Необычная идея о создании суперключа принадлежит американской корпорации ИКАНН, которая разрабатывает системы защиты для Всемирной паутины.

В разных странах мира живут люди — Хранители ключей. Но не простых — если все эти ключи объединить в один, то с помощью получившегося Мегаключа можно будет перезагрузить Интернет. Да, это реальный мир, а не сюжет одного из романов Дэна Брауна.

Каждый из 14-ти хранителей владеет традиционным металлическим ключом к сейфу, где лежат смарт-карты, приводящие в действие машину, которая создаёт новый главный ключ. Он используется для определения того, что существующая система DNS — собрание доменных имён и IP-адресов — подлинная.

Хранители ключей являются частью организации под названием «Интернет-корпорация по присвоению имён и номеров» (ICANN). Её члены встречаются четыре раза в год за пиццей пепперони и пивом для официальной церемонии по проверке ключей.

Сайт Би-Би-Си не без гордости рассказывает, что британец Пол Кейн стал единственным в Западной Европе обладателем специального ключа, с помощью которого осуществляется перезагрузка. Кейна оказался лучшим из 60 кандидатов. Его выбрали благодаря существенному вкладу в кибербезопасность: англичанин работает в этой индустрии более 25 лет и известен тем, что управляет компанией CommunityDNS. Кроме того, он преподает в университете города Бас.

Абсурдная до недавнего времени мысль о перезагрузке интернета стала казалось бы вполне реализуемым технически процессом после того, как в июле 2010 года была запущена новая (и очередная) система безопасности DNSSEC (Domain Name System Security Extensions). Однако давайте разберемся подробнее:

Разумеется, ни о какой перезагрузке, запуске и остановке интернета речь не идет.
На глобальном уровне внедряется система расширенной безопасности службы доменных имен (DNS) — DNSSEC . Служба доменных имен преобразует человекопонятные адреса интернет-ресурсов (tut.by, google.com и т.п.) в cтрогие IP-адреса (формата ХХХ.ХХХ.ХХХ.ХХХ), которые используются в интернет-адресации. DNS — один из важнейших механизмов работы Сети. И этот механизм очень уязвим к хакерским атакам, именно поэтому и была предложена более безопасная система DNSSEC.

В механизме DNSSEC важная информация защищается криптографическим ключом — с 15 июля 2010 года заработала доверенная корневая зона. Благодаря этому можно проверить, верную ли информацию отдает DNS. К генерации, подписанию и хранению соответствующих ключей было решено пригласить независимых специалистов, «Trusted Community Representatives» (доверенные представители общественности), числом 21. Ряд доменных зон уже используют DNSSEC, в дальнейшем на защищенный протокол планируют перейти и другие популярные зоны, что должно положительно сказаться на защищенности интернета.
***
Компания CommunityDNS 21 июня 2010 года сообщила, что её глава Пол Кейн (достаточно известная в сферах технического регулирования интернета персона) стал одним из семи «доверенных представителей общественности» и получил фрагмент сгенерированного криптоключа корневой зоны для её возможного восстановления в будущем. Для этого пяти доверенным представителям нужно будет встретиться на территории США и восстановить критпоключ.

А 27 июля BBC подготовила материал (достаточно корректный, кстати), который незамедлительно растиражировали в очень странной форме (см. выше) русскоязычные СМИ.

P.S. В обсуждении этой новости на профессиональных форумах неоднократно мелькали отсылки к эпизоду известного мультсериала South Park и серии не менее известного британского ситкома IT Crowd, где тоже «перезагружали» интернет.
***
Тонкости процесса активации не сообщаются — равно как и имена остальных шести "доверенных лиц": общественности неизвестно даже, где они живут.
***
Интересно, есть ли хранитель интернета среди граждан России?

На вопрос, станет ли процедура своеобразным ctrl+alt+delete для всего Интернета, Кейн ответил отрицательно: "Только для небольшой части сайтов, использующих DNSSEC".

