Либо, либо. Всем привет! Меня зовут Самат Галимов и это подказ запуск завтра. Котехический директор я пытаюсь разобраться. Как устроим сложные и интересные штуки. Я заупрофессионал, с которым можно поговорить простым человеческим языком. Дорогие друзья, это специальный эпизод нашего подкаста. Вообще-то мы закончили сезон и ушли на небольшие каникул. Но 30 января сломался рунет. Было несколько часов, когда перестали открываться сайты и работать мобильное приложение. Почему это произошло?
Все дело в технологии, которые мы все пользуемся каждый день по много раз в день, но большинство людей даже не слышали. Это протокол DNS. Вообще-то это дико интересная история, потому что DNS один из старейших протоколов интернета и активно используется до сих пор. Это такая базовая технология, которая как и обычно. Пока работает, не замечаешь. Сегодня мы познакомимся с этим протоколом поближе, а поможет нам в этом эксперт человек, который работает с DNS больше 10 лет.
Привет, меня зовут Михаил Алисимов. Я старший менеджер, корпорация по присвоению Доменыхмен-Эпи-Адресов и Айкен по работе заинтересованными стороны, в странах восточной Европу, центральной Азии и странах Кавкатз. Вообще я занимаюсь доменными доменными отраслю уже где-то с 2010 года. Начал работал в разных коммерческих компаниях, регистраторах, и хостинг, провайдерах, российских, мелких крупных и так далее. Потом я почти 6 лет поработал, как раз, в коронционном центре, доменов Руэрэв.
Из 2020 года я работаю в Айкен и отвечаю за связи с нашим регионом восточной Европу, страна Кавката и центральной Азии. Миш, что случилось с интернент 30 января России? Давай сначала типа с обычных людей типа, как это для нормальных людей выглядел? Вот я выбираю там яндекс.ru, что у меня происходит на экране. С точки зрели обычных людей, это выглядела так, что прекратили первую очередь работать домены в зоне.ru. То есть они прекратили, как мы говорим, резолвятся.
То есть превращаться из своего именно в вида, в видой пиадриса, которая необходим твоей машине, твоему устройству, смартфону, ноутбуку, для того чтобы достичь сервера, приложения, почты или чего бы то хотел не открыть. И вот с какой-то момент они просто прекратили, призываются и прекратили быть доступными. То есть я набираю яндекс.ru, он не открывается. Нет, он не открывается. Более того, он показывает тебя ошибку.
А ошибки бывают разные. Мы все видим разные вот эти вот такие-то значения номерные или текстовые. Если внимательные пользователи обратил внимание, что происходило именно в эти дни, там была специфичная ошибка связана как раз с дНСом. Окей, сайты это одна большая штука, второе это приложение. Мобильные приложения продолжали работать или тоже сломались.
Мобильные приложения по-разному не все устроены одинаково, но значительная часть приложений устроена по-прежнему так, что она работает на базе системы доменных имя. То есть мы просто заменили процесс вода доменного имени в строк у браузера на клик по приложению, но механика, которая стоит как потом примерно похожа. А сначала работает система дНС, который возвращает тебе и пи адрес, а потом уже этот и пи адрес позволяет тебе прийти к серверу и получить это тут вообще необходимое данное.
Соответственно, та же самая система с электронной почтой, потому что тебе нужен адрес почтового сервера, чтобы отправить письмо и так далее. Так, ладно, мы это слово дНС уже столько распроизнений следов, давайте просберемся. Как он появился и как он используется, для чего он нужен? Чуть подробнее. ДНС это одна из самых старых, одна из самых фандуементальных систем интернета, который в общем держится вообще его, что называется «Апенране». И историю появления достаточно, конечно, интересна.
Был такой человек Джон Пастел, очень, очень давно, который вообще все это придумал, ее очень долго. Был единственным, кто вообще хочет это понимать, в этом разбирается, и на заре интернет, когда я еще интернет им даже не называл, потому что это была сеть ученых американских связывающих между собой институты и несколько северов электронной почты. Это были такие абсолютно вегетарианские времена, полные энтузиастов хиппи, которые вообще не думали об безопасности.
Он вела ее в своем блокнотике, то есть он писал уничкой в своей тетрадке, соответствия вот этих вот сочетаний букв, и хайпи адресов. И вот этот вот блокнотик Джона Пастел, который сейчас по-мохранится где-то в музее, это в общем-то первая критическая инфраструктура интернет, которая в общем лежала на столе у него. Потом понятно стало, что так больше нельзя, потому что их количество внужилось, расширялась, появились другие зоны, и так далее, и так далее, все автоматизировали.
И на потихоньку пришла к тому виду, в котором увидим сейчас. Выйаги, был блокнотик, какой следующий шаг вообще из блокнотик он на компьютере-то как-то попадал, или это только между людьми распространялся этой информации, какой имя какому айпиадрису соответствует. Ну скажем так, на самых-самых первых парах это даже не было автоматизировано. То есть это приходилось вручную сопоставлять какие-то такие вещи, фактически это работа телефонистки,
которые ты звонишь, и говоришь, барышню смольная. Он здесь тоже самая. У меня, пожалуйста, сервия куламбиску университета, токи в отвомайпиадрис. Идите, заходите. А потом естественно, стало автоматизировано, а блокнот он был с корейником backupом, что если вдруг что-то сломается, мы знаем, откуда его потом забрать еще раз. Примерно аналог справочника желтой страницы. Вообще да и нас так же и называют, телефонный книг и интернета.
Так, значит, изначально это был такой распространявшийся по людям информации, и она хранился внутри компьютера, забивал с человеком. Когда мы говорим автоматизация, о чем идет речь, как это выглядело? Автоматизация не в способе вода этой информации, потому что он до сих пор ручная. Ты, когда регистируешь свой домен, ты прописываешь соответственно там все его атрибутик. Что вы сервирая пиадрис, а до сих пор доложат в ручную? Автоматизирован здесь момент разрешения.
