再過不久，最重要的網(wǎng)絡(luò)密鑰之一將會首次被更改。

互聯(lián)網(wǎng)域名管理機構(gòu) ICANN 近日將會更改域名系統(tǒng) DNS(也叫作互聯(lián)網(wǎng)的“號碼簿”)中，信任密鑰長鏈中的第一個密鑰對。

這個密鑰對保證了當(dāng)一個網(wǎng)絡(luò)用戶試圖訪問一個網(wǎng)頁時，他可以準(zhǔn)確地被引到這個網(wǎng)頁地址。如果沒有這個密鑰對，用戶可能會被引導(dǎo)到一個黑客制作的詐騙網(wǎng)址上，比如竊取信息的釣魚網(wǎng)站。

ICANN 的研究副主席 Matt Larson 說：“ICANN 想要在對這個密鑰的運作上變得非常透明，因為獲得社會對其的信任十分重要。”

[[172069]]

 ICANN 研究副主席 Matt Larson，攝影：Kim Davies/Flickr

DNS 將易于記憶的域名(如 Google.com)翻譯成他們的數(shù)字化 IP 地址，這樣計算機便可以由此訪問該網(wǎng)址。但是DNS的建立并未考慮安全性。Larson 解釋道：“最初建立域名系統(tǒng)的時候，網(wǎng)絡(luò)還是一個相對友好的地方，所以當(dāng)時并沒有過多地考慮到安全性。”結(jié)果，安全性的缺乏導(dǎo)致了所謂的域名服務(wù)器緩存污染(DNS cache pollution)和域名服務(wù)器欺騙(DNS spoofing)問題——當(dāng)一個服務(wù)器在互聯(lián)網(wǎng)“號碼薄”中查找時，被強制跳轉(zhuǎn)到一個錯誤的 IP 地址，流量也因此被引到其他的地方，比如一個黑客控制的惡意網(wǎng)站。

為了解決這個問題，很多域名使用了 DNS 安全擴展(DNSSEC)。在DNSSEC下，加密密鑰保證了DNS數(shù)據(jù)擁有正確的來源。如果在傳輸過程中有不可靠的信息出現(xiàn)，并且加密簽名沒有出現(xiàn)，瀏覽器會自動挑轉(zhuǎn)到一個錯誤提示而不是被引到一個錯誤的網(wǎng)站。但是 DNSSEC 不為網(wǎng)頁上的數(shù)據(jù)加密，只是另用戶知曉正在訪問的網(wǎng)站是否合法，因為前者是 SSL 或 TLS 等網(wǎng)絡(luò)協(xié)議的工作。

在 2010 年，ICANN 與其他一些組織引進了 DNSSEC 來保護互聯(lián)網(wǎng)的 DNS 頂層，即 DNS 根區(qū)域。密鑰的層級控制了 DNSSEC 認(rèn)證的過程，密鑰的不同部分負(fù)責(zé)系統(tǒng)的不同階段。根區(qū)域的頂層部分由 ICANN 管理，控制不同頂級域名的算子(比如 .com)，其他部分則管理者個體域名(比如 MyWebsite.com)。

“如果你擁有了這個密鑰，你將可以改變巨量網(wǎng)絡(luò)流量的方向。”

在這個結(jié)構(gòu)中，每個組織擁有自己的密鑰來制作簽名，并且必須對其下實體簽署這個密鑰。所以，對于 MyWebsite.com， .com 會簽署 MyWebsite.com 的密鑰，同時根區(qū)域會簽署 .com 的密鑰。當(dāng)訪問一個網(wǎng)頁時，在計算機加載網(wǎng)頁之前，這個信息檢查過程幾乎可以一瞬間完成。

并不是所有人都使用 DNSSEC，但是使用人數(shù)在逐年上升：康卡斯特公司(Comcast)在 2012 年為其客戶開放了 DNSSEC，2013年，谷歌自己的 DNS 服務(wù)器開始全力支持 DNSSEC。

這個鏈系頂層的密鑰對，或者說是根區(qū)域的簽名密鑰，就是文章開頭所說的 ICANN 要首次更改的密鑰。

[[172070]]