Возможность охвата системой всей глобальной сети эксперт исключает. "Никогда такого не будет. Если бы даже был такой ключ, это могло бы спровоцировать "балканский конфликт" в Интернете. Евросоюз не хотел бы, чтобы такой ключ был у США, Ближний Восток не желал бы наличия ключа у Евросоюза. США вообще будут против, чтобы ключ получил кто-либо кроме них", - сказал он.
***
"Ключом для перезагрузки интернета", СМИ в данном случае объявили так называемый "ключ подписи ключа" (Key Signing Key, KSK), который является важным элементом криптографической системы DNSSEC. По сути это ключ корневой зоны, фундамент, обеспечивающий достоверность и целостность данных DNS.
***
В 2008 году эксперт по вопросам компьютерной безопасности обнаружил уязвимость, в результате которой злоумышленники могли бы без труда перенаправлять запросы пользователей на подставные серверы и фальшивые вебсайты и таким образом получить доступ к паролям, номерам кредитных карт и другой конфиденциальной информации. Сами пользователи ничего не могут с этим поделать, так как в большинстве случаев даже не подозревают о том, что запрос был перенаправлен. В частности, под угрозу ставился интернет-банкинг.

Серверная ICAAN охраняется очень тщательно. Здания серверной расположены за пределами зоны ядерного взрыва с эпицентром в Вашингтоне, они окружены трехметровыми земляными валами и находятся под постоянным наблюдением антитеррористического отделения Министерства обороны США.

Ритчи, некогда возглавлявший информационный отдел организации, отвечающей за канадский домен верхнего уровня.са, был избран наряду с шестью другими программистами, которым передали фрагменты кода. Введение кода перезапустит DNSSEC в случае повреждений, полученных в результате террористической атаки или природных катаклизмов.

Есть такая версия, что остальные «хранители кода» - программисты из Буркина-Фасо, Тринидада и Тобаго, Чехии, Китая, Великобритании и США .

В мире появилось тайное братство хранителей Интернета. Семь человек получили от Всемирной паутины ключи. Это микросхема, которая впечатана в карту и в случае угрозы, например, глобальной атаки хакеров или появления мощного вируса, хранители должны одновременно ввести свои коды, выключить Интернет, ну а потом собраться всем месте в некой секретной лаборатории и вновь активировать глобальную сеть.

Звучит как фантастика, тем не менее, имена посвященных не разглашаются. Известно лишь одно из них - британского компьютерного специалиста. Пол Кейн будет отвечать за восстановление интернета в Западной Европе.

Неужели можно одномоментно выключить Интернет? В программе "Утро России" на вопросы ответил глава Координационного центра национального домена сети Интернет Андрей Колесников.

Он пояснил, что выключить Интернет одновременно во всем мире, конечно, не получится, у этой системы нет специального рубильника. "Вообще, навигация в сети происходит по ip-адресам, которые запомнить невозможно. Для того, чтобы облегчить эту работу, были придуманы доменные имена. Чтобы пользователи могли спокойно ходить по Интернету, открывать всякие адреса, устроена система, которая называется ДНС", - объяснил эксперт.

Сама по себе система ДНС оказалась уязвимой, подчеркнул Колесников. И для того, чтобы эту уязвимость устранить, чтобы не было атаки на сервера, была разработана система, у которой есть один центральный ключ, подписывающий все это доменное пространство и, собственно, об этом ключе и идет речь, уточнил специалист.

Как правило, люди, которым вручается этот ключ, выбираются на год. Эти люди являются достаточно известными в интернет-среде - разработчики, общественные деятели. Но они никак не должны быть связаны с правительством, большим бизнесом, констатировал Андрей Колесников, добавив, что в этом обществе никто не представляет никакие страны. Вся процедура сделана так, что это люди - жители планеты Земля.

По словам специалиста, существует целая процедура избрания хранителей ключей. Люди подают заявления. Эти заявление рассматривают такие же люди, и среди себя они сами и выбирают. При этом люди берут на себя немалую ответственность. Их поэтому и выбирают, что они своей репутацией заслужили это право быть держателями ключей.