То есть, если мы вдруг вбиваем доменные имя или кыкм на приложении, или отправляем письмо падрис электронные почты, у нас нет такого до человека, который увидит его и подставит в ручную из блокнотекая пиадрис. Сейчас это делается автоматически. А вот как это работает? Пуше немного рассказать. Тут, наверное, на дочатии вообще про то, как система донесустроена, потому что это уникальное достаточно вещи, наверное очень мало каких-то других систем интернет похожих на ее устройство.
На нас, одной стороны, похож на ласкутные диалога, которые состоят из каких-то разных частей. С другой стороны, они так, которые в другом шито, что образуют, но очень погиковски красивую на мой взгляд картину, просто вообще мекеланджело. Так вот, дело в том, что она ралхична, как очень часто говорят про сети моденес, она состоит из нескольких уровней. На самом самом верхнем уровне это так называемые корневые серверы интернет.
Вообще, когда мы говорим о ДНС и ДНС, там очень много, как и-то знают, что у кинистических аналогий, потому что это вот там 7 коллег, что в миром править, но вот что-то подобное есть 13 корневых серверов, которые управляются чертовой дюженом, так сказать. Управляются 12 разными организациям, и не зависимеем друг от друга, одна просто управляю сразу двумя.
Изначально это было 13 прям физических машин, которые стояли где-то в НЕМР сететах, или в каких-то правильственных и неправильственных организаций. Их сейчас понятно, что это 13 облаков скорее, да? Каждый из которых состоит там из сотен, иногда даже тысяч физических машин разбросаны к всему миру. И вот там хранится это самая-самая первая точка, куда приходит ДНЗАПРОС после того, как мы в билие адрес в свой браузер, или отправили письмо поликтороны почте.
И вот оттуда начинается вот этого долго, вот этот вот путь бюльба бегинса, вот это вот разрешение доминовой имени. То есть корневые серверы характерны тем, что они хранят информацию обо всех доменных верхнего уровня. Как страновых таких, как.ру.d.c, так и так называемых дженерик общей доменных верхнего уровня, такие как там ком, net, org и так далее. Просто само-псебе слово домин, она означает просто область. И все, да, в переводе.
Ну, собственно, там, если ты там наверняка изучал физику, есть там магнитные домины, это просто область в металле, которые там магничаны здесь тоже самое. А мы все-таки для того, чтобы быть понятыми, да, и чтобы быть более точными, мы обычно всегда говорим домин какого-то уровня. Соответственно, есть домин верхнего уровня, точка руточка, да, я и так далее. Есть домин второго уровня, это как раз яндекс.ru. Третьего и так далее. Всего их, по-моему, может быть, до 64 уровня вложенности.
То есть на корневых серверах хранятся адреса домина в верхнюю уровню. Да. Где надо узнать дальше информацию про точку ру, или там второго точка ком. Да, а адрес того сервера, куда нужно потом пойти, для того, чтобы узнать что-то о точке ру, например. И только это больше ничего. Соответственно, мы сходили туда, нам пришел какой-то ответ. За точку ру идите вот сюда. И там соответственно, дачи следующие направления. Идем на точку ру.
Он нам возвращает информацию о втором уровне, куда нужно идти, чтобы понять что-то о яндексе.ru. И вот это такой кувест, когда мы бегаем туда обратно, и каждый новое место содержит подсказку, куда идти дальше, вот по такому принципу, стройно с тем, да? Слушай, это прям как в сказках, когда герой идёт как бы... Абсолютно. ...п персонажа к другому, и каждый говорит, посходи к этому спроси, исходи к этому спроси, и в конце концов, находят.
Абсолютно это классическое сказку путешествия, которое собственно пропагает наш демное запрос. Весь этот процесс называется разрешение доменного имени. То есть, получение информации о том, что снима ассоциированно. Разрешение или резолving соответственно. Так вот, процесс резолving, чем интересен, тем что ты можешь делать его сам, ты можешь сам настроить свой, фон, свой, но он бог, чтобы он сделал сам для тебя. Но чаще всего и вот для тебя делать некий посредник.
Чаще всего таким посредником является той правой, то есть, что дает тебе интернет, мобильный твой Wi-Fi, офисные, и так далее, так далее. Либо ты можешь выбирать стороннего такого посредника, который будет это делать. Самые популярные, самые знаменитые такие сторонники, это Google 4.8, которые то есть я пропис, либо CloudFlare, либо 4.9, но и там некоторое количество, и их сейчас довольно много всего мира.
Ну и собственно, в зависимости от того, каковы их настройки, каковая политика разрешения, какие у них блоклисты и так далее, фактически, глядя через разные эти окошки, ты будешь видеть разные интернеты, которые для тебя соответственно разрешают какой-то твой посредник по твоему выбору. А теперь минут к рекламу. Мы говорили с Мишей почти два часа. Часть этого разговора, от том, кто управляет корневыми записими интернет.
Кто эти люди, что это за организацией, и почему мы им доверяем ключи от интернета? Все это, вы услышите в бонусной эпизоде нашего подкаста, продолжение разговора с Мишей, подписаться можно на Apple Podcasts и в телеграмме, помимо бонусных эпизодов нашего подкаста, там доступны еще бонусные эпизоды других подкастов в студии Либелибо. А еще эксклюзивный подкаст в студии, о жизни студии Либелибо. Все ссылки в описании. Слушай, я немного понял, как работает DMS. Думаю, слушай, сери тоже.
Теперь давай вернемся к аварии, когда типа что-то в этой системе сломалось. Вообще-то, что я рассказывал, выглядит как очень такая простая и легантная система, что в ней вообще может сломаться. Но на самом деле любой из шагов может сломаться. Она, потому что сделана так и архички, она сделана как ласкутные делы, для того чтобы быть очень масштабируемой, и более того как раз отказывать устойчивый.
