při závěrečném odsouhlasení změny dojat. Někteří lidé v sále měli v ten okamžik v očích slzy.

Jako velký fanoušek celého Fast Track procesu jsem s napětím čekal, jak se k celé věci postaví média a především ta česká. Bohužel musím říct, že ne všechna zvládla svou práci optimálně. Proto bych se s mírný odstupem času vrátil k pár mýtům, které se v souvislosti s touto kauzou objevují.

Není to potřeba

Hodně často zaznívá, že toto přeci nebylo potřeba, že těch 26 znaků latinky se přeci každý snadno naučí, že to není takový problém. Jenom podotýkám, že těch znaků je maličko více; zkuste se zamyslet, proč znaky jako ‚r‘ a ‚R‘ či ‚a‘ a ‚A‘ označují totéž písmeno. Ale podívejme se na věc z opačné strany. Co kdyby Internet nevymysleli Američané, ale třeba obyvatelé hostitelské země posledního zasedání ICANN – Korejci. Korejská abeceda má podobnou logiku jako latinka nebo třeba azbuka, má srovnatelný počet znaků. V tomto případě bychom URL tedy pravděpodobně psali v korejských znacích, museli bychom se je tedy naučit. Jaký by byl v tu chvíli náš pohled na IDN? Předpokládám, že tlak Evropanů a Američanů na zavedení IDN by byl obrovský a jeho prosazení by znamenalo otevření Internetu pro mnoho obyvatel.

Rozdělení Internetu

Velice častým komentářem je, že došlo k rozdělení Internetu. Je prý problém, že takováto URL nenapíšeme do svých browserů a mailerů. Ano, to je rozhodně pravda. Ale je to pro nás nějaký problém? Především IDN už existovalo na druhé úrovní. Pravě třeba v Korei jsou běžné adresy jako třeba tato – 한글.kr. Tohle už asi z naší běžné klávesnice nezadáte. A mělo by Vám to vadit? Já si myslím, že ne, protože pokud tyto znaky neumíte napsat, pak velice pravděpodobně ani nebudete rozumět obsahu těchto stránek provozovaných na této doméně. Prostě jsou to stránky pro Korejce. Došlo tedy k rozdělení Internetu? To už tehdy, když se rozšířil za hranice USA. Nespornou výhodou pro Korejce je, že pro zadání korejské domény už nebudou muset přepnout na jim cizí anglickou klávesnici pro zadání toho tečka KR.

Rozšíření souvisí s koncem JPA

JPA (Joint Project Agreement) byla smlouva mezi ICANN a americkou vládou. Ta skončila letos na konci září a byla nahrazena poněkud slabším dokumentem nazvaný Affirmation of Commitments. Dlužno podotknout, že třeba z pohledu fungování delegace kořenové zóny se nemění vůbec nic, vláda USA pořád autorizuje všechny změny v této zóně. Každopádně to je ale významná změna vztahů mezi ICANN a vládou USA. Ale rozhodně to nemá žádnou souvislost s Fast Trackem. Tento proces započal už dávno před ukončením JPA a původně se dokonce předpokládalo, že bude odstartován výrazně dříve. Konec konců, díky tomuto zpoždění se mu někdy trochu posměšně říkalo „not-so-slow-track“.

Další omyly

Jistě jste si všimli i dalších podobných zvěstí, které novináři přinesli. Doufám, že pro čtenáře našeho blogu nemusím nijak komentovat, že tato změna nemá nic společného z IDN v .cz a podobně. Pokud jste ještě objevili nějaký mýtus, dejte nám prosím vědět v diskusi.

Ondřej Filip

Švédské „vypnutí“ internetu

Před třemi týdny se našim kolegům ze švédského doménového registru přihodilo to, co bych bez nadsázky nazval noční můrou doménových správců – vystavení poškozeného zónového souboru.  Tento soubor je klíčovým prvkem  pro fungování systému doménových jmen DNS. Jsou v něm uložené všechny domény druhé úrovně pod doménou „.se“ spolu s odkazy kam směrovat dotazy na tyto domény. Zmiňovaná chyba tak způsobila, že odhadem minimálně na hodinu přestaly být dosažitelné všechny adresy s koncovkou „.se“. Pojďme si postupně projít co se vlastně stalo a zejména jakým způsobem je provoz našeho vlastního registru zabezpečen proti tomu aby se něco podobného přihodilo i nám.