Вместе с тем, Андрей Колесников заверил, что Интернет сломать невозможно. К тому же, Всемирная паутина находится в юношеском возрасте, то есть Интернет еще не достиг и половины своего максимума, утверждает эксперт.

Очень сильно будет развиваться мобильный Интернет, его скорости и так растут. Увеличивается конкуренция традиционному телевидению, оно все больше и больше уходит в Интернет. "Многие люди, у которых не очень много времени для того, чтобы смотреть передачи, делают это в Интернете", - резюмировал Андрей Колесников, отметив, что развивается также видеосвязь. Как правило, от появления прототипа до реально действующего бизнеса - не больше 2-3 лет, подытожил он.

Необычная идея о создании суперключа принадлежит американской корпорации ИКАНН, которая разрабатывает системы защиты для Всемирной паутины.

В разных странах мира живут люди — Хранители ключей. Но не простых — если все эти ключи объединить в один, то с помощью получившегося Мегаключа можно будет перезагрузить Интернет. Да, это реальный мир, а не сюжет одного из романов Дэна Брауна.

Каждый из 14-ти хранителей владеет традиционным металлическим ключом к сейфу, где лежат смарт-карты, приводящие в действие машину, которая создаёт новый главный ключ. Он используется для определения того, что существующая система DNS — собрание доменных имён и IP-адресов — подлинная.

Хранители ключей являются частью организации под названием «Интернет-корпорация по присвоению имён и номеров» (ICANN). Её члены встречаются четыре раза в год за пиццей пепперони и пивом для официальной церемонии по проверке ключей.

Сайт Би-Би-Си не без гордости рассказывает, что британец Пол Кейн стал единственным в Западной Европе обладателем специального ключа, с помощью которого осуществляется перезагрузка. Кейна оказался лучшим из 60 кандидатов. Его выбрали благодаря существенному вкладу в кибербезопасность: англичанин работает в этой индустрии более 25 лет и известен тем, что управляет компанией CommunityDNS. Кроме того, он преподает в университете города Бас.

Абсурдная до недавнего времени мысль о перезагрузке интернета стала казалось бы вполне реализуемым технически процессом после того, как в июле 2010 года была запущена новая (и очередная) система безопасности DNSSEC (Domain Name System Security Extensions). Однако давайте разберемся подробнее:

Разумеется, ни о какой перезагрузке, запуске и остановке интернета речь не идет.

На глобальном уровне внедряется система расширенной безопасности службы доменных имен (DNS) — DNSSEC. Служба доменных имен преобразует человекопонятные адреса интернет-ресурсов (tut.by , google.com и т.п.) в cтрогие IP-адреса (формата ХХХ.ХХХ.ХХХ.ХХХ), которые используются в интернет-адресации. DNS — один из важнейших механизмов работы Сети. И этот механизм очень уязвим к хакерским атакам, именно поэтому и была предложена более безопасная система DNSSEC.

В механизме DNSSEC важная информация защищается криптографическим ключом — с 15 июля 2010 года заработала доверенная корневая зона. Благодаря этому можно проверить, верную ли информацию отдает DNS. К генерации, подписанию и хранению соответствующих ключей было решено пригласить независимых специалистов, «Trusted Community Representatives» (доверенные представители общественности), числом 21. Ряд доменных зон уже используют DNSSEC, в дальнейшем на защищенный протокол планируют перейти и другие популярные зоны, что должно положительно сказаться на защищенности интернета.

Компания CommunityDNS 21 июня 2010 года сообщила, что её глава Пол Кейн (достаточно известная в сферах технического регулирования интернета персона) стал одним из семи «доверенных представителей общественности» и получил фрагмент сгенерированного криптоключа корневой зоны для её возможного восстановления в будущем. Для этого пяти доверенным представителям нужно будет встретиться на территории США и восстановить критпоключ.

А 27 июля BBC подготовила материал (достаточно корректный, кстати), который незамедлительно растиражировали в очень странной форме (см. выше) русскоязычные СМИ.

P.S. В обсуждении этой новости на профессиональных форумах неоднократно мелькали отсылки к эпизоду известного мультсериала South Park и серии не менее известного британского ситкома IT Crowd, где тоже «перезагружали» интернет.