Larson 說：“如果你擁有了這個密鑰，并且創(chuàng)造出你自己的根區(qū)域版本，你就可以重新引導(dǎo)巨量網(wǎng)絡(luò)流量的方向。我們想要更改這個密鑰，以保證網(wǎng)絡(luò)安全能‘免疫’。”這就像是為了以防數(shù)據(jù)被攻擊，我們會更改密碼，經(jīng)常更改密碼是一個標(biāo)準(zhǔn)的安全慣則。

互聯(lián)網(wǎng)結(jié)構(gòu)委員會(IAB)的主席 Andrew Sullivan 說，目前存在一種邏輯可能 ，即某些人在我們不知道的情況下破壞網(wǎng)絡(luò)安全密鑰。但他也強調(diào)，我們也沒有理由相信這個密鑰已經(jīng)泄露了。

確實，ICANN使用了一些特別的安全措施，并且認(rèn)為其潛在的威脅可能是國家層面的。在其季度會議上，全世界所謂的“密碼主管”在通過物理和數(shù)字安全區(qū)域后，聚集到同一個密鑰管理設(shè)備中。

在 DNS 安全領(lǐng)域走在前列的知名安全專家 Dan Kaminsky 說：“為根區(qū)域提供一個體量更大的密鑰十分關(guān)鍵，我不想看到任何阻止它的事情發(fā)生。”另一個導(dǎo)致更改密鑰的原因在于體量的增大，從 1024 比特增加到2048比特。隨著時間的推移，計算能力逐漸增強，破壞密鑰的可能雖低，卻也在上升中。

ICANN 希望在一個較為穩(wěn)定的時間做出這個更改，而不是貿(mào)然行動，以免密鑰失去抵抗力。

Larson 說：“我們希望一切恢復(fù)正常，沒有任何緊急事件發(fā)生的時候再啟動這個程序。”這樣一來，就算是以后忽然不小心被一個演員掌管了這個密鑰，至少 ICANN 會比他更加懂得這個過程是如何運行的。

今年 10 月，ICANN 會在位于美國東海岸的一個超級安全密鑰管理設(shè)備中產(chǎn)生一個新的加密密鑰對。密鑰對的一半將是私密的，歸由 ICANN 保管，另一半則對外公開?；ヂ?lián)網(wǎng)服務(wù)供應(yīng)者、硬件制造商和 Linux 開發(fā)者需要密鑰的公開部分來使他們的軟件恰當(dāng)?shù)剡B接到網(wǎng)站。

在 2017 年第一季度，將會有兩名 ICANN 的員工把加密密鑰文件的副本存儲在一個智能卡上，并乘坐公共交通工具運送到美國西海岸。最終，密鑰的公開部分將分發(fā)到世界各個組織手中。

總之，這個更正過程會持續(xù)大約兩年。Larson 說 DNS 的新密鑰會在 2017 年 7 月 11 日首次出現(xiàn)。在 2017 年 10 月，新密鑰就可以用了制作簽名。

及時的將這個更改信息宣傳出去是一個主要問題。雖然很多大的組織會持續(xù)關(guān)注這個即將到來的改變。但是正如 Sullivan 所說，可能還會有一些硬件會因這個改變而被擱置，比如路由器或者防火墻設(shè)備，它們可能會錯過這個更正，因而必須進行手動更新。

對媒體發(fā)聲是一種傳播信息的方式，但是對密鑰更改的公開化也引發(fā)了網(wǎng)絡(luò)基礎(chǔ)設(shè)施建設(shè)中非常重要的問題：信任。Sullivan 說：“因為互聯(lián)網(wǎng)是社交網(wǎng)絡(luò)的網(wǎng)絡(luò)，它都是自發(fā)的。人們?nèi)绻荒軓闹蝎@取一些價值的話，他們根本就不會使用它。”DNSSEC和其他認(rèn)證也許看上去是完完全全地技術(shù)解決辦法，但說到底，他們還是依賴于人類信任的脆弱性而建立的系統(tǒng)。

而實際上，沒有人可以確切地知道 ICANN 的密鑰是否會被泄露。

“信任是轉(zhuǎn)瞬即逝的。”Larson 如是說。