這聽(tīng)起來(lái)像《達芬奇密碼》里的情節，但卻是真實(shí)存在的:整個(gè)互聯(lián)網(wǎng)由14個(gè)手中掌握著(zhù)七把受?chē)烂鼙Ｗo的鑰匙的人保護著(zhù)。
過(guò)幾天，他們將舉行一個(gè)稱(chēng)為根簽署儀式(Root Signing Ceremony)的歷史性?xún)x式。
星期五夜間，整個(gè)世界都知道他們所在的組織有多重要了。美國時(shí)間10月21日早晨，許多西方用戶(hù)突然發(fā)現包括Twitter、Tumblr等社交網(wǎng)站無(wú)法登陸。為這些網(wǎng)站提供域名服務(wù)的Dynamic Network Service公司(簡(jiǎn)稱(chēng)Dyn)稱(chēng)，從當地時(shí)間周五上午7點(diǎn)開(kāi)始，其域名服務(wù)系統(DNS)服務(wù)遭遇到大規模分布式“拒絕服務(wù)”(denial-of-service)的攻擊，在第一輪攻擊得以解決以后，Dyn稱(chēng)又在當天中午遭遇到第二輪攻擊。
Dyn是DNS的主要提供商。DNS將諸如businessinsider.com(讓人類(lèi)更易于記住)的網(wǎng)址轉化成計算機能夠識別的數字IP地址。
雖然黑客從來(lái)沒(méi)有獲得對Dyn網(wǎng)絡(luò )的控制權，但他們成功地通過(guò)分布式拒絕服務(wù)攻擊使其離線(xiàn)了幾個(gè)小時(shí)。這凸顯了互聯(lián)網(wǎng)對DNS的依賴(lài)程度。
如果你控制了所有的DNS，你就控制了整個(gè)互聯(lián)網(wǎng)
DNS的最頂端由來(lái)自世界各地的少數幾個(gè)人保護著(zhù)。他們的職務(wù)名稱(chēng)是加密員(crypto officer)。
自2010年以來(lái)，他們中一些人(通常不會(huì )所有人都到場(chǎng))每三個(gè)月就會(huì )聚會(huì )一次，舉行一個(gè)高度保密的儀式。這個(gè)儀式被稱(chēng)為“鑰匙儀式”(Key Ceremony)。在儀式中，打開(kāi)互聯(lián)網(wǎng)之鎖的鑰匙將會(huì )被驗證和更新。
舉辦該儀式的人員來(lái)自一個(gè)名為“互聯(lián)網(wǎng)名稱(chēng)與數字地址分配機構”(ICANN)的組織。ICANN的職責是為網(wǎng)站和計算機分配IP地址。
如果有人控制了ICANN的數據庫，那么這個(gè)人幾乎就可以控制整個(gè)互聯(lián)網(wǎng)。比如，這個(gè)人可以向人們發(fā)送假冒銀行網(wǎng)址，而不是真正的銀行網(wǎng)址。
為了保護DNS，ICANN提出了一個(gè)能夠保護DNS，同時(shí)又不會(huì )授予任何個(gè)人過(guò)多控制權的機制。該組織選擇了七個(gè)人作為鑰匙持有人，并給每個(gè)人一份能夠打開(kāi)互聯(lián)網(wǎng)的密鑰。它還選擇了七個(gè)人作為備份密鑰持有人?？偣彩?4人。儀式要求至少三個(gè)持有鑰匙的人參加，因為解鎖保護DNS的設備需要三個(gè)鑰匙。
高度程序化的儀式
物理鑰匙用來(lái)解鎖保險箱，保險箱里面是智能鑰匙卡。你需要很多鑰匙才能打開(kāi)生成互聯(lián)網(wǎng)主密鑰的設備。
該主密鑰實(shí)際上是一種被稱(chēng)為“根密鑰簽名密鑰”(root key-signing key)的計算機代碼。它是可訪(fǎng)問(wèn)ICANN主數據庫的密碼。這個(gè)密鑰可以生成更多的密鑰。位于世界各地的各種互聯(lián)網(wǎng)安全組織使用這些密鑰保護互聯(lián)網(wǎng)的方方面面。
鑰匙儀式的安全措施非常嚴格。參與者需要多次掃描指紋，使用多個(gè)密鑰代碼，才能打開(kāi)進(jìn)入會(huì )議室的一道道門(mén)。這個(gè)會(huì )議室是密閉的，連電子信號都傳不出去。加密員將在這里同其他ICANN官員和一些客人、觀(guān)察員集合。
整個(gè)活動(dòng)的程序都是預先編排好的，有人會(huì )進(jìn)行錄像和監督。參與者人手一本事先做好的步驟冊子，如果發(fā)生任何偏差，整個(gè)房間的人都將知道。
參與者按預先制定的步驟舉行儀式，完畢之后，一個(gè)一個(gè)地排隊走出房間。據說(shuō)他們會(huì )去當地的餐館慶祝一番。
所有這一切都是安全的，但互聯(lián)網(wǎng)是開(kāi)放的，不屬于任何單一的實(shí)體?；ヂ?lián)網(wǎng)是在美國發(fā)明的，但美國在本月早些時(shí)候放棄了它對DNS幾十年的管理，正式交給ICANN負責。
ICANN十分清楚其在國際上的作用以及全球對他們的信任，因此該組織讓任何人監督這個(gè)儀式。他們在互聯(lián)網(wǎng)上提供視頻直播，還發(fā)布了每次儀式的步驟冊子。
10月27日，ICANN將再次舉行儀式。這一次也將是歷史性的。該組織將第一次改變主密鑰本身。從技術(shù)上講，它會(huì )改變保證DNS安全所依賴(lài)的“密鑰對”。這個(gè)密鑰對被稱(chēng)為“根區域簽名密鑰”(Root Zone Signing Key)。
“如果你有這個(gè)密鑰，并能夠生成自己的根區域簽名，你將能夠重定向大量的流量?！盜CANN研究副總裁馬克·拉森表示。
聯(lián)系客服