Тонкости процесса активации не сообщаются — равно как и имена остальных шести «доверенных лиц»: общественности неизвестно даже, где они живут.

Интересно, есть ли хранитель интернета среди граждан России?

На вопрос, станет ли процедура своеобразным ctrl+alt+delete для всего Интернета, Кейн ответил отрицательно: «Только для небольшой части сайтов, использующих DNSSEC».

Возможность охвата системой всей глобальной сети эксперт исключает. «Никогда такого не будет. Если бы даже был такой ключ, это могло бы спровоцировать «балканский конфликт» в Интернете. Евросоюз не хотел бы, чтобы такой ключ был у США, Ближний Восток не желал бы наличия ключа у Евросоюза. США вообще будут против, чтобы ключ получил кто-либо кроме них», — сказал он.

«Ключом для перезагрузки интернета», СМИ в данном случае объявили так называемый «ключ подписи ключа» (Key Signing Key, KSK), который является важным элементом криптографической системы DNSSEC. По сути это ключ корневой зоны, фундамент, обеспечивающий достоверность и целостность данных DNS.

В 2008 году эксперт по вопросам компьютерной безопасности обнаружил уязвимость, в результате которой злоумышленники могли бы без труда перенаправлять запросы пользователей на подставные серверы и фальшивые вебсайты и таким образом получить доступ к паролям, номерам кредитных карт и другой конфиденциальной информации. Сами пользователи ничего не могут с этим поделать, так как в большинстве случаев даже не подозревают о том, что запрос был перенаправлен. В частности, под угрозу ставился интернет-банкинг.

Серверная ICAAN охраняется очень тщательно. Здания серверной расположены за пределами зоны ядерного взрыва с эпицентром в Вашингтоне, они окружены трехметровыми земляными валами и находятся под постоянным наблюдением антитеррористического отделения Министерства обороны США.

Ритчи, некогда возглавлявший информационный отдел организации, отвечающей за канадский домен верхнего уровня.са, был избран наряду с шестью другими программистами, которым передали фрагменты кода. Введение кода перезапустит DNSSEC в случае повреждений, полученных в результате террористической атаки или природных катаклизмов.

Есть такая версия, что остальные «хранители кода» – программисты из Буркина-Фасо, Тринидада и Тобаго, Чехии, Китая, Великобритании и США.

Чтобы два субъекта могли безопасно общаться друг с другом, им нужен общий разделяемый секрет - что-то, что известно только им двоим и никому больше. В современном мире в качестве субъектов выступают пользователи компьютеров и/или сервисы, а в качестве общих секретов - пароли и ключи шифрования. О последних, а точнее о способах их хранения, и поговорим.
Пока криптография была только симметричной (оба абонента использовали один и тот же общий ключ и для шифрования и для расшифрования), главной проблемой была безопасная доставка ключа шифрования от одного абонента другому. Требовался очень надёжный доверенный канал передачи (личная встреча, спецпочта и т.п.)

Трудно представить, как бы вообще выглядел современный Интернет, если бы не была изобретена криптография с открытым ключом, а Диффи и Хеллман (и Меркл) не предложили алгоритм, позволяющий создавать тот самый общий секрет двум абонентам прямо у всех на виду. Процесс создания общего секрета напоминает трюк фокусника и очень хорошо проиллюстрирован вот в этом небольшом ролике: http://www.youtube.com/watch?v=VBDJ0ERjnD4

Криптография с открытым ключом активно используется в том числе и для электронной цифровой подписи (ЭЦП). Собственно, сама идеология ЭЦП построена на существовании пары открытый-закрытый ключ и предположении, что закрытый ключ есть только у одного единственного человека (сервиса/сервера и т.п.)

В зависимости от используемого алгоритма типичная длина закрытого ключа составляет 1024 или 2048 бит (для алгоритмов, построенных на дискретных логарифмах). Если записать этот ключ 26 строчными и 26 прописными буквами латинского алфавита (aAbBcC…zZ) , 10 цифрами (123…90 ) и, например, парой спецсимволов (., ), то потребуется 1024/log(2) 64 = 171 или 2048/log(2) 64 = 342 символа соответственно.

