dxdt.ru: занимательный интернет-журнал

В современном Интернете анонимность рядового пользователя, не принимающего специальных мер к сокрытию следов, – это миф. Рядового пользователя, нашалившего в форуме, при необходимости оперативно и точно вычисляют. Но, конечно, специалистам известны меры разной степени сложности, позволяющие существенно повысить степень анонимности при использовании Интернета (специальные прокси-серверы, мощная сеть TOR и т.д.).

На этом фоне тем более интересно проанализировать тенденции развития систем адресации Интернета. Начнём, пожалуй, с IPv6. Да, этот новый протокол предлагает новинки в обеспечении безопасности передачи данных, позволяет оптимизировать маршрутизацию, повысить надёжность работы Сети. При этом среди основных особенностей протокола IPv6 – огромная “мощность” пространства адресов. IPv6 позволяет присвоить уникальный адрес каждому квадратному метру поверхности Земли. И при этом множество адресов останется про запас.

Интернет уже давно и прочно обрёл глобальность. Внутрь нового киберпространства затягиваются другие “транспорты мысли”: про газеты, журналы и книги, наверное, не нужно напоминать – все они давно проросли в Сеть; следом на базу Интернета успешно переезжает радио и телевидение. Более того, мобильная и стационарная телефония – также близки к окончательной интеграции с Сетью: технологии передачи речи и автоматической “коммутации абонентов” вот уже не первый год отлично развиваются, вспомните, например, успешный Skype. Да, операторы “традиционной” связи, – в основном, мобильной, – пока что для проформы сопротивляются, даже иногда запрещают использовать сервисы типа Skype в своих сетях. Но надолго ли хватит подобного сопротивления? То есть, в обозримом будущем Интернет окончательно станет основой мировой информационной инфраструктуры.

Вернёмся к “пространству адресов”. В IPv6 адресов так много, что каждое устройство, каждое изделие, – проще говоря: всякий товар, – можно снабдить уникальным сетевым адресом. Кофеварки и холодильники, автоматически подключающиеся к Сети, уже не в новинку. IPv6 позволит автоматически присваивать “глобально уникальный” адрес не только каждому выпускаемому мобильному телефону, но и каждому зонтику, каждой рубашке. Пребывая в прачечную, рубашка сможет отметиться в базах данных, причём из записи будет ясно, что это за рубашка, когда и кем выпущена, как часто бывала она в прачечных.

Можно подумать, что рубашка с IP-адресом – это уж слишком. Но ведь используемый в рамках “складской системы” и уникальный, с точностью до вида продукции, штрих-код на товарах в супермаркете уже никого не удивляет. Именно наличие такого штрих-кода позволяет автоматизировать процесс доставки и массовой продажи товаров. Поэтому уникальный адрес для рубашки – логичное продолжение.

Тем более, что товар с чипом и подключением к Интернету сможет автоматически “отметиться” на кассе супермаркета, чтобы касса сняла деньги со счёта покупателя. В прачечной рубашка сможет сообщить стиральной машине, как именно её нужно стирать. Так что, с поправкой на технологический прогресс, мотивировка наличия уникального IP у каждой рубашки с китайской фабрики, хоть и является некоторым преувеличением, – но может быть даже более убедительной, чем в случае с давно введенными в оборот уникальными глобальными идентификаторами аппаратов сотовой связи.

В старом IPv4 проблемы с недостаточным для всех мыслимых узлов пространством глобально маршрутизируемых адресов научились побеждать. Вдумчивое чтение соответствующих технических спецификаций, использование трансляций адресов – всё это позволило Интернету демонстрировать тот активный рост, который, несмотря на “узкие рамки” IPv4, пока не думает замедляться. При этом, правда, большие группы пользователей локальных сетей оказываются “спрятаны” за единственным видимым снаружи IP-адресом. А пользователь, путешествующий между сетями, появляется в Интернете то под одним адресом, то под другим.