То есть если у нас ломается какой-то кусочек, то есть например ломается какая-то странавая деменная зона, или какая-то общая деменная зона, типа, словно ком, органы, и так далее, и так далее, так устроено система, что отключение или выпадение из этого процесса какой-то деменной зоне помешает другим деменным зоном работать, продолжает, потому что они как будто бы в параллеле от этого корня.
То есть то, что сломалось в России, но продолжал работать в соседних странах, это на самом деле фичает, и как бы система сработала так как надо. Да, абсолютно. Но и соответственно, и обратный процесс, если мы вдруг захотим добавить какой-нибудь новой деменную зону, нам не нужно перестроивать вообще всю систему.
Мы просто добавляем еще одну запись в корень, и все, она спокойно отправляет нас при запросе от корня, да, отправляет нас спокойно к той новой инфраструктуру этого нового демена, который, собственно, нам уже все расскажет, кто необходимых на материсах. Так вот, что может сломаться? Но сломаться может, как, например, источник знаний, то есть тот север, куда мы идем с запросом, для того, чтобы он дал нам эту информацию, сломаться может посредник, который делает для нас это.
Но, например, да, если у нас сломаться, то есть, если я провайдал или что-то перестань с ним, быть так, как по-прежнему, да, то он перестанет нам возвращать, мы не, в общем-то, сразу и не поймем на каком-то опять сломалась. Что произошло в январе? В январе произошло следующий, есть такая хитрая штука как ДНС.
И я не зря в начале, когда я писывал систему ДНС, сказал, что в темно-гославенные времена, когда интернет делали хипи, и все друг друга знали по именам, все-то подоверяли, ДНС не задумывался, как место, где может что-то произойти. Вообще, не думали о безопасности, и у нее нет ее, что называется, в ДНК. Потом поняли, что вообще-то это не очень хорошо.
Дело в том, что в отличие от многих других протоколов, которые у нас отправляют информацию, которые служат вообще для имен информации, в которых, например, или встроены шифрования, или встроены какие-то механизмы проверок, и так далее, и так далее. ДНС отправляет с протоколой EDP, сейчас, чтобы наши слушатели не пугались, да, просто скажу, что это, ну, это очень близко, это фактически открытый текст. Соответственно, если у нас есть злая воля и немножко фантазии, простор безграничен, абсолютно.
Во-первых, мы можем, ну, как бы, собирать информацию, и очень много чего понимать про то, кто куда ходит, кто что делает и так далее. Но это отдельный вопрос, и он решает с другими методами. Но самое важное, что происходит, мы можем вот перехватывать и подменять. А, то есть я прошу Яндекс.ru, серым не отвечает правильный адрес, а злоумышленник перехватывает его и подменяет. Я уже иду и ненаяндекс, а на что-то другое вообще.
Например, и был такой человек комейнский, собственно, был атак, и назван его фамилия, атака комейнский, который в какой-то момент это понял и довел, что отсюда абсурда. Дело в том, что наш посредник вот этот вот так, который принадлежит права и другую голову и так далее, он у нас не разрешает домеными каждый раз, когда мы спрашиваем. Он запоминает ответ, держит его своей памяти некоторое время, и отвечает запомненным ответом всем другим пользователям.
Если у нас права и дороб служивает, например, большой город, и кто-то один раз попросил разрешить имиллиандахс.ru, то он на все остальные запросы яндекс.ru не будет опять бегать через все этот цепочку, он будет отвечать из своей памяти. Он сильный экономит трафик, он сильно ускоряет этот процесс и так далее. Но если этот посредник один раз получит неправильную информацию, то он сохранит своей памяти неправильную информацию.
И в течение следующего часа или суток, зависимости от настроек, он всему условному миллиону пользователей, который пришли к нему с этим запросом, а это неправильную информацию. Это называется атака отравления Keshe. Вот это запоминает Keshe, и когда ты туда пихаешь говно, называется отравление Keshe, так. Да, да, Keshe позиним.
И вот собственно, Каминский сделал такое один раз дНСом, он провел несколько презентаций, несколько примеров, как это можно было сделать, он провел всю вот благодушную общественность в ужас, и решили же нас этим все-таки сделать. Предложили такой ротокол, который называется DNS-ек. Это тот же самый DNS, это он отстроен к нанем, который просто позволяет вот эту информацию, которая лежит на сервере, да, всю атрибучку к Удамена.
Все то, что с ним связано, подписывается фороеподписью, и таким образом, когда она к нам приходит, у нас выполняется две задачи. Во-первых, цифровые подпись позволяют понять, откуда она пришла, и быть уверенным, что нам ее отдал, именно только кто должен, что никакой-то левой человек это сделал, во-вторых, в том, что она по дороге не была изменена. Дело в том, что когда ты подписываешь, что электронный подпись, тут, наверное, нужно сказать пару слов, потому что, может быть, не все об этом знают.
В общем, принцип довольно простой, да, а дело в том, что электронный подпись, для того, чтобы ее посмотреть, нужны два ключа, публичные и приватны. Это вообще механизма симметричного шифрования, безумно интересная вещь, но, наверное, требует отдельного, какого-то выпуска. Отдельные пизустно справе, это есть ссылка в описании. Ну, тем более, тогда, может быть, кто-то услышал, я рекомендую, что в этом вернуться.
И приватный ключ по своему названию, да, не известен никому, это самый вообще большой секрет, и самый главный секрет того, кто владеет электронный подпись, потому что, если вдруг она стала доступна, все скомпрометировано все, закрывать лавочку. Публичный ключ, соответственно, доступен всем. Соответственно, что происходит. Мы берем какую-то информацию, мы подписываем ее приватным ключом и публикуем. Вместе с этим публикуем и открытый публичесный ключ. Мы прямо в ларианном кладем.
