Журнал "Information Security/ Информационная безопасность" #4, 2021

Так как emerDNS не поддерживается сетью ICANN, штатное разрешение запросов к соответствующим доменам невозможно. Для доступов к доменным зонам emerDNS требуется установить собственный DNS Resolver, являющийся "точкой сопряжения" между классиче- ским DNS от ICANN и emerDNS. Но так как любой узел сети Emer может высту- пать в качестве DNS-сервера стандарта rfc1035, то настроить точку сопряжения несложно с помощью любой программы кеширования DNS 5 . emerSSL Еще одна острая проблема современ- ного Интернета – безопасная аутенти- фикация. Системы на базе паролей весьма уязвимы, и мы постоянно наблю- даем базы паролей, украденные у сай- тов-разгильдяев, а также взлом учетных записей методом подбора паролей. Попытки заставить людей придумывать сложные пароли приводят к тому, что приходится такие пароли записывать на бумагу. Этот способ хранения паролей высмеивали 7 еще в 90-е, но он в настоя- щее время оказывается одним из наи- лучших. И не потому, что он стал лучше, а потому, что альтернативные способы становятся хуже. И менеджеры паролей тоже не особо помогают, так как в них постоянно обнаруживают уязвимости 6 . Системы 2FA в текущем исполнении не повышают, а драматически снижают безопасность, так как делегируют без- опасность учетной записи слабо защи- щенной недоверенной телефонной сети. В этом случае злоумышленнику доста- точно методами социальной инженерии или атакой на SS7 перехватить SMS, и он может "восстановить забытый пароль", тем самым похитив доступ к учетной записи жертвы. И снова видим тот же корень проблем – делегирование доверия во внешнюю сеть или менед- жерам паролей. EmerSSL 8 также построен на принципе "верю только себе", то есть не делегирует доверие сторонним агентам. Здесь поль- зователь локально генерирует SSL-сер- тификат и размещает его хеш в NVS, откуда его могут извлечь сайты при аутентификации (снова отправив запро- су в свою локальную копию). Так как, в отличие от пароля, SSL-сертификат не является секретом, его хищение бес- полезно, а секретный ключ от сертифи- ката никогда не покидает устройство пользователя. В качестве уникального "имени файла" NVS для сертификата используется его Serial. Уникальность гарантируется консенсусом блокчейна, и "файл" с соответствующим Serial может быть только один на всю сеть, а права на изменения принадлежат только хозяи- ну "файла". В случае компрометации SSL-сертификата пользователь также может быстро сгенерировать новый на замену и в локальном кошельке обно- вить хеш сертификата в NVS, при этом вся сеть начнет принимать новый серти- фикат вместо старого. Таким образом, вместо горы паролей пользователь полу- чает универсальный сертификат-везде- ход, которым он может авторизоваться на любом числе серверов сети без сни- жения безопасности. Для компании emerSSL является пре- красной альтернативой SSO, где вместо SSO выступает публичный блокчейн Emer. Очень упрощается и привлечение новых пользователей. Ведь не секрет, что создание новой учетной записи на вашем сайте – это пусть и небольшие, но трудозатраты пользователя (приду- мать пароль, подтвердить e-mail, теле- фон), колеблющиеся потенциальные пользователи просто уходят. А если учетка создается по сертификату, нажа- тием одной кнопки – пользователи более охотно будут регистрироваться, и впо- следствии им намного удобнее будет авторизоваться нажатием одной кнопки на сайте, когда всю работу сделает emerSSL. Более того, если emerSSL сравнивать с SSO, то можно заметить, что SSO – это система уровня корпорации, и имен- но корпорация несет расходы на обслу- живание, тогда как emerSSL – децент- рализованный аналог SSO всемирного масштаба и отдельного обслуживания этой системы не требуется. Таким обра- зом, кроме повышения безопасности и удобства, снижается цена обслужива- ния ИТ-инфраструктуры компании. emerSSH Третья проблема безопасного управ- ления сетями – поддержка списков конт- роля доступа (ACL) в актуальном состоя- нии. В сети большой корпорации неред- ки случаи, когда доступ к учетной записи блокировался по ошибке или же после увольнения человека оставался откры- тым, чем пользовался расстроенный бывший работник, совершая неблаго- видные действия в отношении "обидев- шего" его работодателя. В настоящее время компании приме- няют централизованные системы управ- ления доступом, такие как LDAP или Puppet. Эти системы масштаба пред- приятия хорошо работают на своем уровне (уровне предприятия), но уже плохо применимы в современном мире, где какие-то элементы ИТ-инфраструк- туры делегируются внешним компаниям (облачные хранилища, бухгалтерия, аудит и т.п.). Проблема таких систем – присутствие в них "админа в режиме бога", то есть главного администратора, который управляет списками контроля доступа. Предполагается, что этот админ полностью лоялен компании и никогда не будет вредить, ошибаться или баналь- но задерживать распоряжения адми- нистрации по обновлению ACL. Кроме того, системы уровня предприятия не могут использовать другие ACL из сто- ронних систем подобного назначения. Таким образом, весьма сложно обслу- живать ситуацию, когда вы разрешаете доступ к некоему ресурсу на основе ACL, управляемому внешней компанией. А ведь в современном мире, когда на аутсорс отдается все больше и больше ИТ-деятельности, такая ситуация стано- вится типичной. Например, если под- держка сайта передается сторонней ком- пании, то было бы неплохо, чтобы имен- но та сторонняя компания управляла списком своих сотрудников, входящих в группу, имеющую к вам доступ. Система emerSSH 9 как раз и решает эту проблему. EmerSSH представляет собою децентрализованную систему ACL, где все списки хранятся в NVS и могут ссылаться друг на друга. Так как система NVS всемирная, то вы в свой список можете включить ссылку на любой другой ACL, который находится в NVS. Применение такой системы приводит к "локализации ответственности". Иными словами, участники-пользователи вносят в NVS свои актуальные публичные ключи ssh (или другие якоря аутентификации, например Serial от emerSSL). При необхо- димости участник может сгенерировать новый ключ или сертификат, а также обновить свою NVS-запись в emerSSH. Его начальник поддерживает ACL- запись, которая перечисляет участников данной группы. И наконец, внешняя организация может включить ACL этой группы в свой ACL для доступа к своему сайту. В случае компрометации ключа участника он просто генерирует новый ключ, публикует его в NVS и уже по новому ключу получает доступ туда, куда имел и ранее, причем ему не надо уведомлять своего начальника или адми- на компании-клиента. Все обновления происходят автоматически. При этом каждый участник управляет своим локальным ключом или ACL, а блокчейн объединяет это в инфраструктуру пуб- личных ключей (PKI) всемирного мас- штаба. l • 37 КРИПТОГРАФИЯ www.itsec.ru 5 https://emercoin.com/en/documentation/blockchain-services/emerdns/emerdns-introduction/ 6 https://xakep.ru/2014/09/08/password-manager-pentest/ 7 https://ru.wikipedia.org/wiki/Хакеры_(ф ильм) 8 https://habr.com/ru/post/257605/ https://testnet.emercoin.com/block/c23c682d15ea0bf8eef0767084a4c66988c658e203f378c38e07eaf8e6c3ae39 9 https://cryptor.net/kriptovalyuty/pod-kapotom-emercoin-chast-3-emcssh-infrastruktura-publichnyh-klyuchey-vsemirnogo Ваше мнение и вопросы присылайте по адресу is@groteck.ru