Flag Day для ДНС. Почему интернет-протокол грозит госструктурам

1 февраля Интернет ждет DNS Flag Day - глобальное обновление протокола системы доменных имен. Это не апокалипсис, но несколько десятков миллионов рублей «уйти в никуда» могут. А «висеть» останутся сайты госструктур.

Работа ряда интернет-ресурсов может быть нарушена после 1 февраля. В этот день, который ещё называют DNS Flag Day, прекратится поддержка устаревшей системы доменных имён и серверов. «Фонтанка» поняла, что первыми под удар потенциально попадают сайты госструктур. Потому что остальные уже подготовились.

Что за зверь

Система доменных имён (DNS) – это механизм, позволяющий переводить IP-адреса, состоящие из «многоцифр», в «человеческие имена» сайтов, которые может запомнить пользователь. Первая версия протокола DNS была разработана в 1983-1987 годах, в 1999 году был небольшой апгрейд. С тех пор утекло много воды, и серверное оборудование с технической точки зрения ушло далеко вперед. Поэтому разработчики программного обеспечения, которые делают софт для работы системы DNS, договорились о новом стандарте протокола. И с 1 февраля перестают поддерживать старый.

«Сегодня сложно найти автомагнитолу, которая будет поддерживать аудиокассеты, потому что CD, флешки и беспроводная передача с телефона оказались удобнее, – приводят более понятную аналогию в пресс-службе Института развития Интернета (ИРИ), который и выступил глашатаем «поломки» Интернета 1 февраля. – В новых стандартах DNS, например, увеличен размер ответа и включена технология DNS-сигналов, которые могут применяться для борьбы с DDoS-атаками».

«В интернет-сообществе назрел настоящий бунт против необходимости десятилетиями поддерживать серверы и устройства, давно морально и физически устаревшие, – поясняет позицию «сетевиков» технический директор Qrator Labs Артем Гавриченков. – DNS Flag Day можно считать пробным шаром. В зависимости от его результатов, аналогичные события будут возникать и в рамках других сетевых протоколов».

Что будет?

«Сервер, не обновивший программное обеспечение, будет аналогичен древнему римлянину – он не сможет полноценно общаться с современным человеком. Поскольку современные люди – если продолжить аналогию – договорились отказаться зубрить латынь. Ещё сто лет назад гимназисты могли бы понять древнего римлянина, а мы – уже нет», – объясняет русским языком эксперт «Финама» Леонид Делицын.

Директор Координационного центра доменов .RU/.РФ Андрей Воробьев отмечает, что система DNS обслуживает абсолютно все ресурсы, которые можно открыть при помощи доменного имени, а также все системы электронной почты, большинство мобильных приложений и некоторые мессенджеры, так что теоретически вопрос касается всего Интернета вообще.

Но, по мнению Воробьева, количества серверов со старой версией программного обеспечения «исчезающе мало». «Мы провели собственное исследование в национальных доменных зонах RU/РФ. В зоне RU мы насчитали около 80 серверов (из десятков тысяч, которые вообще поддерживают доменные имена в национальной зоне), а в зоне РФ всего 20», – говорит Андрей Воробьев.

«Старого ПО осталось довольно мало, именно поэтому решились на отказ от включённой по умолчанию поддержки старых версий протокола», – согласен и исследователь «Роскомсвободы», который долгое время сам работал техническим директором разных операторов связи, Александр Исавнин.

«Порядка тысячи серверов в итоге станут недоступными», – подсчитал Леонид Делицын.

«К акции присоединяются облачные провайдеры, которые собираются прекратить поддержку устаревших DNS-серверов сразу 1 февраля. А поскольку многие пользуются, например, знаменитым Google DNS, то часть клиентов не будет иметь доступа к соответствующим сайтам уже начиная с этой даты», – все равно предупреждает Артем Гавриченков.

