Dnes v noci jsme nasadili do provozu novou verzi systému FRED, jehož vlastnosti jsou určující pro životní cyklus všech .CZ domén. Zatímco několik předchozích verzí přinášelo novinky spíše na úrovni vnitřní infrastruktury, dnes zprovozněná verze přináší navenek rozpoznatelnou změnu. Dotkne se všech, kteří budou provádět transfer domén (obecně objektů) od jednoho registrátora k dalšímu. A nebyli bychom to my, kdyby změna neznamenala zvýšení bezpečnosti tohoto významného procesu, který měsíčně podstoupí jednotky tisíc držitelů domén.
Pro zopakování (o možnostech transferu jsme psali před lety), při změně registrátora objektu je nutno zadat heslo pro transfer, tzv. authinfo nebo také authinfo kód. Tato základní vlastnost se nemění, mění se způsob, jakým je s authinfo kódem nakládáno u nás v registru. Dříve bylo authinfo k objektům zapisováno v okamžik jejich vzniku, bylo dostupné pro čtení a k jeho přegenerování došlo v okamžik transferu objektu na jiného registrátora. Mohlo být tedy stejné po velmi dlouhou dobu. S tím byly spojeny poměrně značné nevýhody. Jednak bylo nutno na straně registru uchovávat authinfo trvale u každého objektu a udržovat historii změn tohoto údaje, což vzhledem k počtu objektů znamenalo nemalou režii. Hlavní nevýhodou byla ale nízká bezpečnost. Potenciální únik nezahashovaných (a velmi málo se měnících) hesel k transferu, ať už od nás nebo od registrátora, by mohl vést ke změnám na objektech v registru, které nevyvolal a nepotvrdil jejich držitel.
Způsob, jakým jsme zpracovávali hesla pro transfer doposud, je obvyklý i pro ostatní doménové registry a vychází z existujících standardů pro komunikaci mezi registrátory a registry. Nicméně, když v prosinci loňského roku vydala standardizační organizace IETF novou verzi těchto technických pravidel, která již zohledňují vyšší požadavky na bezpečnost, rozhodli jsme se, že těchto nových pravidel pro naše řešení využijeme.
Nově tedy authinfo při založení objektu nezapisujeme, ale jeho držitel si jej v případě potřeby vyžádá. My jej buď vygenerujeme nebo si držitel nastaví vlastní. Až následně authinfo k objektu uložíme, nově v zahashované podobě, a nastavíme mu platnost na 14 dní. To eliminuje rizika spojená s únikem hesel za cenu akceptovatelného snížení komfortu pro držitele, který má na uvažovanou změnu vymezený čas. Mimochodem, lhůtu 14 dní jsme zvolili poté, co jsme tento nový koncept práce s authinfo kódy konzultovali s našimi registrátory. Spolu s nimi jsme v předchozím půlroce vyladili další detaily fungování v registru. Registrátoři tak mohli v předstihu upravit svoje systémy, mimo jiné i díky tomu, že novou funkčnost měli k dispozici v testovacím prostředí. Jedná se sice o principiálně poměrně jednoduchou změnu, ale její implementace v systému FRED a systémech registrátorů už tak jednoduchá nebyla. Proto tímto velmi děkujeme všem, kteří na realizaci pracovali.
Změnu jsme samozřejmě zanesli také do dokumentace FRED nebo Pravidel technické komunikace. Pro jistotu níže ještě popíšu, jaké možnosti má nově držitel při transferu objektu k novému registrátorovi.
Pro transfer objektu držitel potřebuje získat authinfo jedním z těchto způsobů:
- přes web určeného registrátora přenášeného objektu (nebo kontaktu spojeného s tímto objektem), což lze provést:
- buď zasláním požadavku na vygenerování authinfa registrem – držitel dostává v tomto případě authinfo od registru,
- nebo zadáním nového authinfa přes systém registrátora do registru – držitel v tomto případě authinfo sám zadává nebo získává od registrátora,
- přes web cílového registrátora, odkud držitel zavolá vygenerování authinfa registrem, který zašle tento kód držiteli,
- v Doménovém prohlížeči, kde si může držitel objektu authinfo nastavit,
- prostřednictvím formuláře na našem webu.
Poté, co jedním z těchto způsobů držitel authinfo získá, zadá jej cílovému registrátorovi. Ten díky tomu může provést transfer objektu a my (registr) provedeme zneplatnění použitého authinfa. Ke zneplatnění authinfa po jeho využití nedojde v případě, kdy použiji pro transfer objektu authinfo oprávněného kontaktu. Registrátor může authinfo využít také ještě ke zjištění údajů kontaktu, které jsou pro něj skryté a držitel mu předáním authinfa dává oprávnění na ně nahlédnout. V těchto specifických případech ponecháváme authinfo platné až do vypršení platnosti.
A závěrem ještě jedna informace pro držitele, kteří si požádali o authinfo v posledních 14 dnech. Všem těm jsme při nočním přechodu na nový systém nastavili platnost jejich authinfo kódů na 14 dní od zaslání. Protože k využití authinfa dochází v drtivé většině případů do jednoho dne od podání žádost nebo zadání, neměla by tedy v tomto článku popsaná změna způsobit žádné komplikace při transferech objektů.
Jakými způsoby lze získat authinfo