И соответственно, если вдруг кто-то берет публичесный ключ, открывает это под, с открывать этот сундучок и видит его содержимое, он может быть уверен, что он был закрыт именно приватным ключом и никаким другим. Иначе по-нидрак другу не подошли. Это уникальная пара, которую невозможно, ну, литеретически невозможно подобрать случайным образом. То есть, это как раз способ удостоверения, что информацию этот сундучок положил только тот, кто владит приватным ключом.
И соответственно, когда мы этот сундучок закрыли и поставили все к чабо зрения, чтобы все забирали от Лусти, что хотят, мы должны рядом положить и новый публичесный ключ. Например, есть вы меняем этот подпись. Вот ДНС работает именно так. Мы подписываем на каждом из этих вот этапов, то есть на втором уровне, на первом уровне, на корневолмуровне, подписываем содержание ключом, все эти ключи разные. И он позволяет нам быть увереным, что он получаем все как надо.
Значит, у владельцев серверов ДНС, которые источники информации о том типа, какие адреса, каким серверам принадлежат, у них есть свои цифровые подписи, и они каждую запись подписывают типа, все верно, увиденным уверить. Окей, мой компьютер, когда получает ответ, он может проверить, что типа, да, ту информацию, которая получила, она верная, да? Это мой компьютер сам проверяет. Мы это, заешь, это настроит чаще всего проверка лежит на посреднике.
То есть, наш провайдер или наш там Google Cloud Flare кого бы мы не выбрали, они работают, как раз они делают для нас, так называемый, ввалидац этой вот файлозоны, как мы то есть вот вся атрибудская кодамина, но, не называется файлом зона. То есть, все что-то написано, а пи адрес, а почтовые отсылки какие-то сложебные информации, а так далее, называется файлом зона.
Соответственно, они делают ввалидации файлозона, они дают нам, мы доверяем им возможность, удостоверить для нас, что все работает правильно. Окей, звучит очень классно. Клевый протокол, пользуемся все. Да, да, да, все прекрасно. Что пошло не так? Что пошло не так?
Дело в том, что ДНСек действительно технология довольно сложная, и многие специалисты говорят, так называемый родовой травмид, ДНС, поскольку он требует большого внимания и деталя, очень хорошего таймэнажмента, все должно быть сделано вовремя, поделенной последовательности.
И в том случае, если у нас вдруг что-то сделано не так, как процедурно, что-то перепутали, что-то забыли, сделали что-то не вовремя, поставили или старые ключи, или что-то пошло не так при генерации, при сотворении этой пары, то соответственно, что это что-то чок не откроется. Я так понимаю, проблема еще в том, что на первый взгляд, типа, глазами, ты это не увидишь, там это просто набор чисел, и он типа, как был, там 10 чисел, и остался 10 чисел, ты такой, ну, выглядит нормально.
Абсолютно, абсолютно, ну там, мне 10 там сильно больше, да, там довольно большие ключи, чтобы их нельзя было подобрать. Почему вообще такое происходит? Дело в том, что все ключи, как и любые какие-то атрибуты, вот такого типа безопасности, их нужно время отремниминять, как пароли, как и все остальное. Соответственно, есть процедура ротации ключей, она в каждой доменной зоне происходит по своим правилам, где-то она происходит раз в три месяца, раз в шесть месяцев, и так далее.
Ну и соответственно, как это выглядит, генерится новая пара ключей, подписывается доменная зона новым приватным ключом, публикуется соответственно, вместе с новой цифровой подписью, и вместе с новым публично ключом, чтобы можно было проверить. Взял отец у самой вулидацию, автоматическую, которая для тебя делает этот последний. Окей, значит, всегда одна подпись, и один ключ. Конечно, это обязательно пара, которая делается одноременно.
Вот тут на самом деле кроется всякие, чистотехнические, чистотеоперационные сложности, то есть, редически все понятно, все пошагова, написано тысячи документов. Но в Направсике бывает такое, что обоблековали новые подписьторы ключ, старые подпись новые ключ. Сделали это не одноременно. Еще есть совершенно удивительная такая история, и дело в том, что вот Cash, вот это вот память, которая хранит наш посредник для того, чтобы отвечать.
У него есть определенные времен, которые он может там хранить, да, так называемый Time To Leave, тетель, так называемый парамет. И этот параметр тетеля обычно прописывается самим владельцам доменной зона. То есть он указывает права и дару, как часто нужно ходить ко мне, чтобы это обновлять. И по идее все свои операции, все свое дальнейшее планирование, он делает исходя из того, что он прописал именно этот тетель. Прописали час, значит, час это мое время на разгон.
Как только он закончился, по идее я должен быть уверен, что у всех остальных cash обновились, и он уже за новым запросу будет обращаться ни в свою память, в свои какие-то, да, там, за грамма, обам придет ко мне, за новой актуальной информации. Соответственно, так я строю свою процентную деятельность. Такое случается, что иногда права и дары получив эту информацию, сами вы меняют в своих настройках. То есть владельц говорит, обновляем информации обо мне нережечем раз пять минут или там в час.
Раз в час, например, да, да, да, он ставит его на сутки или больше, потому что нужный экономик. И вообще меньше нагружать себя, особенно если это какой-нибудь небольшой права и дару, которого нет, очень много денег на инфраструктуру. И это тоже большая проблем, потому что переподписали ключи, владелец выставляет новые помни, что у него обновление раз в час, сейчас прошелся.
Соответственно, все уже должны обращаться к новой, а упровай до стремени хранить старые коши, где уже все не волидно, где уже все совсем не совпадает, и соответственно, не получается. Вот ты сказал, что я заменил на новые ключи, подписал новыми, старые в этот момент перестают работать, что ли? Но по идее их нужно вообще удалить. А если они в Кашу кого-то сохранились, то у этих людей, у которых сохранились, у них что будет происходить, у них что-то обломается с точки зрения валитации?