IPv6 борется с этой проблемой. Причём, далеко не только с помощью упоминавшегося большого количества доступных IP-адресов. Предлагаются механизмы, позволяющие “мобильному устройству” перемещаться между сетями, сохраняя свой уникальный IPv6-адрес. Такие адреса вполне могут распределяться отдельными блоками, по корпоративному признаку. Например, компания-производитель коммуникаторов присваивает этим коммуникаторам уникальный адрес на этапе производства и этот адрес позволяет работать во всём IPv6-интернете. Это удобно для пользователя коммуникатора – не нужно менять настройки, перемещаясь по стране или зарубежом, можно получать звонки на тот же самый IPv6-адрес (который, кстати, прописывается в DNS).

Итак, среди фундаментальных особенностей IPv6 – присвоение уникального глобального идентификатора всякому устройству. Адрес присваивается таким образом, чтобы устройство, независимо от своего местоположения, всегда действовало от имени своего адреса. То есть, важнее ответа на вопрос “Где?” – ответ на вопрос “Кто именно?”. И в таком случае не может быть двух коммуникаторов с одинаковым адресом, так как это приведёт к конфликтам в маршрутизации. Этот же момент требует дополнительной авторизации устройства при перемещении между сегментами Сети. Авторизацию может предоставлять фиксированный “домашний узел”, который, логично, находится в ведении компании-производителя коммуникаторов (или, например, оператора сотовой связи – у них уже имеется опыт обмена подобной авторизационной информацией при перемещении абонентов “в руминге”).

Выходит, тенденция развития IP – в дальнейшей “индивидуализации” доступа к ресурсам Сети, в борьбе против “анонимности”.

Другое направление связано с DNS. Контактная информация, адреса глобально доступных ресурсов – всё это хранится в DNS. Система доменных имён остаётся единственным инструментом, позволяющим привязать “человекопонятные” обозначения к сложным для запоминания IPv6-адресам. Следующий этап развития DNS – повсеместное внедрение DNSSEC. Технология DNSSEC – это также инструмент индивидуализации сегментов доменного пространства. В рамках технологии адресная информация подписывается электронной цифровой подписью. А сама подпись удостоверяется доверенным центром. Собственно, схема во многом повторяет давно известный в офлайне институт нотариата.

Система подписей в DNSSEC должна иметь иерархию. В рамках этой иерархии администратор зоны уровнем выше как бы ручается за администраторов доменов, распределяемых в его зоне, удостоверяя данные, переданные этими администраторами.

Почему “как бы”? Потому что до сих пор вопрос о том, за что именно ручается удостоверяющий подпись администратор в DNSSEC, остаётся очень острым вопросом. Отвечает ли администратор доменной зоны за адресацию внутри неё, если он подписал изменения? А если при этом какой-то из доменов указывает на нарушающий закон сайт? Каким образом администратор, поставивший свою подпись под параметрами адресации, может контролировать контент, показываемый под доменами в его зоне, если эта зона содержит тысячи, сотни тысяч и миллионы записей?

В офлайне, по сложившейся практике, для того чтобы избавиться от поисков ответов на неудобные вопросы, стараются тщательно идентифицировать других участников процесса публикации контента. В случае чего – есть возможность указать на виновного. Как только будет широко развернута DNSSEC, и начнётся распределение криптографических ключей в этой системе (а без ключей она работать не сможет), вполне вероятно, что потребуется ввести дополнительнные меры по идентификации администраторов доменов, получающих ключи для генерирования своих подписей.

А использование электронной подписи в дальнейшем, для изменения каких-либо записей о домене, будет чем-то вроде подтверждения того, что изменения внёс именно ранее идентифицированный администратор, а не какой-нибудь там “заезжий хакер”. То есть, опять важным пунктом новой внеряемой технологии, а именно DNSSEC, становится обеспечение ответа на вопрос “А кто именно?”, ответ на вопрос “Где? В каком домене?” – уже вторичен: ведь работа DNSSEC основана на удостоверении автора, источника адресной информации в DNS. Дело в том, что только такое удостоверение позволяет защитить пользователей от атак “с подменой адреса”, потому что позволяет проверить, является ли источник информации авторитативным.

Выходит, что и вектор развития DNS во многом направлен в сторону более строгой индивидуализации, так же как и IPv6. И в целом оба фундаментальных элемента Интернета демонстрируют движение к дальнейшему уничтожению анонимности, на самом базовом уровне. Так что фраза “В Интернет – по виртуальному паспорту” – в ближайшие годы может оказаться совсем не шуточной.

Адрес записки: https://dxdt.ru/2009/09/17/2620/