Запомнить нечто такое обычный пользователь без спецтренировки, очевидно, не в состоянии. Закрытый ключ приходится где-то сохранять. Далее такие устройства при всём их многообразии буду для определённости называть хранителями закрытых ключей.


Первоначально закрытые ключи хранили просто на жёстком диске (например, в ветке реестра ОС или в специальном файле-контейнере). Способ применяли ещё в те времена, когда по мобильному телефону только звонили, а компьютер мог быть один на отдел, так что с точки зрения удобства использования особых проблем не возникало. Проблемы были с безопасностью: понятно, что такой способ хранения закрытого ключа крайне ненадёжен. Злоумышленник, получив доступ к компьютеру, автоматически получал в своё распоряжение и закрытый ключ, пусть даже и защищённый паролем. Скопировав контейнер, злоумышленник мог уже в спокойной обстановке подобрать пароль от него и получить требуемый доступ.

Позже к офлайн злоумышленникам добавилась новая угроза - трояны, похищающие информацию удалённо. Данный вид атаки вкупе с другими факторами привёл к началу использования внешних носителей для хранения закрытых ключей. В качестве ключевых носителей первоначально выступали обычные дискеты. Пользователи теперь могли работать на нескольких компьютерах, а по окончании рабочего дня запирать дискеты в сейф. От неблагонадёжных коллег и нарушителей, проникающих в помещение, такой вариант был эффективен, но троян всё так же мог похитить контейнер, правда, теперь уже только в момент использования самого носителя.

Нужен был принципиально новый хранитель закрытых ключей и в качестве такового выступила смарт-карта. Упрощённо говоря, смарт-карта - это фактически компьютер с собственной операционной системой, оперативной памятью и внутренним хранилищем («жёстким диском»). Сама архитектура смарт-карт предполагает их защищённость от внешнего несанционированного доступа, так как все обращения к внутреннему содержимому возможны только через интерфейс операционной системы после ввода верного PIN-кода. Технологически смарт-карты выполняются на одном чипе и имеют защиту от прямого считывания данных с него. В Википедии приведены иные разновидности смарт-карт, в частности те, что оснащены RFID-меткой и предназначены для бесконтактной работы (считыватели на дверях, турникетах и т.д.), но нас они сегодня не интересуют. Мы говорим о контактных смарт-картах, для работы с которыми требуется отдельное устройство (встроенные встречаются крайне редко) - считыватель смарт-карт (или карт-ридер).

Что действительно важно в смарт-картах с точки зрения хранения закрытых ключей, так это их встроенные возможности по выполнению математических (криптографических) операций с закрытыми ключами и даже генерации этих ключей внутри самой смарт-карты. В последнем случае закрытые ключи в принципе никогда не покидают внутренней памяти чипа смарт-карты и все действия с ними производятся операционной системой смарт-карты также внутри. Наружу выдаётся только итоговый результат, например, ЭЦП.

Следующей важной вехой в эволюции хранителей закрытых ключей стало изобретение группой сотрудников израильской компании Aladdin Knowledge System (патент US 6763399 B2) смарт-карты в исполнении в виде USB-ключа. Их также называют USB-токенами. Токеном в самом широком смысле принято называть обобщённо весь класс таких устройств (есть, как вы, вероятнее всего, знаете, даже разновидности с экранами и кнопками). USB-токен хоть внешне похож на обычную флешку, представляет собой чип смарт-карты, совмещённый со считывателем (карт-ридером) и размещённый в компактном корпусе. USB-токены быстро стали популярны за счёт простоты использования, ведь для них не требовалось никакого дополнительного оборудования, а достаточно было USB-порта, имеющегося практически на любом компьютере и ноутбуке.

Несмотря на всё удобство USB-токенов, смарт-карты в классическом их исполнении в виде кусочка пластика долго время занимали на мировом рынке большую долю, чем USB-токены, в силу инертности корпоративных клиентов (а ведь именно они являются важнейшими потребителями таких средств), а также ряда дополнительных возможностей, таких как уже упоминавшаяся выше возможность встраивания RFID-меток и нанесения дополнительной информации на пластик - например, фото и должности сотрудника. Единый бейдж действительно в ряде случаев удобен.