Ну, они будут пытаться проверить новые подписи старыми ключами, или наоборот, в зависимости от того, как ситуация на место стеклотных. О, то есть, может, разъехаться, информация и ключ. Да, да, да, да, да, да, да. Быть из разных версий. Блин, я думаю, что это отомарно, что у тебя типа ключ, и это одновременно как бы в одном пакете хранятся. Нет, они одновременно, они одновременно и по идею тебя храниться, это все в паре.
Но дело в том, что эти процессы могут быть несколько симметричных, да, там получения и проверки, и так далее, не могут не могут сходить по времени. Ну, да, есть свои тонкости. Вот такой случается, и такой случай, например, был на моей памяти с доменной зоны, точкой КИЗ-Казахстанской. В начале 23 года там, как раз, история была тоже. Переподписание ключей и про то, что с несколькими крупнейшими провайдерами не договорились.
А синхронизации и какое-то обновление своей временам, особлюдение правил ТТЛ. Что они должны сбросить дальше? Да, да, да, да, да. Ну и в общем, на резолверах некоторых очень больших провайдеров, соответственно, Казахстанские, а ресурсы ставили недоступное. Визнутри и страны. Очень интересно получается, что вот этот корневой уровень нормально все на своей стране сделал. Ну, про вайдеров такие настройки, что упользователи про вайдеров перестают открываться.
Да, это, то есть, сделал человек первый, но из-за действий второго человека у третьих людей что-то сломалось. Абсолютно. Ну, теперь, когда мы знаем чечуете о том, что такое дНС, о том, что как и самым общим принципах того, как это все работает, можно вернуться к случаю 30-го январям и случилось ровно это. Ну, скажем так, я не знаю, что именно там случилось достоверно, да, мы это все можем оценивать только по официальным заявлением, которые были сделаны соответствами регистраторой или кем-то еще.
Но, суть была следующая была очередной плановая стандартная переподписания, таменая зона, что нужно делать обязательно и это нормальная стандартная процедура, которая работала много лет без боев и должна так работать. Тут я на самом деле целиком адвокатирую точку руб, потому что я очень хорошо знаю тех людей, они крайне технически грамотные, там все работает как часы и так далее и так далее.
Вот дальше заявление, которое было выпчено, но не позволяет очень широко это понять, да, там ссылались нам проблему с программным обеспечним, который генерит эти ключи.
Возможно, это я сейчас предполагаю сразу, чтобы это сказать исключительно спекуляции, что каким-то образом эти ключи были перепутаны и состоялось подписание чего-то не тем, либо публикация чего-то не того, да, например, подписано старым в Ликовом Новый, наоборот, подписано новым публиковым старик-люди, и соответственно, эта вот вледация пей стала работать. Ага. То есть у нас права, это читают эту информацию скоприметированный.
Соответственно, в этот предстост, например, происходит автоматическом режиме и права, иначе получать массово вот эту вот доменную зону с каким-то косяком, с каким-то багом в ключа, стали массово говорить всем, что нет. У меня нету ответа на ваш запрос, соответственно, я не могу разрешить домены из точки ру. А поскольку этот блок с ключами произошел на верхнем
уровне, то есть он касался всей домены зоны.ru, не один из доминов, который в точки руни один из доминов второго уровня из всей домены зоны не смог превратиться в нужную нам информацию. То есть ты даже не дойдешь для даянда к сруч, чтобы понять, что-то о нем у него все валидное или протохло и так далее, потому что наверх не моров не тебе приходит отверстие, чтобы все дальше мы не идем на нету информации. Не могу умотеться.
Миша, у меня один из друзей работает в крупном российском провайдере и тацией технический центр интернет разолал им письмо с Postmortem, то есть с описанием того, что произошло. Я прочитал Postmortem и там пишут, что на самом деле произошло коллизие HESH- ключей, который используется как идентификатр ключа, KeyTag. HESH это как маленький отпечаток, так вот, они сделали новый ключ и HESH- новый ключа совпал с HESH-ом-старого.
У него был такой же человек, отчитаемый идентификатр, как и у первого типа просто не повезло. Он 16-ти битный, это значит их сколько, 2-16-ти их может быть на свете 65 тысяч, и вот как бы случилось такое, что 1,65 тысячная вероятность как бы сработала, и поэтому типа софт сломался. Я не знал этого, но мне не было таких данных. Я могу предположить, что что-то подобное случилось, но конечно это какая-то, это такое фантастическое небезение, которое даже сложно комментировать.
Но то есть, что это просто вот пойти и наступить в одну маленькую лушу, размеру с монетку на всей площади, вот прям в нее и наступить. Удивительно, конечно, это, да, конечно, мою как безграничное сочувствие, ребята, мы с точки рупа, потому что вот так вот взять и сесть, вот эту маленькую лушу, это конечно удивится. Но это на самом деле вот такое объяснение, но даёт нам понимание, что это даже не человеческая ошибка.
То есть, что это как раз тут случай, от которого, наверное, никто не может быть застрохован, навероятность его, конечно, даже, наверное, мало кем рассматривается, всерьез, тем более удивительно, что оно случилось. Когда я читал вначале объяснения, которые официально опубликовали, что это не даст какие-то, как-то они там это сформулировали, не дастатки в программе обеспечения, которые публикли, бла-бла-бла.
Мне это показалось таким корпоративным, знаешь, способен прикрытие звените задницу сказать типа, это программы плохие, это не мы ошиблись. Сейчас прочитав по смортом и понимая, что дело в коллизии Хэшек-Лючей, один шестьдесятся пять тысячам. Я понимаю, что это на самом деле не дастаток программной испечения. В этом случае это суперкоррект-нофлюровка. Да, это суперкоррект-конфермеровка, тем более нужно понимать, что такие стейтменты делают за лишь року кругл людей.
