來源 Icann 等

編譯 七君

你知道，你在輸入一個網(wǎng)站的網(wǎng)址的時候，不會打開奇怪的釣魚網(wǎng)站，是靠誰嗎？

其實，是靠一個每3個月就要召開一次的互聯(lián)網(wǎng)神秘儀式，以及七劍——7把密鑰。 

從2010年開始，每隔3個月，這個被叫做密鑰儀式（key ceremony），或者根區(qū)密鑰簽名密鑰儀式（Root Signing Ceremony）的神秘會議就會在美國東部或者西部召開一次。

而參加這個儀式的，是一些手持互聯(lián)網(wǎng)“鑰匙”的神秘人。

這些神秘人聚集起來，就可以取出七劍（7張智能卡），而這七劍就可以召喚出一把威力巨大的互聯(lián)網(wǎng)大劍——掌控者互聯(lián)網(wǎng)全網(wǎng)“號碼本”的主密鑰（master key）。

這把大劍，守衛(wèi)著互聯(lián)網(wǎng)的一個核心系統(tǒng)——DNS，也就是域名系統(tǒng)（具體來說，他們控制著域名系統(tǒng)安全擴展（DNSSEC））。

DNS 相當(dāng)于是互聯(lián)網(wǎng)的黃頁、號碼本或花名冊，里面記錄著不同網(wǎng)站的網(wǎng)址以及它對應(yīng)的 IP 地址，比如環(huán)球科學(xué)的網(wǎng)址 www.huanqiukexue.com 和它對應(yīng)的響應(yīng)IP 123.56.147.167。

當(dāng)你在瀏覽器里輸入網(wǎng)址時，就要靠 DNS 幫你查找正確的 IP，從而打開正確的網(wǎng)頁。如果沒有 DNS，那么想要訪問任何一個網(wǎng)址的話，就要背誦這個網(wǎng)址的IP，相當(dāng)麻煩。

那么，如果有壞人故意把網(wǎng)址對應(yīng)的 IP 地址亂改，導(dǎo)航到奇奇怪怪的釣魚網(wǎng)站上該怎么辦？

這就需要有可靠的方法來防止壞人篡改 DNS 系統(tǒng)了，這就是生成主密鑰的密鑰儀式誕生的原因。

主密鑰是一串代碼，叫做根區(qū)密鑰簽名密鑰（root key-signing key），用它可以訪問儲存著整個互聯(lián)網(wǎng)域名的數(shù)據(jù)庫，也就是全世界網(wǎng)址的“黃頁”——互聯(lián)網(wǎng)號碼分配局（Internet Assigned Numbers Authority，IANA）。

那么，互聯(lián)網(wǎng)號碼分配局是誰管的呢？

互聯(lián)網(wǎng)號碼分配局，歸一個比較大的非贏利組織管，它就是互聯(lián)網(wǎng)名稱與數(shù)字地址分配機構(gòu)（ICANN）。

ICANN 的副主席 Matt Larson 曾表示，“如果你拿到了主密鑰，你就可以產(chǎn)生你自己的根域，你就可以控制別人能夠訪問什么網(wǎng)站了?！?/p>

也就是說，如果你能集齊七劍，召喚出大劍，你就可以號林武林，唯你獨尊。所以這把主密鑰，基本上可以在互聯(lián)網(wǎng)兵器譜上排得上前三甲了。

這樣厲害的“武器”，交給誰恐怕都會讓別人不服。因此在2016年，美國政府將 DNS 數(shù)據(jù)庫，也就是互聯(lián)網(wǎng)號碼分配局的控制權(quán)轉(zhuǎn)讓給了 ICANN，讓它從名義上脫離了美國政府的控制。

可是，要是 ICANN 自己就是壞蛋怎么辦，怎么能相信它呢？

ICANN 是一個在美國的非盈利機構(gòu)，自稱不從屬于任何個人、政府或組織。

但是，還是有不少人對 ICANN 不太放心。因此，ICANN 有時會在自己的網(wǎng)站上直播這個儀式，向全世界的人證明他們真的有認(rèn)真在做哦。

我們來看看這個儀式的具體過程吧。

2014年的某一天，一些神秘人聚集到了美國加州洛杉磯西南部的埃爾塞貢多（El Segundo）的一棟普普通通的大樓里，這個地方離洛杉磯國際機場大概幾千米。他們將要召開密鑰儀式。

這些人來自全球各地，有瑞典人、俄國人、西班牙人、葡萄牙人。而這些密鑰持有者見面召開密鑰儀式，就是為了召喚大劍，從而確認(rèn)世界的網(wǎng)址“黃頁”——DNS 是真實的，沒有被壞蛋改過。