В России же, пропустившей этап зарождения рынка аппаратных средств аутентификации, токены в USB-исполнении стали гораздо более массовым продуктом и безраздельно царствовали на рынке несколько лет.

Говоря про Российские особенности, нельзя не упомянуть, что для токенов важна поддержка отечественных криптографических алгоритмов ГОСТ. Без этого токены фактически являются эдакой защищённой флешкой - контейнер с закрытым ключом хранится во внутренней памяти, но для любых операций копируется в память компьютера со всеми вытекающими негативными последствиями. Сейчас на рынке устройств с аппаратной поддержкой ГОСТ хватает .

Возвращаясь к троянам и токенам, нужно описать ещё один вид атаки, заключающийся в подменен информации, отправляемой в чип смарт-карты на подпись. Скажем, платёжное поручение, составленное пользователем системы интернет-банк, на экране отображается корректно, но на подпись в подключенный токен отправляется в искажённом трояном виде. Пользователь вводит свой PIN-код и деньги уходят не туда. Собственно говоря, продвинутому трояну пользователь нужен ровно один раз для ввода пароля от личного кабинета на сайте банка и ввода PIN-кода. Далее, всё время, пока токен подключен, уже без ведома пользователя можно подписывать и отправлять любые платёжные поручения.

Ответом на такую угрозу стал новый класс устройств - «экраны доверия» или трастскрины , выводящие на свой собственный, недоступный трояну, экран основные платёжные реквизиты. Впрочем, данные устройства не являются непосредственно хранителями закрытых ключей, а служат лишь вспомогательным целям.

Долгие годы всё было у токенов хорошо, они были удобны, универсальны и даже уже дёшевы, но повсеместное распространение смартфонов и планшетов вынудило продавцов средств аутентификации искать новые пути. Не берусь судить о мировых тенденциях, но на примере России было достаточно интересно наблюдать развитие ситуации.

Радужную картину господства USB-токенов сильно начали портить два факта: корпоративные пользователи повадились активно использовать мобильные устройства для своей работы, а USB-портов у этих устройств не было. Да, какие-то модели планшетов их имеют, но производители самых распространённых моделей (в России особенно актуальны продукты компании Apple) этот ноутбучно-компьютерный атавизм поддерживать принципиально не хотят.
Нет в большинстве, включая iOS, устройств и поддержки microSD-карт, что не позволяет использовать на них смарт-карты в таком форм-факторе, хотя они на рынке есть уже несколько лет (не знаю только - покупает ли их хоть кто-то?). С ситуацией, а в особенности с продуктами Apple, надо было что-то делать, особенно с учётом необходимости в (существенной) части проектов поддерживать ГОСТ.

Первое, что пришло в голову - это, очевидно, желание как-то прикрутить уже имеющиеся токены к новым устройствам. На рынок хлынул щедрый ассортимент продуктов (часто китайских) производители. Думаю, интересующиеся темой видели эти попытки предложить рынку считыватели для смарт-карт в виде внешнего устройства для iPhone или, например, чехла для iPad. Судя по всему, упоминавшееся мной выше мировое превосходство рынка смарт-карт над рынком USB-токенов до конца не утрачено, раз от китайских друзей так и не появилось ни одного варианта для USB-токенов. Хотя, быть может, тут дело в принципиальной технической невозможности из-за недостаточности того же питания, например, - в технические нюансы так глубоко не вникал.

В любом случае в России смарт-карт на порядки меньше, так что корпоративным клиентам пришлось бы либо раскошеливаться сразу на смарт-карту и два карт-ридера (один для iPad, а второй для ноутбука), либо носить смарт-карту и USB-токен одновременно. Понятно, что это очень неудобно. Собственно, даже комбинация телефон + карт-ридер + смарт-карта уже далека от эргономичной. Кстати, когда Apple поменяла в своих телефонах контактный разъём с 30-pin на 9-pin к этой троице ещё добавлялся соответствующий переходник, что выглядело уже совсем как какой-то монстрообразный конструктор «собери себе ЭЦП».

