ICANN ускоряет защиту DNS от квантовых атак и обновляет правила реестров

Организации по управлению интернетом, вероятно, ускорят работу над защитой системы доменных имен (DNS) от квантовых компьютеров. Джон Крейн, главный технический директор ICANN, заявил, что такие машины теоретически угрожают DNSSEC – расширениям безопасности DNS, адаптирующим инфраструктуру открытых ключей к верификации записей. Он осведомлен о прогнозах появления таких компьютеров «на рубеже десятилетия» и потому изменил оценку сроков.

«Если бы вы спросили меня несколько лет назад, я бы сказал, что нам, вероятно, нужно быть готовыми через десять лет. Теперь, возможно, это меньше. Не знаю, три года или пять, но, вероятно, не десять», – сказал он.

Один из способов защитить DNSSEC – более крупные ключи, но это упирается в ограничения размера сообщений DNS: нужны большие зоны, пакеты и ответы, а трафик придется передавать несколькими TCP-пакетами вместо одного UDP-сообщения. По словам Крейна, ICANN, IETF и другие органы уже начали предварительную работу. «Переход от UDP к TCP займет несколько лет. Вероятно, мы в нескольких годах от того, чтобы развернуть это предсказуемым образом». Проблема становится острее, и работа будет ускоряться.

Реформа интернет-реестров

На конференции ICANN обсуждалась реформа региональных интернет-реестров и обновление Internet Coordination Policy 2 (ICP-2). Джиа-Ронг Лоу, председатель Номерного ресурсного органа (NRO) –  объединения AFRINIC, APNIC, ARIN, LACNIC и RIPE NCC, – рассказал, что разрабатывать документ полностью удаленно оказалось «очень сложно». После конфликта в AFRINIC, поставившего под вопрос возможность отказа африканского реестра, NRO решила охватить в ICP-2 весь жизненный цикл реестра. Обновленный документ определяет четыре стадии: признание, аудит, операции экстренной непрерывности и дерекогницию. Последние три – новые и закрепляют за ICANN роль независимого надзорного органа. Финальный документ рассчитывают подготовить к концу 2026 года.

Мошенники и «надежные» домены

Шион Ллойд, главный научный сотрудник ICANN по безопасности, сообщил, что домены «Категории 1» – относящиеся к регулируемым секторам (.bank, .doctor, .university) или требующие особых гарантий (.sucks) – чаще становятся мишенью злоупотреблений DNS: риск на 45% выше, чем у других доменов. При этом высокие объемы злоупотреблений у них менее вероятны. ICANN работает над политикой (PDP1), которая потребует от регистраторов дополнительных мер против владельцев доменов, способствующих злоупотреблениям, и над PDP2, регулирующей автоматическую регистрацию доменов.