От Karev1
К Pokrovsky~stanislav
Дата 29.05.2008 13:43:52
Рубрики Архаизация;

Вопрос к специалистам

>Обрушение американской экономики и государственности - уже осязаемо. Альтернативы зависящей от нее сети Интернета - не существует.
При исчезновении США (ну например, обесточивание, всей страны или, хотя бы отключение в ней всей телефонной сети) Интернет исчезнет? Я тут дилетант, интересно просто.
От Р.К.
К Karev1 (29.05.2008 13:43:52)
Дата 06.06.2008 11:26:13

Нет, Интернет никуда не исчезнет

базовые принципы Интернет разрабатывались американским оборонным агенством (DARPA), идея исследований была в построении децентрализованной сети, способной максимально сохранить работоспособность после того как американцы и ссср начнут взаимно перекидываться ядрёными бомбами

Технически с исчезновением США пропадёт глобальная связность, т.е. попытки по имени сайта зайти куда-то за бугор скорее всего будут безспешными (
http://ru.wikipedia.org/wiki/%D0%9A%D0%BE%D1%80%D0%BD%D0%B5%D0%B2%D1%8B%D0%B5_%D1%81%D0%B5%D1%80%D0%B2%D0%B5%D1%80%D1%8B_DNS ). Однако эта проблема не принципиальна, совершенно несопоставимая с масштабом отрасли. Корневые DNS сервера можно и в Европе развернуть, не вопрос.

Скорость связи упадёт (будут "заторы"). Грубо говоря сейчас Вы заходите на немецкий сайт, но пакетики между вашим компьютером и им идут через штаты - такая ситуация запросто может иметь место.

Ну и, разумеется, очень большая доля ресурсов и контента (извиняюсь за выражение) пропадёт.

От Р.К.
К Р.К. (06.06.2008 11:26:13)
Дата 06.06.2008 12:22:32

ещё по поводу DNS серверов и смерти Интернета

Ниже запостил пару популярных статей на эту тему.

Стоит отметить, что служба DNS не является жизненно необходимой для работы в сети.
Вы пытаетесь зайти на rapidshare.de. DNS запрос (какой реальный адрес у этого сайта, начинает перемещаться по иерархии DNS серверов). Даже если ни один из них (в отсутствии американского корневого DNS сервера) не сохранил в кэше адрес rapidshare.de, никто не мешает Вам зайти туда по ip-адресу. В случае чего добрые люди быстро выложат справочники.
А на самом деле даже и до этого не дойдёт - будут использоваться закэшированные данные.

http://hostinfo.ru/articles/71

От чего зависит «здоровье» DNS-сервера

"В иерархической структуре Интернета сервера DNS можно назвать нервными узлами, от «здоровья» которых зависит существование Сети. Что же может угрожать их «здоровью»? Какие события могут вывести сервер DNS из строя? Поиск ответов на эти вопросы надо начинать с выяснения, какие задачи выполняют DNS-сервера. Если не вдаваться в технические тонкости, то можно дать следующий ответ: основной задачей DNS-сервера является трансляция доменных имен в IP-адреса и обратно. А это означает, что сервера должны получать запросы, обрабатывать их и отсылать ответы. На серверах должна храниться информация о поддерживаемых ими сетевых адресах, они должны обмениваться запросами с серверами более высокого уровня, если не в состоянии дать ответ на запрос самостоятельно. Пожалуй, этого достаточно, чтобы говорить о том, какие опасности могут угрожать серверам.


От надежности DNS-сервера зависит работоспособность участка Сети, поддерживаемого имОпасность первая — вирусные атаки. Проникновение вируса на DNS-сервер может привести к различным последствиям: это и утечка информации, и ее уничтожение, и выведение из строя программного обеспечения, и просто блокировка сервера вследствие невозможности обработать все поступающие запросы из-за превышения их количества по отношению к его пропускной способности. Ярким примером последнего варианта может служить атака на корневые DNS-сервера, предпринятая в октябре 2002 года. В результате ее были парализованы 7 из 13 корневых серверов, а работоспособность Сети оказалась под угрозой.