Ты не можешь быть супер-технично. Я хорошо это знаю, потому что то своё нынешний ролик я очень долго работал при секретарём. И как раз простым языком разъяснял многие довольно сложные вещи. И это как разные более вообще удачные варианты, которые не противоречены каким фактом, и в то же время не позволяет читать или уснуть на половине фразы. Ну, например, да. Ещё удивительно, что из-за этой ошибки, когда что-то пошло не так, ну ты пытаешься отладить эту проблему, типа понять, а что пошло не так.
И ты берёшь два ключа, типа старые новые, и пытаешь все их сравнить. И смотришь, и они выглядят типа одинаковые, ты знаешь, блин, не уж ты я типа перепутал два ключа, не уж ты я умею типа копия, потому что название-то на них одинаковое. Я могу только предположить, насколько посидел инженер, который отвечал за рота всех ключей, и потом дальнейшую проверку всего этого, и сколько вообще поты с него со шловой тыт вечер.
Но это конечно, да, звучит чудовищно, абсолютно как просто ночное кошмар, специалистик. Да, да, типа сейчас попробую приести аналогию. Услом тебе приходит два человека, они называется одинаково. Иван Петров, и второй тоже Иван Петров. И только потом в конечном счете выясняется, что у них даты граждения немножко отличается, типа день граждений другой, типа одного восьмого февраля, а другого в седьмого февраля. Ну да, да, да. И ты понимаешь, что важный конверт отдал не тому Иван Петрову, например.
Сочувствие, как вы чуваком, которым пришлось тебе добавить, расскажи, как произошла коллизия, вылежили не тот ключ или программы, которая должна этот ключ съесть, она вдруг перестала и уесть, потому что сказала, что в недале прошлой ключ, хотя должны дать новые, и все сломалось. Ну скажем так, я бы тут обобщил, назвал это все-таки неким общим гевлением, не сработало проверку подпись. Да, Динес Сэк начал говорить, что у подписи невалидны.
Да, да, да, что информация, которую он подписан, гигни взятой веряйте, поэтому я отказываюсь ее процессить, я отказываюсь с ней работать и представляю дальше, конечно, пользователям. Я думаю, это будет самое корректное, потому что если мы залезаем в детали, пытаясь понять, что именно из вот этого множества событий могло произойти, мы как бы залезаем на спекуляции, да, а так мы наиболее коррект. Да, давай оставаться на фактов.
Да, Динес Сэк начал говорить, что зоны подписаны неверно, что происходит, мы поняли, ломается все, у детей перестает открываться сайта. Что могут сделать инженеры, кроме того, чтобы поставить новый ключ, который будет на этот раз валидным? Дело в том, что конечная задача дали бовы и инженеров, в данном случае, это сделал так, что все работало.
И тебе нужно сделать это любым способом, просто потому, что у тебя есть очень критические важные какие-то ресурсы, от банков и до чего-то еще, да, это не только соцсетки, не только какие-то развлечения. У нас интернет с кучу важных вещей отвечает.
Те нужно сделать максимально это быстро, но у тебя есть определенные ограничения, да, то есть у тебя есть разные там время, охранения, памяти, время храника, шеврин, обновлений и так далее, то есть у тебя уже очень много чего отравлено, тебе нужно максимально быстро это сделать. Самый самый, наверное, логичный способ, который можно это сделать, и это стало понятно из рекомендации, который спустранял русском надзор по провайдерам. Это на какое-то время просто отменить влитацию подписи.
То есть выключить диносекиурите на стороне посредников? Да, на стороне посредником, на стороне провайдеров, либо на стороне тех, кого мы выбираем для того, чтобы он для нас это функцию делал. Если мы это делаем, то соответственно он просто принимает этот вот файл зоны, все эту записи, которая у нас отребутирована с дыменным именем и доверяет им по умолчанию.
Он не пытается понять историчник или что-то еще, он просто начинает автоматом ее процессить и пользователь соответственно получает своя диадресс, свои почтовые записи и так далее, соответственно все начинает работать. Но скажем так, как экстремальное решение, я не могу не признать его актуальность. Безусловно это дистная, наверное, что можно было сделать, просто для того, чтобы интернет быстро вернулся к своему какому-то изначальному состоянию.
То есть мы условно игнорируем все знаки безопасности и еден на машине, потому что нам в больницу и извините, я как бы знаю, что неодвигатель сгорит, но есть проблем поважней. Абсолютно, то есть мы так или иначе протащим этот час или сколько-нибудь на пробитышения, на знамечном седвьюготеле, потому что на кому что-то больше стоит.
Но вообще, конечно, это такая практика, это если у нас болит палец, мы его отрубают, что он не болел, например, на такого такого типа решения, но повторюсь, я признаю необходимость и без интернативность этого шага, тогда нельзя было сделать с подругу. Соответственно, когда это сделали, у ребят, тех, которые ответственно, это вот авторитативные, так называемые денно-севера, то есть те из которых происходят ответы, те, которые ответы. У них появилось какое-то время для того, что все поправить.
И как раз, есть второго заявления, которое было сделано регистраторы, стало понятно, что они отходили к старым ключам. То есть они взяли уже старую проверенную пару, который совершенно точно работает, и чтобы уже потом это все от те, что это стервасть может быть где-то водяне лаборатория. И опубликовали ее за новым, переписали зону-заного. Соответственно, это все откатилось.
И все душе рекомендации как раз в воскомнадзору, которое опять же постранялась по всем провайдерам, было такое сообщение, что все хорошо, да, сейчас все начало работать. Если вы вдруг отключали на время проверку денно-сека, вледация денно-сека, пожалуйста, включите и обратно. То есть это как раз уедетесь, то это о том, что все все откатили обратно, убедились с работы способности, оттостировали, и сейчас готовы пускать в бою. Вот так, наверное, можно восстановить картину события.
