بالإضافة الى لغات الأمم المتحدة الست، هذا المحتوى متوفر أيضاً باللغات
أعلنت مؤسسة الأنترنت للأسماء والأرقام المخصصة (ICANN) اليوم عن مشروع إستبدال أجهزة وحدة الأمن لأجهزة مفتاح الدخول الرئيسي للجذر KSK لمنطقة الجذروالتي يرمز لها بالرمز (HSMs). إدناه نظرة عامة للمشروع والمعلومات المتعلقة به.
نظرة عامة:
كجزء من صيانة مفتاح الدخول الرئيسي لمنطقة الجذر (KSK) وبشكل آمن، تستخدم ICANN وحدات متخصصة تعرف بوحدات أمن الأجهزة (HSMs). تقوم وحدات HSMs بخزن المواد الخاصة الرئيسية لمنطقة الجذر KSK وتعمل بالبطاريات التي لها عمر محدد. . ورغم أن البطاريات تعمل حالياً بشكل جيد ويتوقع أن تستمر بالعمل لفترة 10 سنوات، إلا إن الشركة المصنّعة كانت قد أعطت ضماناً للسنوات الخمس الأولى للتشغيل. ولزيادة في الحذر، تعمل ICANN الآن على إستبدال الوحدات الموجودة حالياً خلال عام 2015 وبعد خمس سنوات من العمل.
معلومات أساسية
توفر الامتدادات الأمنية لنظام اسم النطاق (DNSSEC) طريقة معينة لبرامجيات معينة للتحقق من صحة بيانات نظام أسم النطاق (DNS) تلك التي لم يتم تعديلها خلال إنتقال الإنترنت. ويتم ذلك من خلال دمج التشفير العام الرئيسي في التصميم الهرمي لنظام إسم النطاق DNS لتشكيل سلسلة من البرامجيات والاجهزة الموثوقة والناشئة في منطقة الجذر.
ووفقاً لدورها كمشغّل لوظائف IANA، فإن ICANN تعتبرهي مشغل مفتاح الدخول الرئيسي KSK لمنطقة الجذر الذي يؤدي وظيفة إنشاء ذلك المفتاح لمنطقة الجذر. وتستخدم ICANN وحدات أمن الأجهزة HSMs لخزن مفتاح الدخول الرئيسي KSK. إن وحدات HSMs هي معالِجات تشفير تقوم بإدارة المفاتيح المشفرة وعمليات الأداء المشفرة أثناء توفيرها للحماية المادية لمواد الأقفال الخاصة من خلال آليات مقاومة التداخلات الظاهرة (Tamper Evident Mechanisms). لدى ICANN منظومتي HSMs مكررتين لكل مرفق من مرافق الإدارة الرئيسية (Key Management Facility- KMF)- أحد هذين المرفقين يقع على جانب الشاطئ الشرقي للولايات المتحدة والثاني على جانب الشاطئ الغربي لها. ففي حالة عطب أحدى وحدتي HSM أو أحد مرفقي KMF، فإن الأجهزة و المواقع الأخرى ستكون جاهزة ومتاحة للإستخدام على الفور. وفيما عدا هذه الخيارات فإن هناك تفاصيل لإجراءات أخرى للمعالجة والتي تم توثيقها في خطة معالجة إزمات KSK وأستمرارية العمل (KSK Disaster Recovery and Business Continuity Plan ).
وعلى خلاف العديد من الأجهزة الألكترونية الأخرى، فإن بطارية وحدات أمن الأجهزة HSMs تثبت عادة في داخلها ولايمكن إستبدالها بشكل منفضل. ويتوقع أن يبلغ العمر التشغليلي لهذه البطاريات الموجودة داخل وحدات أمن أجهزة HSMs حوالي فترة 10 سنوات من تاريخ تصنيعها مع ضمان دعم الجهة المصنّعة لفترة الخمس سنوات الأولى من تاريخ أول أستخدام لها.
عملية الأستبدال
لقد تم إستخدام وحدات أمن الاجهزة HSMs المستعملة حالياً لأول مرة في عام 2010. ومع قرب إنتهاء فترة الضمان وتحفظّاً على الوصول الى موعد إنتهاء فترة صلاحية تلك البطاريات، فإن ICANN تنوي جلب وحدات HSMs جديدة لتنصيبها خلال عام 2015. وسيتم نقل محتويات وحدات HSMs المتواجدة حالياً الى الوحدات الجديدة التي ستتمكن من أداء نفس الوظائف التي تقوم بها المجموعة الحالية. وسيتم تنفيذ هذه العملية خلال المهام الفصلية الواجب تنفيذها في مرافق الأدارة الرئيسية KMFs كمراسيم لبدء مفتاح الدخول الرئيسي. وسيتم إصدار وثيقة تتضمن تفويض وحدات HSMs الجديدة خلال مراسيم الدخول الرئيسية الأعتيادية المحدد موعدها في عام 2015.