Случившаяся атака имела форму наводнения данными: 13 серверов, содержащих информацию об именах доменов верхнего уровня — таких, как .com, .org и .uk, оказались наводнены пакетами протокола управления интернет-сообщениями (ICMP). Пакеты ICMP переносят данные сообщений об ошибках или контроля целостности сети, как, например, это делают общеупотребляемые пакеты ping. Поток таких данных может заблокировать доступ к серверам, переполнив узкие места сетевой инфраструктуры, что мешает нормальным данным достигать места назначения. После отражения этой атаки эксперты заявили, что если бы эта атака продолжалась более 10 часов, то пользователи Сети почувствовали бы существенное замедление ее реакции, а затем и остановку обработки запросов (однако в RFC-2010 сказано совершенно иначе, а именно: "система доменных имен, как доказывает практика, является настолько надежной, что мы уверены в том, что отключение (по крайней мере временное) большинства корневых серверов не должно заметно сказаться на работе Интернета").




Почему атака на корневые сервера может иметь столь тяжелые последствия? Все связано с иерархической структурой серверов имен. Первоначальный запрос пользователя попадает на локальный сервер. Если запрашиваемый домен на нем не найден, запрос отправляется дальше, на сервер имен более высокого уровня. До корневых серверов запросы доходят, как правило, в тех случаях, когда в Сети появляются новые сервера имен. Кроме того, каждая запись на серверах DNS имеет ограниченный период жизни (TTL), по истечении которого она удаляется, и потому DNS-сервер вынужден будет обращаться за обновленной информацией к серверу домена более высокого уровня. Поскольку добавление серверов происходит ежедневно, то информация на остальных серверах быстро устаревает. Поэтому если корневые сервера будут выведены из строя, то какое-то время Интернет еще будет работать, пока не устареют данные на локальных серверах DNS, но потом может наступить коллапс.


О пределе устойчивости DNS-серверов очень конкретно говорится в уже упоминавшемся RFC-2010: "В любой момент каждый сервер обязан быть способен обработать поток запросов на данные из корневой зоны, который втрое превышает зафиксированный пиковый поток таких запросов на наиболее загруженном сервере при текущих нормальных условиях. Обычно эта величина выражается в запросах в секунду. Это требование обеспечивает непрерывную работу службы корневых имен даже в случае, когда две трети всех серверов будут отключены намеренно, или в результате несчастного случая либо по злому умыслу".




Опасность вторая — появление в Сети ложных DNS-серверов. Это явление — плод действий злоумышленников. Цели их могут быть разными, но суть одна — заставить реальный сервер работать неправильно или заблокировать его. При этой атаке нападению подвергаются не только DNS-сервера, но и конечные пользователи. Если злоумышленнику удастся сделать так, чтобы атакуемый хост получил из DNS сфальсифицированную информацию, то хост будет отправлять данные на подложный IP-адрес. Какие это может вызвать последствия? В лучшем случае — конечный пользователь просто не будет обслуживаться. В худшем — появится возможность получения с хоста конфиденциальной информации вследствие перехвата его трафика.



Резолвер (разрешитель) — клиент системы DNS, который с помощью DNS протоколов ищет информацию, содержащуюся в зонеВарианты атак от ложных серверов бывают разными. Одни из них основаны на ожидании поискового DNS-запроса. Клиентская часть DNS называется резолвером (resolver), доступ к которому прикладные программы получают через API операционной системы. При взаимодействии резолвера с сервером в качестве транспортного протокола используется UDP, не предусматривающий формирования виртуального канала и средств идентификации сообщений. Запросы, генерируемые резолвером, являются рекурсивными, то есть в качестве ответа на такой запрос возвращается либо искомая информация, либо сообщение об ее отсутствии. Для реализации атаки путем перехвата DNS-запроса атакующему необходимо перехватить его, извлечь из него номер UDP-порта отправителя запроса, двухбайтовое значение идентификатора DNS-запроса и искомое имя и затем послать ложный DNS-ответ на порт UDP, в котором указать в вместо требуемого IP-адреса адрес ложного DNS-сервера. Необходимым условием осуществления данного варианта атаки является перехват DNS — запроса. Это возможно только в том случае, если атакующий находится либо на пути основного трафика либо в сегменте настоящего DNS-сервера.