萬一哪天 DNS 系統(tǒng)崩塌了，也就是說互聯(lián)網(wǎng)的黃頁被人燒了，那么這些人還可以聚集起來，重建世界的 DNS 系統(tǒng)。

那么，互聯(lián)網(wǎng)密鑰持有者是怎么選出來的呢？

現(xiàn)在 ICANN 一共有21位密鑰持有者。其中的20位從第一場儀式開始就一直是 ICANN 的成員。

選擇密鑰持有者的過程也簡單到讓人吃驚。

ICANN 在網(wǎng)站上公布了一個招聘啟事，宣布一共招募21名密鑰持有者，結(jié)果有40個人報名。

最后被選中的互聯(lián)網(wǎng)密鑰“護法”都具有網(wǎng)絡(luò)安全的技術(shù)背景，并且為不同的國際機構(gòu)工作。找全世界各地的護法的目的就是為了讓權(quán)力分散，不讓個人、單個組織或國家控制大劍。

其中一位密鑰持有者就是來自中國互聯(lián)網(wǎng)信息中心（CNNIC）的姚健康。

參加2016年8月密鑰儀式的人。

圖片來源：ICANN

那個中途退出的密鑰持有者是誰呢？

這個人一點也不簡單，因為他是互聯(lián)網(wǎng)之父之一——文頓·瑟夫（Vint Cerf）。

瑟夫大爺已經(jīng)奔8了，不做互聯(lián)網(wǎng)護法后，他變成了教主——谷歌的首席互聯(lián)網(wǎng)傳教士（Chief Internet Evangelist）。(☉д⊙)

這21個密鑰持有者被分為兩波，14個是主要密鑰持有者，他們每個人手里有一把傳統(tǒng)的物理鑰匙，可以打開一個保險箱，保險箱里就藏著智能卡，用這些智能卡可以啟動一臺能產(chǎn)生主密鑰的機器，也就是召喚大劍。所以下文就叫他們護法。

14個是主要密鑰持有者各有一把傳統(tǒng)的物理鑰匙，可以打開一個保險箱，保險箱里有一張智能卡，用這些智能卡可以啟動一臺能產(chǎn)生主密鑰的機器。

@Laurence Mathieu /  the Guardian

其余的人是后備密鑰持有者。他們每人也有一張智能卡，每張智能卡里有一部分代碼，這些人的代碼合起來，就可以建造一個備用密鑰生成器（replacement key-generating machine）。

每年，這些后備的影武士都要拍一張自己和當(dāng)天報紙的合影，然后發(fā)給 ICANN，證明我還活著，人在卡在。

儀式就在這個數(shù)據(jù)中心進行。

進入這個地方要經(jīng)歷層層安檢，和007電影差不多。

儀式開始時，大家先要通過一扇安全門，這扇門需要一個密碼、一張智能卡，還有手部的生物識別才能打開。

進去以后，就來到了一個“老鼠籠”里。在這個老鼠籠里，每次只有一扇門能打開。

這個老鼠籠的出口需要另外一套智能卡、手印，還有密碼才能開啟。

進入儀式的房間更加復(fù)雜，每次只能進入幾個。ICANN 的高級項目經(jīng)理Richard Lamb 掃描了虹膜以后，讓所有人進入會場所在的房間。

Richard Lamb

參與儀式的，除了護法，還有一些見證者，他們是整個儀式的目擊證人。這些目擊者中，一些也是安全專家，一些則是外行，比如來自會計審計公司普華永道的審計員。

進去以后，就會給大家一份儀式流程，里面記錄著儀式包含的一百多個程序。整個儀式過程還會被錄影，有時會在 ICANN 網(wǎng)站上直播。

儀式的細(xì)節(jié)當(dāng)然需要嚴(yán)格保密，因此儀式會場上沒有任何電子信號能夠自由出入。保安、清潔工以及閑雜人等都無法進入儀式會場。

所以，儀式會場是護法親自打掃的。這次，來自瑞典的護法 Anne-Marie Eklund L?winder 就在儀式前一天客串了清潔工，給這里吸塵。

會場有點像醫(yī)院的候診大廳，里面有2排金屬凳子，中間一個桌子。會場里還放著一些攝像機，它們負(fù)責(zé)拍攝會議內(nèi)容。

房間的一邊還有一個2.4米*2.4米的安?；\子，安?；\子里是2個保險箱。保險箱里存放著智能卡，用智能卡就可以啟動產(chǎn)生主密鑰的機器。

這次的儀式主持人是 ICANN 的技術(shù)主管 Francisco Arias。

首先，Arias 和4位護法（儀式需要至少3位護法參加）進入安?；\子，去取放在保險箱里的智能卡。

智能卡放在一個安保袋子里。

這次與會的護法是來自葡萄牙的 Jo?o Damas，為一家安全分析公司工作的美國人 Edward Lewis，還有為拉美和加勒比海提供互聯(lián)網(wǎng)注冊服務(wù)的公司 Lacnic 工作的烏拉圭人 Carlos Martinez。