تعمل ICANN على توفير أربع وحدات HSMs إضافية زيادة على الوحدات الاربع المتواجدة حالياً بطريقة وضعت فيها وحدات HSMs الجديدة بشكل موازي للوحدات العاملة منذ عام 2010 خلال الفترة الأنتقالية لضمان توفر مشغلات KSK بشكل آمن.
وبمجرد أن تتأكد الأطراف المعنية من أن وحدات HSMs الجديدة تعمل بشكل صحيح وأن لا تتعرض إستمرارية عمل KSK لأية مخاطر محتملة فإنه سيتم تصميم طريقة آمنة لإيقاف الوحدات المتواجدة حالياً عن العمل وإتلافها لضمان الإبقاء على المواصفات القياسة الحالية الاكثر حداثة الخاصة بهذه العملية.
المخاطر الرئيسية
تعرض القائمة التالية المخاطر الرئيسية المحددة وسبل التخفيف من أثرها:
نوع الخطورة: عندما تخفق كافة وحدات HSMs الأربع في أداء عمليات التشفير بسبب تعطل البطاريات وبالتالي ستؤثر على إستمرارية العمليات.
سبل التخفيف من أثرها: توجد حالياً أربع وحدات HSMs مكررة بالإضافة الى أجهزة إحتياطية أضافية التي من الممكن تفعيلها خلال فترة معالجة الأزمة الحاصلة. حيث يمكن تخفيف معدل تعطل البطارية في وحدة منفردة من وحدات HSMs بسهولة وذلك بزيادة تكرار إستخدام الوحدات الثلاث الأخرى من وحدات HSMs. ويبلغ العمر الأفتراضي للبطارية حوالي 10 سنوات وتقوم كل وحدة بالتبليغ عن حالة البطارية الخاصة بها حتى لو كانت بحالة جيدة. وإستناداً الى تواريخ الأنتاج المماثلة لكافة البطاريات، فإنه من الممكن لبطاريات كافة وحدات HSMs أن تتوقف عن العمل عند نفس الوقت تقريباً. وللحفاظ على إستمرارية التشغيل وتخفيف خطورة توقف كافة وحدات HSMs عن العمل في آن واحد فإننا نرى أنه من الحكمة إجراء إستبدال وحدات HSM في عام 2015 وإستخدام أوحدات جديدة ببطاريات مختلفة بتواريخ إنتاجها وتصنيعها.
نوع الخطورة: عندما يكون الإنتاج الجديد لوحدات HSMs لاتعمل بشكل صحيح عند تشغيلها للمرة الأولى.
سبل التخفيف من أثرها: كجزء من عملية تنصيب وحدات HSMs الجديدة، فإنه لابد من إجراء إختبار الأداء (accepting testing) للتحقق من صحة وظيفة الوحدات قبل المباشرة بمراسيم إستخدام مفتاح الدخول الرئيسي والتي تم وضعها فيه للتشغيل. وبالنسبة للفترة التي تعقب وضع وحدات HSMs الجديدة في الخدمة فإنه سيتم خزنها في المرافق الآمنة والمحصّنة لأتاحة الفرصة لتوفرالمزيد من الخيارات لأجل إجراء الأصلاح في حالة حدوث عطل ما لوحدة من وحدات HSMs.
نوع الخطورة: عندما يتواجد نفس العطل في كافة وحدات HSMs المستخدمة في التشغيل.
سبل التخفيف من أثرها: إن كانت كافة وحدات HSMs الأربع من نفس وجبة الإنتاج فإنه من الممكن أن يكون لها نفس العيوب المشتركة للوجبة (مثل سوء تركيب البطارية) الأمر الذي سيؤدي الى تكرار التعرض الى مثل هذه المخاطر. ولأجل تخفيف أثر مثل هذه المخاطر، عملت ICANN مع الجهة المجهّزة على ضمان أن وحدات HSM يجب أن تشتمل على نماذج مصنّعة بتواريخ مختلفة وتحتوي على بطاريات تم إنشائها في أشواط إنتاجية مختلفة أيضاً.
الأسئلة والأجوبة
س1. لماذا توجد هناك حاجة لإستبدال وحدات HSMs بأكملها وليس فقط البطاريات؟
ج1: طالما أنه من الممكن إعادة تجديد وتصليح وحدات HSMs القديمة وتجهيزها ببطاريات جديدة، فإنه لابد من إعادتها الى المجهّز لإجراء تلك العلمية. وستقوم ICANN بإستبدال أجهزة HSMs بدلاً من إعادة تجديد الوحدات لضمان أن مواد التشفير الرئيسية لاتغادر مواقع الأدارة الرئيسية الآمنة.