Другой вариант осуществления удаленной атаки основан на ее второй разновидности. При этом варианте атака осуществляется за счет постоянной передачи на атакуемый хост ложного DNS-ответа от имени настоящего сервера имен, но без предварительного приема запроса. Иначе говоря, атакующий создает в сети Интернет направленную лавину ложных DNS-ответов. Разновидностью этой атаки является атака уже не на хост, а на сам DNS-сервер. Это возможно в связи с тем, что при отсутствии информации о каком-либо адресе в своей базе данных сервер имен отправляет запрос «вышестоящему» серверу и ожидает ответ. Этим и пользуются при организации атаки. Ложные DNS-ответы будут направляться атакующим от имени корневого DNS-сервера на атакуемый DNS-сервер.




Можно ли защититься от удаленных атак? Конечно, абсолютной защиты пока не существует, но уменьшить возможные последствия от атак можно. Один из вариантов защиты DNS-серверов состоит в реализации обеспечения аутентификации и целостности информации, содержащейся в DNS. Для решения этой проблемы в масштабе Интернета в систему DNS вводятся расширения, называемые DNSSEC и описанные в RFC-2535, а также в RFC-2536, 2537, 2541, 3008. Основная идея DNSSEC состоит в использовании асимметричного шифрования для присоединения цифровой подписи к передаваемым данным. Для этого IETF создала рабочую группу DNSSEC Working Group. Использование DNSSEC не требует от получателя знания секретного ключа, что позволяет обойти неразрешимую задачу распространения секретного ключа по всем возможным DNS-серверам глобальной сети и решить проблему обеспечения достоверности передачи DNS-данных в масштабе Интернета. Платой за это является существенное (в несколько раз) увеличение базы данных каждой зоны и повышенные требования к процессорной мощности DNS-серверов, которая требуется для выполнения операций асимметричного шифрования и дешифрации.


Другой вариант защиты — использование специальных программно-аппаратных средств. К ним относятся:

программно-аппаратные шифраторы сетевого трафика;
методика Firewall, реализуемая на базе программно-аппаратных средств;
защищенные сетевые криптопротоколы;
программные средства обнаружения атак (IDS — Intrusion Detection Systems);
программные средства анализа защищенности;
защищенные сетевые ОС.

Программно-аппаратные средства позволяют в достаточной степени защитить сервера от внешних атак. Использование методики Firewall обеспечивает решение таких вопросов, как фильтрация сетевого трафика, создание приватных сетей с виртуальными IP-адресами, создание специальных proxy-схем с дополнительной идентификацией и аутентификацией пользователей. К программным средствам в первую очередь относится использование защищенных криптопротоколов, с применением которых появляется возможность надежной защиты соединения. Следует ли использовать такие средства, и какие именно — решается в каждом случае индивидуально, но ясно одно: если вы хотите устойчивой работы вашего сервера или вашей сети, защищать их необходимо.


"




http://security.compulenta.ru/34876/
Крупнейшая атака на корневые DNS-серверы [за всю историю интернета]
"23 октября 2002 года, 14:30
Текст: Иван Карташев
Американские спецслужбы сообщили о самой серьезной атаке на корневые DNS-серверы за всю историю интернета. По информации Центра защиты национальной инфраструктуры ФБР США, во время атаки семь из тринадцати серверов, управляющих главными магистралями интернета, перестали отвечать на запросы пользователей, работа еще двух серверов время от времени прерывалась.