Опять же, просто по плючным заявлению. А можешь немножко представить вот это вот время, пока денно-сека был выключен у крупнейших провайдеров российских для того, чтобы все продолжало работать. Что могли сделать, луумышленники, как бы, как они могли этим воспользоваться, и вообще какого рода это должно были без луумышленники, потому что мы говорим о том, что это штука про безопасность. Вот мы ее выключили. Какие у нас были риски в этот момент?
Но тут мы вступаем опять же на очень зыбкую почву спекуляции, и говорим о том, что вот если бы я пошел в лес, и там меня бы съел медведь, но это такая немножко как бы, да? А такая ума зрительная картина. Поэтому я тут предлагаю быть очень академичными, да, и не скатываться ни в коем случае совсем страшилки. Как я сказал же, ДНС по своей природе, это протокол, усозданный ребятами и схипи, которые верили друг другу, и не думали вообще безопасности о том, что есть луумышленники.
Кодрах и небыло тогда всех академических кругах среди того десятка университетов, которые собственно и составляли первые право-синтернета. Самое, наверное, тяжелое, что могло бы быть, это какой-то вот подобное отравление к шеи тех самых резолверов, те самых посредников, которые перестав вледировать ДНССЕК, начали доверять вообще всему, что к ним приходят.
И если какой-то посредник, который вдруг устроил какой-то подмен у маршрутов и сам начал представляться источником доставерной информации для них, например, да, а это, в общем, тоже было не раз, но в таких случаях было довольно много. Вдруг начал давать какую-то другую информацию для того, чтобы подменить, адресали, подменить как-то вот информацию, о каких-то там важных, критических ресурсов типа банков, или кого-то еще. Я могу это предположить.
Теоретически такое могло произойти, но на практике я пытаюсь себе это представить, для этого нужно не просто дейная записи подменить, нужно еще каким-то образом перехватить, запросы этой посреднических системы, но то есть какое-то время нужно условно сидеть на трубе, через которую идет сигналы, даже переключить эту трубу. Есть пример, когда это происходило, по Кистан в одно время сломал для всего в СМИРу YouTube, когда сказал, что типа, давайте через меня пропускайте YouTube, известный случай.
Но наску я понимаю, именно этого типа атакка, когда маршруты на себя переписывают, и через себя начнание пропускать много трафика, это заметно, мы уже это вполне умеем защищаться, то есть это все риски, они довольно теоретически были, да, мне кажется.
Да, да, я согласен, я согласен с этим, кроме того, на самом деле у нас же есть и безопасность на других уровнях, да, то есть грубо говоря, DNS у нас нужен для того, чтобы получить первоначальная информация, там куда вообще идти, где у нас находится сервер с банковским сервером,
почтовым сервером и так далее, но потом, когда мы приняли эту информацию, ему уже идем туда сами, да, когда мы уже прошли стадию DNS, дальше начинают стать его там обычного, сетевого продакола, соединение, донтите сипи с одними, дальше включаются другие механизмы безопасности, да, например, с цептификаты.
И любой, вожающееся себя серьезный сервис, который так иначе работает, там, не знаю, с паролями, с деньгами, с чем-то еще, они имеют эти серфикаты у себя, соответственно, придят туда, мы как-то вот еще и другими способами подоставляемся, что мы в нужном месте, что мы можем работать здесь безопасно,
и так далее, поэтому, да, конечно, ну, сетевая безопасность, это всегда такая многословенная система, и наверное, если мы смотрим на совокопность всех тех мер, которые обычно принимаются для обеспечения безопасности пользователя, то как это большое катастрофы нам не нужно было ожидать, это просто одна из частей мозайки, важная часть и мозайки, но вот, который позволит некоторое время выпасть. Мне очень нравится история про обеспечения безопасности, за счет многослойности.
Про это ведь даже есть специальный термин, модель Швейцарского сыра, когда у тебя в сыре есть дырочки, ты нарезаешь его слоями, и в каждом отдельном кусочке есть дырочки и это твои уязвимости. Но если наложить сыр друг на друга, то дырочки окажутся в разных местах, и за счет этого просвета не будет. Сейчас я хочу немножечко вернуться и спросить тебя про другие страны, потому что упомянуло застанно, что там была похожая ситуация, вообще насколько часто происходят проблемы с ДНССЕКом.
Эти проблемы происходят время от времени, ровно, потому что, ну вот, видишь, я до сегодняшнего эфира был склонен говорить о том, что это протокол просто сам по себе, не просто и нужно быть веще внимательным, а мои дикнически подководны для того, чтобы не делать ошибок.
Но сейчас ты вот видишь, меня открыл глаза, что оказывается есть еще и совершенно удивительные обстоятельства, и вероятность, которых мало кто может просчитать, когда даже самые крутые, технически подготовленные специалисты могут сеть вложить, потому что надо же совпали хыше, в приятности 1,65 000, но кто, как это вообще возможно? Даже тут мы не можем быть в этом уверенно.
Петк, к сожалению, ну вот что-то что находится в ДНК, хотя, ну опять же повторюсь, в ряду сетого очень мало, просто чтобы наш слушать или потом не подумали, ну и зачем это все, если столько проблем нет. Ну, мы все-таки считаем и большинство. Типа-солисты вчитают, что минифит, к которому мы получаем, перевешивают ризни, с которым нам приходится иметь дело. Ситуация, это, к сожалению, не так редко, как может показаться.
Понимаю, Россия и Казахстана было несколько официальных сообщений, в том числе, кстати, есть примеры и заявления и в тех новостях, которые описывали кейсточку и ровно, например, это случалось, например, там с островом Фиджием, который тоже на несколько часов просто исчезвязь из интернета. А частично это происходило с доменым этого Австралина в Азеландии. Но то есть время от времени это действительно случается, и это в случае, в общем-то, как бы совершенно не уникальный.