س2. كيف يمكن لهذا المشروع أن ينطوي على الأنتقال rollover المستقبلي لمفتاح الدخول الرئيسي KSK لمنطقة الجذر؟
ج2: هذا المشروع يختلف عن مشروع إستبدال مفتاح الدخول الرئيسي الحالي لمنطقة الجذر بمفتاح الدخول الرئيسي الجديد(والمعروف ببرنامج "الانتقال rollover"). وسيتم الأخذ بنظر الإعتبار مشاكل وحدات HSM المرتبطة بالأنتقال هذا من قبل فريق عمل تصميم الأنتقال لمفتاح الدخول الرئيسي لمنطقة الجذر.
ويعتبر فصل مشروع إستبدال وحدات HSM عن عملية نقل مفتاح الدخول الرئيسي KSK لمنطقة الجذر مفيداً لإعطاء الوقت الكافي لفريق عمل تصميم الإنتقال rollover لتحديد الطريقة التي سينتهجونها بشكل كامل وبدون أن يتأثر بالضغط التشغيلي المتعلق بعملية إستبدال HSM.
س3. ماهي الإعتبارات التي أعتمدت في إختيار عملية إستبدال وحدات HSMs؟
ج3: أشترت ICANN النموذج الأكثر حداثة لوحدات أمن الأجهزة HSMs وكذلك جهاز Keyper Plus من المجهّز المسؤول عن توفير وحدات HSMs التي هي قيد التشغيل حالياً. يلبي هذا النموذج المستوى الرابع للشهادة الأمنية المعروفة 140-2 من المعيار الفيدرلي لمعالجة المعلومات FIPS 140-2 Level 4 والتي تعتبر شرطاً لمفتاح الدخول الرئيسي لمنطقة الجذر المثبت في العقد المبرم حول وظائف IANA. ويعمل هذا النموذج أيضاً على الحصول على مفتاح الدخول الرئيسي لمنطقة الجذر Root KSK من النماذج الأقدم دون الحاجة الى إعادة إصدار مفتاح دخول رئيسي جديد لمنطقة الجذر. وقد تم إختيار النموذج الأحدث لوحدات HSM بدلاً عن النموذج الحالي المستخدم في عمل ICANN بإعتبار إن عمر الدعم المتوقع من البائع (المجهّز) سيكول أطول كثيراً.
س4: كم عدد ممثلي المجتمع الثقاة TCR الواجب تواجدهم لأستبدال وحدات HSMs؟
ج4: وجدت ICANN أن تواجد ثلاثة من ممثلي المجتمع الثقاة TCR هو الحد الأدنى المطلوب لإخراج مفتاح الدخول الرئيسي لمنطقة الجذر من الأجهزة العاملة والمتواجدة حالياً وإدخاله الى الأجهزة الجديدة. ولاتتطلب العملية إنشاء مجموعة جديدة من بطاقات نظام التشغيل "OS" وبطاقات (Overpowered Cards=OP) ولهذا فلاحاجة لحضور المجموعة الكلية للمسؤولين المختصين بعملية التشفير. وسيواصل المساهمون الحاليون لمعالجة مفتاح الدخول العمل مع وحدات HSMs الجديدة.
نبذة عن ICANN
مهمّة ICANN هي ضمان شبكة إنترنت عالمية مستقلة وآمنة وموحدة. للوصول الى شخص آخر على شبكة الأنترنت ينبغي عليك القيام بطباعة عنوان ما على جهاز حاسوبك - أسم أو رقم. ويجب أن يكون هذا العنوان فريد من نوعه ليتسنى لأجهزة الحواسيب معرفة مكان وجود الآخرين. تقوم ICANN بتنسيق تلك المعرّفات الفريدة من نوعها عبر العالم. وبدون ذلك التنسيق لما كان لدينا شبكة أنترنت عالمية واحدة. تأسست ICANN في عام 1998. وهي شركة غير ربحية وذات منفعة عامة مع مشاركين من مختلف أنحاء العالم مكرسين للعمل لأجل المحافظة على شبكة إنترنت آمنة ومستقرة وقابلة للتشغيل المتبادل. وهي تعمل على تعزيز المنافسة ووضع السياسات الخاصة بمعرّفات الأنترنت الفريدة من نوعها. ولاتسيطر ICANN على محتوى الإنترنت. ولاتستطيع منع الرسائل غير المرغوب بها ولاتتعامل مع خدمة الوصول الى الإنترنت. ولكن من خلال دورها التنسيقي بخصوص نظام تسمية الإنترنت، فإن لها أثر هام على توسيع الأنترنت وتطويرها. للمزيد من المعلومات يرجى زيارة الموقع: www.icann.org.