Správci švédské domény .se si v našem oboru drží dlouhodobě poměrně vysoké renomé. Jako první zavedli DNSSEC a na odborných konferencích často vystupují s novinkami, které implementovali do svých systémů. V pondělí 12. října měli naplánovanou rutinní odstávku systému spojenou s nasazením nové verze.  Přestože, podle zveřejněných informací, i jejich vývojový cyklus obsahuje sadu testů, které musí nová verze splňovat, ze zatím nezjištěných příčin prošel přes tuto fázi kód, který obsahoval chybu. Ta spočívala v chybějící tečce na konci doménových jmen ve vytvořeném zónovém souboru – místo „.se.“ zde bylo uvedeno pouze „.se“. Nameserver načítající tento zónový soubor tím pádem pokládal všechna doménová jména jako relativní a připojil ke každému ještě jednou „.se.“.  Takto poškozený zónový soubor se začal propagovat ve 21:39.  Ve 21:50 monitorovací systémy začali hlásit, že v publikované zóně je chyba.  Administrátoři na to zareagovali tak, že vzali poslední správně vytvořený zónový soubor a po zvýšení sériového čísla ho ve 22:35 publikovali. Vzhledem k tomu, že celá zóna .se je podepsaná pomocí DNSSEC a že sériové číslo je součástí SOA záznamu, došlo jeho změnou k invalidaci podpisu tohoto záznamu a pro DNSSEC validující resolvery tedy byla tato zóna stále nedostupná. Tento krok ale zabezpečil dostupnost domény pro většinu uživatelů. Finální, nově podepsaná zóna byla publikována v 0:35. Ponechme nyní stranou Švédy a podívejme se jakým způsobem se podobnému nedopatření snažíme vyvarovat my. V zásadě se jedná o dva doplňující se procesy a to testování nových verzí před nasazením a monitoring produkčního prostředí.

Již v průběhu vývoje programátoři používají širokou sadu automatizovaných testů, s jejichž pomocí kontrolují zda nové změny nezanesly chybu do dříve fungujících částí systému. Po dokončení všech kontrol provedou vývojáři označení nové verze v systému pro správu verzí SVN a spolu s postupem upgradu předají tuto verzi administrátorům. Ti s pomocí vlastního nástroje zajistí zabalíčkování nových verzí změněných komponent pro všechny platformy na kterých systém provozujeme. Kompletní konfigurace systému včetně verzí balíčků je uchovávána v centrálním repositáři a pomocí nástroje Puppet jsou veškeré změny distribuovány na patřičná místa. Abychom zajistili bezproblémový upgrade, vytvořili jsme pomocí technologie virtualizace KVM kompletní kopii produkčního prostředí jedné lokality, čítající v tuto chvíli pět propojených serverů. Administrátoři zanesou postup upgradu do Puppetu a s jeho pomocí tento postup aplikují na testovací lokalitě. Poté spolu s vývojáři otestují výsledek buď manuálně nebo opět sadou automatizovaných testů. Teprve pokud nenastane žádný problém, je možné novou verzi pomocí otestovaného postupu nasadit na skutečné produkční prostředí.

Běžící systém je monitorován obrovskou sadou periodických testů, které zkoumají všechny možné aspekty jeho chování od stavu síťových zařízení, přes různé zkoušení registrací na registrátorském rozhraní až po testy zda se odesílají správně faktury. Všechny tyto kontroly jsou implementovány jako moduly do monitorovacího nástroje Nagios.  Výstupy těchto kontrol jsou klasifikovány podle důležitosti a reportovány pomocí e-mailů nebo SMS zpráv administrátorům. Celý systém je podporován vizuální a hlasovou signalizací umístěnou v prostorách našeho klienského centra. Operátoři pracující v tomto prostoru 24 hodin denně a 7 dní v týdnu neprodleně administrátorům volají pokud signalizace hlásí nějaký problém.  Vraťme se ale k publikování zónového souboru. K tomu dochází automaticky jednou za půl hodiny a i tento proces obsahuje několik kontrol. Vedle kontroly integrity souboru je hlavní kontrolou test na počet změn v tomto souboru. Pokud počet změn přesáhl určitou hranici je proces zastaven a administrátoři musejí provést ruční kontrolu těchto změn. Pokud kontrola zjistí, že se opravdu jedná jen o velký počet změn v delegacích je zóna publikována a automatický mechanismu obnoven.

Bylo by krásné na tomto místě napsat – nám se nic takového stát nemůže, ale nebyla by to pravda. Všechny systémy jsou nakonec nějakým způsobem závislé na lidech. Jak se zdá, i ve Švédském případě mají podobné procesy, ale pravděpodobně někdo neotestoval to co měl a ještě navíc někdo neposoudil nějakou signalizaci monitoringu jako kritickou a vypnul jí. Tomu je možné předejít pouze výběrem zodpovědných pracovníků a jejich častým školením a tréninkem. Věřím, že v tomto ohledu jsou naši zaměstnanci muži (a ženy) na správném místě.

Jaromír Talíř