Он не первый, и к моему большому сожалению, наверняка не последний. Вот тут мне становится интересно, а можно ли технически как-то изменить ДНС так, чтобы таких проблем и аварий вообще больше не происходило. Вообще, думают ли об этом или это вот цена, которую надо платить, и мы будем продолжать ее платить. Но смотри, тут же вопрос в том, какую проблема мы решаем, и в том, какие вообще существуют пути решения именно этой самой проблемы.
У нас проблема, которая решает ДНС, где клорирует с очень-очень четко. Нам нужно сделать так, чтобы информация, которая идет от сервера, чтобы ее, например, никто не подменил. Нам нужно доставеренно свое целостности, ботеверенным в это. И нам нужно быть уверенным, что она пришла из того источника, из которого должна, что никто не встал и не претворился этим авторитативным источником.
Сделать это из доступных, вообще, нам техническом сообществу способов, можно, наверное, только одним способом этот сфровалекторонный подпись. Но, к сожалению, больше особо нету каких-то вещей, которые позволяли бы нам сделать такое функционал. Сама по себе подпись — это некая процедура, которая требует определенных правил ее соблюдения. В том случае, если ты ее нарушаешь, то ты, естественно, получаешь риск не срабатывания. Но я такой аналоги приводил абсолютно человеческую.
Если вдруг то озаблется со своей безопасности, например, своего офисного здания, и у тебя правда стоит этот вопрос. И в ней дрила систему пропусков, то возникает риск того, чтобы кто-то забыл пропуск дома и не может попасть здания. Такая проблема есть. Но это не отъемлемая часть пропускной системы. Ты не можешь как бы отменить пропуска, потому что люди их забывают. И вот вопрос к тебе, я возвращаю.
Можно ли что-то сделать такое, чтобы изменить пропускную систему, чтобы люди перестали забывать пропуска? Наверное, можно перейти на биометр или что-то еще? Да-да-да, я крас подумаю, что отпечатки пальцев типа не забудешь. Но я не думаю, что мы когда-нибудь перейдем в дайносной отпечатки пальцев, да? И так далее. Это как бы та... Часть... Тот момент, когда налоги, ломается, так понимаю. Да-да-да, когда она уже не может просто быть валидной. Но скажем так, я говорю, скорее, о принципах, да?
Что у нас есть некая проблема, которую мы решаем, есть доступные пути ее решения. Но соответственно, эти доступные пути требуют определенной дисциплины. Но по-другому нельзя, к сожалению. И мы, по-прежнему, признаем, что те мифит, которые мы получаем, они все-таки выше, чем не удобства. Ну, так надо. Есть один вопрос, который задаю всем гостям. Если нет, все заинтересовало, я хочу узнать про это больше.
Если какая-то книжка или YouTube, или какой-то блок, на который может подписаться и узнать больше. Да, конечно. Но тот зависит от, поскольку система многогранной, там очень много всяких аспектов, технических и радических администраций, на всяких разных, тут очень зависит от того, что именно хотите узнать. Например, если хочешь узнать больше о том, в окработой дн-с технической, есть самое, наверное, замечательное из-за имени для книжка в этой области, это DnSandBlind.
А если не хочется погружаться совсем в детали, на таком уровне, для того, чтобы, например, иметь что-то делось руками, а просто хочется узнать на понятии на уровне, я очень рекомендую блоги больших технических компаний, потому что никто не умеет так подробно и понятно рассказывать об этом,
как они в частности, я очень рекомендую блок компании CloudFlare, который вообще рассказывает много разных технических вещах, и у них совершенно потрясающе, очень понятная статья, там кустроен DnSek, а все эти цепочки доверие, и всяких разных других аспектах работы DnS, очень-очень рекомендую.
Ну и собственно, в самомайкан, на сайте на нашем есть отдельный раздел, большой, который называется ICANLORN, причем он выполнен на нескольких языках, там не все есть курсу на русском, но есть там что-нибудь курсу на русском. А о том, как все устроено, уже больше администраативных, кто за что отвечает, такой рекистратуры, как происходит вубликация фэлезоны, это все открыто, бесплатно в аэлком, будем очень рады.
Ну и кроме того, у нас есть своя программа фэллуши, кстати, да, который уже очень многие на самом деле посетили люди из нашего региона, и сам, я когда-то посетил, то было мое первое знакомство с ICANLORN, как организация еще в 18-м году, а у нас проходят большие конференции ICANLORS,
Ке-3, праздов, год, в разных местах мира, собственно, фэллуши, это когда вы проходите курс ICANLORN, вы получаете наставника, который с вами работает, вы приезжаете на эту конференцию, вам помогает с билетами совсем остальным, присутствуйте на всех секциях, заседания, смотрите о чем разговаривают, подходите, знакомитесь, задавите вопросы, и соответственно, выезжаете оттуда, поисполненные новыми знаниями и пониманиями того, как все работает.
Вот это, наверное, самое главное, пути знакомству с нашей эксистемом. Миш, спасибо тебе огромное, я положу все ссылки, про которые ты сказал в описании к этому эпизоду, и вообще я прямо счастлив, потому что ты как будто приоткрыл за навеску за то, как устроен интернет на самом деле, что интернет не только тот тип, это открыл тебя, заработала, но это еще люди, которые, в full-time, работают над тем, чтобы интернет продолжал существовать и действовать.
И это там совершенно нормальные люди, которые типа, вот тут не такая работа поддерживать интернет. Да, которые могут же соседнем подъезде. Да, мне кажется, это очень классно. Это подкаст студии Леба Либа, траги друзья, спасибо большое, что вы с нами. Над подкастом работали редактор К. Маша Агличева, радиусер, Данил Остапов, Зуковь Русер, Юрий Шустицкий. Заджингл спасибо Алексей Зеленского. Драги друзья, напомню, мы недавно закончили десятый сезон нашего подкаста, и уходим на небольшие каникул.
До встречи!