La seguridad de Internet depende de siete llaves maestras custodiadas por 14 personas

Hace unas semanas supimos que las llaves de acceso a los ordenadores que controlan el DNS dejaron de estar en poder de Estados Unidos, y que pasaron a ser controladas única y exclusivamente por la ICANN. Por lo tanto el ICANN es organismo que protege Internet, y como si de una película de espías se tratase, lo hace con 7 llaves de acceso a su ordenador principal que reparte entre 14 personas. Los auténticos guardianes de la red de redes.

[#15 ElPerroDeLosCinco]

Supongo que la llave va aquí:

[#7 GoDie]

sera los nombres de dominio... internet no son solo los nombres y funciona perfectamente sin ellos.

[#16 Res_cogitans]

Como bien apunta #7, internet no quedaría comprometida si cayesen todos los servidores DNS raíces. Los servidores DNS solo establecen una correspondencia entre nombres de dominio, como meneame.net, con direcciones IP. Si caen todos los DNS raíces, los DNS de segundo nivel no podrán actualizar adecuadamente los cambios en estas correspondencias, pero los distintos proveedores de internet no tardarían mucho tiempo en crear un sistema paralelo conectando sus servidores DNS entre sí y acordando una nueva jerarquía. Además, muchos servicios de internet no requieren resolución de nombres, así que el uso directo de las direcciones IP no se vería afectado por semejante caída.

[#27 Desactivado]

#7 Hombre, perfectamente lo que se dice perfectamente no. Si todo lo que depende de resolver un dominio nuevo o que hayan actualizado peta, la cosa tendría tela. Hasta que lo arreglasen como propone #16 no funcionaría nada que no estuviese cacheado.

[#9 Desactivado]

Hay que ir a por las 7 llaves, para luego invocar al Dragón Shenron y que me conceda mi deseo, la paz en el mundo porno ilimitado.

[#10 Tartesos]

"7 llaves de acceso a su ordenador principal que reparte entre 14 personas"

Eso toca a media llave por cabeza, y no hay que ser astrofísico para calcularlo. Y con media llave que harán cada uno? abrir media puerta? o abrirla a medias? y por que no darle una llave entera a esos tipos?

Para ser algo tan importante me parecen unas medidas de seguridad poco prácticas, que alguien tenía que decirlo.

[#11 Saitama]

#10 con media llave abren pues un catorceavo de puerta.

[#18 Cancerbero]

#11 pero si no dicen la palabra "amigo" en elfico no se abre

[#20 Ano_Torrojo]

#10 Ante tanto dramatismo apocalíptico de buena mañana de domingo alguien tenía que aportar sentido común.
Cómo me he reído... 😂

[#24 nowherelse]

#10 En el supuesto de que nunca has leido nada sobre distribución de claves:

https://en.wikipedia.org/wiki/Secret_sharing

[#34 ann_pe]

#31 #32 Si se juntan varias cosas como que no se use Certificate Pinning (o no sirva porque no esté en las listas blancas ni el usuario haya entrado antes (Trust On First Use)), y el atacante tenga acceso a un certificado de CA aceptado por los navegadores para generar un certificado falso que se traguen, puede tener éxito.

El sistema se basa en una confianza total y aboluta en las Entidades Certificadoras (generalmente empresas que cobran desde 12€ al año por cada certificado SSL, pero también gobiernos, etc. Y experimentos como Edellroot o Superfish, o algunas antiguas comprometidas que pueda tener un navegador/sistema no actualizado), y aunque han ido saliendo extras para aumentar la seguridad no siempre se usan.

http://www.potaroo.net/presentations/2016-02-23-why-dane.pdf#page=10

[#14 sasander]

Keeper/s of the seven keys Helloween, 23 de mayo de 1987

[#6 pusilanime_hedonista]

Por lo demás, recomendaría a los de xataka que amplien su vocabulario, "key" se traduce por clave además de por llave.

[#12 Desactivado]

Eso es que no habéis visto la llave:

[#13 ColaKO]

Son los elders of the Internet Y custodian una caja con un botón rojo.

[#19 Desactivado]

Que alguien me corrija, pero cualquier ordenador que tuviera instalado un servidor DNS y tenga en su caché las direcciones de twitter, facebook, etc. no habría tenido ningún problema en acceder a esas páginas durante el ataque ¿no?
¿No es una solución viable descentralizar el sistema DNS, al menos en parte, haciendo que la mayoría de ordenadores tengan un servidor de este tipo?

[#21 Res_cogitans]

#19 Así es, todos los servidores DNS podrían seguir funcionando. El problema aparece cuando cambian esas correspondencias entre nombres y direcciones IP. ¿Adónde vamos a buscar las correspondencias más recientes que sean fiable? Alguien malintencionado podría hacer que su DNS ligara un nombre de un sitio web famoso con un ordenador bajo su control para ganar tráfico o cosas peores. Por tanto, se requiere un acuerdo sobre los servidores DNS de referencia y que estos cumplan medidas de seguridad y transparencia que los haga fiables a nivel mundial. Actualmente esos son los DNS raíces que están bajo control de la ICANN.

[#22 Desactivado]

#21 Gracias, buena respuesta

[#23 warholx]

#21 y sin contar los ttl de las zonas, que caducan.

[#25 musg0]

#23 #21 el ttl de Twitter es de 30 minutos, así que o en el dns local configuras para no hacer caso de los ttls (lo cual puede dar problemas si actualizan las IPs), o en media hora tienes que volver a pedir la IP a Twitter.
Sus razones tendrán para tenerlo tan bajo, pero si lo hubiesen tenido a unas cuantas horas o incluso 1 día hubieran minimizado el problema porque cualquier dns que no fuera de dyndns hubiera resuelto la dirección correctamente al tenerla en caché

[#31 Ryouga_Ibiki]

#21 Podría redirigir a otro sitio pero si es htpps con certificado firmado el navegador daría un aviso de sitio fraudulento no?

[#32 Res_cogitans]

#31 Sí, así es.

[#30 carloscoucho]

#19 Lo que te explican abajo, más o menos, que las bases de datos de nombres DNS tienen que estar centralizadas, si no, eso es incontrolable

[#2 Desactivado]

tendrian que empezar a fabricar kits para fabricarse su propio internet la gente

[#3 smilo]

#2 ya existe, tarjeta de red y cables

[#4 nowherelse]

#2 https://zeronet.io/

[#8 fran77]

Y una llave para controlarlas a todas

[#29 carloscoucho]

#8 Más bien las 7 cabezas de la bestia de 10 cuernos del Apocalipsis. Su número es 666, aquí un artículo de la relación del 666 con www. elfiloloco.blogspot.com.es/2008/01/el-666-y-su-identificacin-con-internet.html?m=1

[#17 atatat]

Superagente 86

[#1 nowherelse]

El procedimiento de renovación de claves es toda una ceremonia.

[#26 FrutopiA_Youtube]

Curioso cuanto menos.

[#5 pusilanime_hedonista]

> la retransmite por streaminga todo el mundo

Uy qué pr0n

[#28 murillhou_1]

Creo que definir la seguridad en Internet (entendida como confidencialidad, integridad y disponibilidad de los servicios que dependen de esta red) como únicamente dependiente de la seguridad en la traducción de nombres de dominio a direcciones de red es un poco simplista aún cuando este no deja de ser un servicio básico hoy en día.

[#33 Rosmarinus]

#28 seguramente sin ese simplismo la noticia no llamaría tanto la atención, efectivamente la seguridad es algo más que los nombres de dominio.