Всё же мобильное устройство на то и мобильное, что подключать к нему что-то кроме наушников, кабеля питания (ну, и док-станции, если это можно назвать «подключать») никому и никогда не будет удобно. Нужно было другое решение.

К слову, как и в случае с компьютерами эпохи становления хранителей закрытых ключей контейнер с закрытым ключом можно хранить непосредственно на самом мобильном устройстве, имея, впрочем, схожие проблемы с безопасностью с поправкой на тот факт, что украсть/потерять мобильное устройств не в пример легче, чем ноутбук. Безопасность такого решения очевидно слаба: пользователю каждый раз вводить сложный пароль от контейнера неудобно, а простой быстро подберёт злоумышленник.

Чуть отвлекаясь, замечу, что несмотря на всё удобство использования самого телефона в качестве токена (многие системы многофакторной бестокенной аутентификации предлагают именно такой подход) - это не самая лучшая идея с точки зрения безопасности. Телефон никак нельзя считать доверенной средой и по причине роста числа мобильных вирусов и в силу простоты утраты контроля пользователя над ним.

Итак, мы остановились на поиске нового решения. По сути, что такое мобильность? А это не в последнюю очередь - отсутствие проводов и контактных подключений. Популярные в последнее время смарт-часы, смарт-браслеты и прочие смарт-штуки общаются с мобильными устройствами исключительно по Bluetooth-протоколу, версия 4.0 которого так удачно обзавелась энергосберегающим режимом работы, позволяющим таким устройствам при всей их компактности работать дни и недели. Так что путь дальнейшей эволюции вполне понятен - Bluetooth-решения.

Мне на сегодняшний день известны два варианта беспроводного подключения хранителей закрытых ключей к мобильным устройствам. Первое - от создателей «собери-себе-ЭЦП» конструктора, а второе - удобное.

Китайская компания Feitian (наверняка есть и другие - эти под руку попались) предлагает Bluetooth-считыватель для смарт-карт, которым, пожалуй, удобнее пользоваться, чем подключаемым к разъёму, но который не лишён всех остальных недостатков в виде вытекающей из малой распространённости в России смарт-карт задачи по модификации парка аппаратных устройств аутентификации и необходимости носить (и не терять) несколько предметов сразу. Поступающие от некоторых энтузиастов предложения не вытаскивать смарт-карту из считывателя, а сам считыватель - из кармана брюк, извините, серьёзно воспринимать не могу.

Устройство же, которым я завершу сегодняшнюю хронологию хранителей, было представлено компанией Актив совсем недавно. Речь про их Рутокен ЭЦП Bluetooth . Чип смарт-карты встроен в небольшого размера коробочку, в которой также находится (как я понимаю) аккумулятор, Bluetooth-передатчик и необходимые элементы для осуществления работы проводного подключения.

При подключении кабелем к USB-порту ноутбука/компьютера устройство распознаётся как обычный Рутокен и может использоваться для всех типичных задач - аутентификация, ЭЦП и т.д. В беспроводном же варианте устройство… тоже остаётся Рутокеном. Полноценную поддержку беспроводной работы (включая аутентификацию при входе в операционную систему) для настольных систем в компании Актив обещают реализовать в ближайшее время, а поддержка в качестве внешней смарт-карты для мобильного устройства должна быть добавлена в соответствующее мобильное приложение непосредственно его (приложения) разработчиком. Например, разработчиком банковского мобильного приложения. Для этого, конечно, требуется какое-то время, но зато когда всё сделано, удобство использования потрясающее. Мне довелось увидеть полноценную работу Рутокен ЭЦП Bluetooth с приложениями линейки Защищённая Мобильность от Digital Design и это было впечатляюще.