Атака была предпринята в понедельник 21 октября, примерно в 16:45 по времени восточного побережья США (0:45 вторника 22 октября по московскому времени). На корневые серверы было отправлено огромное количество неправильных запросов. В результате, нагрузка на серверы в 30-40 раз превысила обычную. Серьезных перебоев в работе Сети не произошло лишь из-за небольшой продолжительности атаки - она длилась всего один час. Стабильности работы интернета способствовало и то, что многие провайдеры кэшируют данные из других сегментов Сети для ускорения доступа к ним. Однако в случае более продолжительной атаки или выхода из строя большего числа корневых серверов, нормальная работа интернета могла бы быть нарушена.

По информации агентства Reuters, в число наиболее сильно пострадавших от атаки root-серверов вошли компьютеры, установленные в Информационном центре министерства обороны США в городе Вена, штат Виржиния, Исследовательском центре вооруженных сил США в Абердине, штат Мэриленд, штаб-квартире ICANN в Лос-Анджелесе, Калифорния и другие. За пределами США были выведены из строя корневые серверы в Токио и Стокгольме. Источник атаки до сих пор неизвестен. ФБР, Служба внутренней безопасности и администрация президента США в настоящее время заняты расследованием обстоятельств чрезвычайного происшествия.

"
От K
К Karev1 (29.05.2008 13:43:52)
Дата 01.06.2008 10:17:41

Re: Вопрос к...

> При исчезновении США (ну например, обесточивание, всей страны или,
> хотя бы отключение в ней всей телефонной сети) Интернет исчезнет? Я
> тут дилетант, интересно просто.

У нас внутри страны не исчезнет (хоят временно, наеверняка, будут
проблемы), но на германский или на китайский сайт уже не попадете
От Almar
К Karev1 (29.05.2008 13:43:52)
Дата 29.05.2008 15:26:05

Re: Вопрос к...

>>Обрушение американской экономики и государственности - уже осязаемо. Альтернативы зависящей от нее сети Интернета - не существует.
>При исчезновении США (ну например, обесточивание, всей страны или, хотя бы отключение в ней всей телефонной сети) Интернет исчезнет? Я тут дилетант, интересно просто.

могу вам сказать отвественно, как специалист, при дальнейшем нагнетании антиворанжевой истерии (чем исправно занимается тут ряд учасников карамурзистов ) интернет (как поставщик независимой информации) в России точно исчезнет. Ибо уже сейчас у правительства есть планы обязать всех поголовно российских провайдеров блокировать доступ к тем сайтам (неважно российским или зарубежным), на которые это правителсьтво им укажет.
От Р.К.
К Almar (29.05.2008 15:26:05)
Дата 29.05.2008 16:18:32

Такого рода заявления прекрасно выявляют, что вы за "специалист"

>могу вам сказать отвественно, как специалист, при дальнейшем нагнетании антиворанжевой истерии (чем исправно занимается тут ряд учасников карамурзистов ) интернет (как поставщик независимой информации) в России точно исчезнет. Ибо уже сейчас у правительства есть планы обязать всех поголовно российских провайдеров блокировать доступ к тем сайтам (неважно российским или зарубежным), на которые это правителсьтво им укажет.

Угу, Кара-Мурза, как угроза российскому Интернету.

Ну и нельзя не добавить, что это ваше заявление к ветке Pokrovsky~stanislav отношения не имеет, и только её замусоривает.
От Almar
К Р.К. (29.05.2008 16:18:32)
Дата 29.05.2008 17:14:21

а оно вам надо - выявлять то?

>Угу, Кара-Мурза, как угроза российскому Интернету.

угукайте сколько хотите, соску вам всё равно никто не даст

>Ну и нельзя не добавить,

в смысле "настучать"

>что это ваше заявление к ветке Pokrovsky~stanislav отношения не имеет,

как же не имеет? У него про конец Интернет и у меня про конец интернет.

>и только её замусоривает.

возможно ли её замусорить?