看起來非常穩(wěn)的密鑰儀式，其實也不乏人為的意外。

比如在這次儀式上，有一個人重重地摔了一下安?；\子的安全門，觸發(fā)了地震監(jiān)測儀，導(dǎo)致安全門自動關(guān)閉。（真的不是故意的嗎？(???з??)）

儀式主持人和護法們?nèi)勘绘i在了放智能卡的安?；\子里面…

手忙腳亂了6分鐘后，他們想到了解決方法：觸發(fā)警報器，用緊急撤離的方式離開安?；\。

所以，警報呼啦啦地響起，大家被疏散到了走廊里。

到了晚上10點零9分，大家回到了會場。產(chǎn)生主密鑰的機器已經(jīng)準(zhǔn)備好了，插入智能卡后，它將會產(chǎn)生一長串加密的密碼，也就是主密鑰——大劍。

產(chǎn)生主密碼的機器

如果這個機器掉到地上，或者被重重地 kao 了一拳，那么它就會啟動自毀程序。

現(xiàn)在所有的重要設(shè)備都已經(jīng)從保險箱里拿了出來，可以進入儀式的第二步：密鑰簽名（key signing）了。

晚上10點48分，一個灰色的盒子被啟動，護法們把各自的智能卡插入主密碼生成機器。

10點59分，來自美國的安全專家 Alejandro Bolivar 開始念一串聽起來很荒謬的亂碼“平足擔(dān)保造磚場…”，這是為了讓見證人確認(rèn)一遍。

見證人確認(rèn)了這些古怪的代碼后，簽了字。

晚上11點零2分，在一行代碼被輸入電腦后，新的經(jīng)過簽名的主密鑰——大劍就生成了。

接下來大家花了20分鐘把該拔的拔掉，該關(guān)的關(guān)掉，然后把一個存有主密鑰的 USB 交給 ICANN 的工程師 Tomofumi Okubo。

Okubo 會把里面的主密鑰發(fā)送給 Verisign。Verisign 管理著 DNS 的“根區(qū)域”（root zone），上面提到的護法 Alejandro Bolivar 就為這家公司工作。它將會告訴那些控制.com啊，.net啊的服務(wù)器應(yīng)該怎么處理你輸入的網(wǎng)址。

使用3個月后，這個主密鑰就會失效，儀式就要重來一次。

接下來，四個護法又回到了剛才那個把他們關(guān)住的安全籠子里，把智能卡放回去。儀式就結(jié)束了，大家可以出去 happy了。

看完這個和想象有點不同的密鑰儀式，還是讓人有點擔(dān)心 DNS 的安全。

好在，互聯(lián)網(wǎng)本身并不屬于任何一個人、機構(gòu)或政府。

ICANN 在官網(wǎng)上表示，互聯(lián)網(wǎng)包含許多不同的系統(tǒng)，而 DNS 只是其中之一?？刂屏?nbsp;DNS 絕對無法完全控制互聯(lián)網(wǎng)的其他方面。

這就好比，倚天劍屠龍刀雖然可以制霸武林，但是武林并不屬于任何一個人，武林盟主也不行。

此外，ICANN 只是確?；ヂ?lián)網(wǎng)安全的一環(huán)，還有許多組織也承擔(dān)著保衛(wèi)互聯(lián)網(wǎng)的職責(zé)，比如互聯(lián)網(wǎng)工程任務(wù)組（the Internet Engineering Task Force），還有萬維網(wǎng)聯(lián)盟（World Wide Web Consortium）。

對了，萬維網(wǎng)聯(lián)盟就是萬維網(wǎng)之父——英國計算機科學(xué)家蒂姆·伯納斯-李（Tim Berners-Lee）本人掌管的。這些組織為互聯(lián)網(wǎng)制定了各種標(biāo)準(zhǔn)，比如網(wǎng)絡(luò)傳輸協(xié)議（protocols）。

蒂姆·伯納斯-李

有些小朋友還是不甘心地想知道，萬一有人把所有護法都干掉，會怎樣呢？

Lamb 在 ICANN 于2010年6月公布的視頻中說，萬一護法們都出了意外，不能到場，還是可以把密碼箱鉆開的。沒想到吧。