Рутокен ЭЦП Bluetooth просто лежит в кармане/сумке, а на планшете идёт полноценная работа с ним как с самой обычной смарт-картой. Например, можно открыть зашифрованное электронное письмо или поучаствовать в торгах на электронной площадке. При потере связи (когда устройство слишком далеко) приложение может закрываться и требовать повторного ввода PIN-кода.

Носить с собой одно устройство и без проблем использовать свои закрытые ключи для операций на ноутбуке/планшете/смартфоне в течение 10-12 часов (заявленное время работы при активном использовании, при переводе устройства в спящий режим оно увеличивается до недель) - это действительно удобно. Тем же устройством можно быстро разблокировать ноутбук, введя достаточно простой PIN-код, но получив уровень безопасности, сопоставимый с длинным и сложным паролем.

Не представляю, правда, как в Nymi встроить российскую криптографию. Подозреваю, что без участия самих разработчиков - никак. А вот что вполне реально можно сделать, так это совместить Рутокен ЭЦП Bluetooth и трастскрин. Ведь Рутокен ЭЦП Bluetooth лишь убирает провода, но никак не защищает от описанного мной выше трояна всемогущего , установленного на компьютере и подменяющего платёжки.

Кстати, даже могу представить, кто мог бы такое совмещённое устройство выпустить - компания Актив, у которой среди продуктов есть и трастскрин (пока проводной). Всё же собственное производство имеет свои преимущества над иными подходами, когда просто перепродаются чужие решения, адаптированные под российские реалии, или когда под новоявленный рынку бренд собирают солянку из продуктов разных производителей.

Между прочим, если бы в YotaPhone кроме/вместо второго экрана вставили чип смарт-карты с независимой от телефона операционной системой и поддержкой ГОСТ, был бы действительно инновационный российский продукт.

На представленном ВИДЕО можно увидеть встречу хранителей ключей от Интернета

Весь интернет контролируется с помощью семи реальных физических ключей. И недавно с их участием состоялся чрезвычайно засекреченный ритуал, который носит название «церемонии ключей».

Встреча хранителей ключей. Кадр: YouTube/ICANNnews.

Люди, проводившие церемонию, являются частью организации Internet Corporation for Assigned Names and Numbers (ICANN). ICANN отвечает за присвоение числовых интернет-адресов вебсайтам и компьютерам, а также за трансляцию их в нормальные веб-адреса, которые люди набирают в своих браузерах. ICANN хранит таблицы соответствия числовых адресов (с которыми проще оперировать компьютерам) и слов (которые удобнее для людей), сообщает .

Если кто-нибудь когда-нибудь получит контроль над базой данных ICANN, он сможет – буквально – контролировать Интернет. К примеру, он сможет направить людей на фальшивый банковский сайт вместо настоящего и получить доступ к их финансовым аккаунтам.

Если произойдёт какое-либо непредвиденное бедствие, базу данных ICANN будет необходимо перестроить. Поэтому организация нашла способ сделать это, не сосредотачивая слишком много контроля в руках одного человека. ICANN выбирает семерых человек в качестве хранителей ключей и передаёт каждому из них настоящий ключ к Интернету. Также она выбирает семерых запасных держателей ключей: итого - 14 человек.

Розданные физические ключи открывают депозитные сейфы, разбросанные по всему миру. Внутри этих сейфов находятся смарт-карты. Соединив семь смарт-карт, вы получите «мастер-ключ». Мастер-ключ представляет собой компьютерный код, который даёт доступ к базе данных ICANN.

Четырежды в год, начиная с 2010 года, семь хранителей ключей встречаются на церемонии ключей, на которой они генерируют новый мастер-ключ - то есть, новый пароль.

Меры безопасности, предпринимаемые на этой церемонии, беспрецедентны, пишет gearmix.ru . Немногие из журналистов, которые когда-либо были на неё допущены, описывают, что процедура включает в себя проход через ряд закрытых дверей, снабжённых кодовыми замками и сканерами отпечатков пальцев, чтобы попасть в зал, который полностью экранирован от любых электронных коммуникаций.

Группа проводит церемонию ключей, а затем покидает зал по одному.

На этом видео вы можете увидеть самую первую церемонию ключей, которая состоялась в 2010 году: