Объявления ICANN

Читайте объявления ICANN, чтобы получать новости о деятельности в области формирования политики, региональных мероприятиях и других событиях.

ICANN объявляет о запуске проекта по замене программно-аппаратного криптографического модуля для ключа для подписания ключей корневой зоны

23 марта 2015

В дополнение к языкам, использующимся в ООН, этот материал также доступен на

Сегодня Интернет-корпорация по присвоению имен и номеров (ICANN) объявила о запуске проекта по замене программно-аппаратного криптографического модуля для ключа для подписания ключей корневой зоны. Ниже представлены общее описание проекта и связанная с ним информация.

Общее описание

В рамках обеспечения защищенной поддержки ключа для подписания ключей (KSK) корневой зоны, ICANN использует специальные устройства, известные под названием программно-аппаратные криптографические модули (HSM). HSM предусмотрены для хранения материалов закрытых ключей для KSK корневой зоны; они оснащены блоком питания с ограниченным сроком службы. Сейчас блоки питания находятся в хорошем состоянии и имеют 10-летний расчётный срок годности при хранении; изготовитель гарантирует только пять лет эксплуатации. В качестве крайней меры предосторожности ICANN планирует заменить существующие единицы в течение 2015 года, т.е. по завершении пяти лет эксплуатации.

История вопроса

Расширения безопасности системы доменных имен (DNSSEC) – способ проверки программным обеспечением того, что данные системы доменных имен (DNS) не претерпели изменений в ходе пересылки по интернету. Это осуществляется посредством внедрения криптографии открытого ключа в иерархию DNS для создания цепочки доверия, которая начинается в корневой зоне.

ICANN, как оператор функций IANA, является оператором ключа для подписания ключей корневой зоны, то есть исполняет функцию безопасной генерации и хранения KSK корневой зоны. ICANN использует HSM для хранения KSK. HSM –это безопасные криптопроцессоры, которые управляют криптографическими ключами и проводят криптографические операции, одновременно обеспечивая физическую защиту закрытых ключей при помощи механизмов индикации вмешательства. У ICANN два дубликата HSM для каждого защищенного дата-центра (KMF) ICANN – одного на восточном побережье США и другого на западном побережье США. В случае отказа одного из HSM или KMF можно использовать другие дублирующие единицы и центры. Кроме этих двух вариантов есть более расширенные механизмы восстановления функциональности, описанные в Плане аварийного восстановления KSK и Плане по обеспечению бесперебойной деятельности.

В отличие от других электронных устройств, блок питания HSM обычно встраивается в устройство и отдельно не заменяется. Предполагаемый срок службы блоков питания этих HSM составляет 10 лет от даты изготовления, при чем срок гарантии изготовителя составляет пять лет от даты первого использования.

Процесс замены

Находящиеся сейчас в эксплуатации HSM были впервые использованы в 2010 году. Гарантийный срок заканчивается и руководствуясь консервативным подходом к предполагаемому сроку службы блоков питания, ICANN планирует ввести новые HSM в эксплуатацию в течение 2015-го календарного года. Содержание существующих HSM будет перенесено в новые HSM, которые способны выполнять те же функции, что и существующий набор устройств. Этот процесс будет выполнен в рамках квартальных мероприятий в дата-центрах, известных под названием церемонии подписания ключей. Будут составлены соответствующие сценарии, в которые будет включена процедура ввода новых HSM в эксплуатацию в ходе регулярных церемоний подписания ключей в 2015 году.

К четырем существующим HSM ICANN планирует добавить еще четыре единицы, а также на срок переходного периода установить новые HSM параллельно HSM 2010-го года для того, чтобы гарантировать безопасность и обеспечить исполнение операций KSK.

После проведения удовлетворительной проверки того, что новые HSM функционируют как следует, а также того, что бесперебойное исполнение операций KSK не нарушается, будет разработан безопасный метод вывода из эксплуатации и уничтожения существующих модулей в соответствии с текущими отраслевыми техническими условиям.

Ключевые риски

Ниже перечислены ключевые выявленные риски и меры по минимизации последствий:

Риск: Все четыре находящихся в эксплуатации HSM не выполняют криптографические операции в связи с отказом блоков питания, что сказывается на бесперебойном осуществлении операций.

Меры по минимизации последствий: Сейчас в наличии четыре дублирующих друг друга HSM плюс четыре дополнительных резервных единицы, которые можно включить в рамках процесса аварийного восстановления эксплуатации. Частота отказов блока питания одного HSM легко минимизируется благодаря дублированию его функциональности тремя другими HSM. Расчетный срок годности блока питания при хранении составляет приблизительно 10 лет. Надо сказать, что все устройства показывают, что их блоки питания находятся в хорошем состоянии. В связи с этим и с тем, что они были изготовлены приблизительно в одно и то же время, все блоки питания во всех HSM могут отказать одновременно. Для того, чтобы обеспечить бесперебойную эксплуатацию и снизить степень риска отказа всех HSM одновременно, мы считаем целесообразным заменить HSM в 2015 году и использовать HSM с блоками питания из разных партий и с разными датами изготовления.

Риск: При первом включении HSM нового изготовления функционируют неправильно.

Меры по минимизации последствий: Для проверки функционирования устройств перед проведением церемоний, в ходе которых они будут введены в эксплуатацию при установке новых HSM, будут проведены приемочные испытания. В течение периода, следующего после введения новых HSM в эксплуатацию, существующие HSM будут продолжать храниться в защищенных помещениях для обеспечения дополнительных возможностей проведения восстановительных мероприятий в случае отказа новых HSM.

Риск: У всех HSM нового изготовления одинаковый дефект.

Меры по минимизации последствий: Если все четыре HSM из одной производственной партии, существует вероятность наличия в них одинаковых дефектов (например, плохой состав блоков питания), которые будут иметь негативные последствия для возможностей существующего резервирования. Для минимизации подобного риска ICANN совместно с поставщиком проверила, что все устройства HSM состоят из моделей с разными датами изготовления и содержат блоки питания из разных производственных партий.

Вопросы и ответы

Q1. Почему необходимо заменить HSM, а не только блоки питания?

A1: HSM можно переоборудовать новыми блоками питания, но для этого их необходимо вернуть изготовителю. Вместо того, чтобы переоборудовать HSM, ICANN их полностью заменит, чтобы материалы криптографического ключа не покидали защищенные дата-центры.

Q2: Как этот проект вписывается в рамки будущего обновления KSK корневой зоны?

A2: Этот проект не является частью проекта по замене существующих KSK корневой зоны на новые KSK корневой зоны (процедура, также известная под названием обновление ключа). Проблемы, возникающие с HSM и относящиеся к обновлению ключа будут изучены Группой разработчиков процедуры обновления KSK корневой зоны.

Разделение проектов по замене HSM и по обновлению KSK корневой зоны имеет свои преимущества, так как предоставляет Группе разработчиков процедуры обновления ключа время на полную подготовки без дополнительного давления, которое может возникнуть в связи с заменой HSM.

Q3: Что было принято во внимание при выборе новых HSM?

А3: ICANN закупила самую последнюю модель HSM, AEP Keyper Plus, от поставщика, который у которого ранее были приобретены находящиеся в эксплуатации HSM. Эта модель соответствует требованиям четвертого уровня сертификации по FIPS 140-2, записанным в качестве условия работы с KSK корневой зоны в контракте на исполнение функций IANA. Эта модель также позволяет импортировать KSK корневой зоны из более старых моделей без необходимости заново генерировать KSK корневой зоны. Выбор в пользу более новой модели HSM был сделан в связи с тем, что изготовитель обеспечивает поддержку в течение более длительного времени.

Q4: Сколько доверенных представителей сообщества необходимо для замены HSM?

Q4: ICANN определила, что минимальное количество доверенных представителей сообщества, необходимое для экспорта KSK корневой зоны из существующих устройств и их импорта в новые устройства – три представителя. Этот процесс не требует создания нового набора карточек SO и OP и, соответственно, не требует присутствия всех криптографических экспертов-наблюдателей. Существующие права доступа хранителей частей резервного ключа доступа будут действительны для работы с новыми HSM.

О корпорации ICANN

Миссия ICANN – обеспечение стабильного, безопасного и единого глобального интернета. Для того, чтобы связаться с кем-нибудь в интернете, в компьютер необходимо ввести адрес – имя или номер. Этот адрес должен быть уникальным, чтобы компьютеры могли друг друга находить. ICANN занимается координацией этих уникальных идентификаторов во всем мире. Без этой координации у нас бы не было единого глобального интернета. Корпорация ICANN была основана в 1998 году. Это некоммерческая корпорация, действующая в интересах общественности. В ее работе участвуют люди со всего мира в деле обеспечения безопасного, стабильного и функционально совместимого интернета. Корпорация занимается содействием конкуренции и разработкой политики в отношении уникальных идентификаторов интернета. ICANN не контролирует контент в интернете, не имеет возможности останавливать спам и не занимается вопросами, связанными с доступом к интернету. При этом благодаря своей координационной роли в системе имен интернета, корпорация оказывает значительное влияние на расширение и эволюцию интернета. Дополнительная информация доступна по адресу www.icann.org www.icann.org.