Ряд крупных компаний, Сбербанк, Промсвязьбанк, Федеральная таможенная служба, сайты правительств Ульяновской и Ростовской областей, Якутии сообщили, что предприняли меры для «удачного перехода». Однако в ИРИ считают, что многие ресурсы все еще находятся в зоне риска. Это главным образом госструктуры. Например, Министерство сельского хозяйства, Минприроды, Минобразования. Администрация Ленобласти указана в перечне ИРИ в сегменте «будет работать нестабильно».

Исчезающий госсектор

Судя по всему, в «исчезающе малый» перечень устаревших доменов попадают в большей степени госструктуры различных уровней.

«В зоне риска могут оказаться средние проекты и различные государственные ресурсы, поскольку в последних зачастую используются условно отечественные серверные операционные системы (старые версии Linux, переупакованные и лицензированные российскими компаниями)», – говорит программист, бывший технический директор «ВКонтакте» Антон Розенберг.

«Сбои, а именно полное или частичное нарушение работы сайта, могут возникнуть у тех, кто поддерживает собственный сервер, как это часто делают госструктуры, – утверждают и в ИРИ. – Там иногда работают на устаревшем ПО и оборудовании, меняют под себя конфигурацию настроек, отключая важные параметры, либо используют «самодельные» решения вместо типового ПО. Есть много организаций, которые не обновляют ПО годами, тот же DNS обычно настраивают один раз, а потом забывают».

Бег на месте

Кому-то для соответствия новым правилам работы Интернета будет достаточно обновить ПО или изменить настройки на сервере, кому-то – все же поменять оборудование. Теоретически, даже сегодня время запрыгнуть в уходящий поезд еще есть. «Решение по обновлению было анонсировано ещё в мае 2018 года, чтобы у всех было время подготовиться», – педантичен Антон Розенберг. Но бюджетники на высшем уровне пыль в серверной протирают редко и, как правило, не спеша.

«Обновление DNS-серверов у ряда компаний может занять существенное время. Дело в том, что зачастую в корпоративной инфраструктуре DNS-сервер не обновляется месяцами и даже годами, и в таком случае может потребоваться обновление не только DNS-сервера (прикладной программы), но и всей операционной системы, что вызовет необходимость перезагрузки, а там уже, как водится, могут возникнуть трудности вплоть до проблем с «железом», может отказать аппаратная составляющая», – поясняет Артем Гавриченков.

По словам Артема Гавриченкова, самое тяжелое, если организация использует специализированные устройства, выполняющие функцию межсетевого экрана («фаерволла»). «Такие устройства могут считать запросы серверов с расширением EDNS вредоносными и блокировать такие обращения. Устранение подобных некорректно функционирующих устройств из Интернета — одна из целей DNS Flag Day, – говорит Артем Гавриченков. – Однако если, например, российская государственная организация использует для целей такого межсетевого экрана проблемное оборудование и функционирует в рамках бюджетного цикла, то на закупку нового оборудования ей понадобится немалое время. Задача дополнительно усложняется, если оригинальное устройство было произведено за рубежом, а сегодня организация стоит перед необходимостью импортозамещения».

Все будет хорошо, но кто-то пострадает

Антон Розенберг считает, что в случае «зависания» для организаций проблема будет выглядеть как отсутствие доступа в течение нескольких часов или дней, тут уж всё будет зависеть от того, как быстро проблему заметят и решат.

«Пострадают, в основном, пользователи, которые не смогут получить своевременно нужную информацию, – согласен Леонид Делицын. – Ущерб организаций будет незначительным. Вот временные потери пользователей составят сто тысяч человеко-часов, потерянных в попытке найти исчезнувшие сайты. Финансовые потери не превзойдут нескольких десятков миллионов рублей».

P. S. Предыдущий «конец света» для Интернета пророчили в октябре 2018 года, когда впервые в истории менялись криптографические ключи, которые защищают систему доменных имен в Сети (DNS). Тогда Мировая паутина не порвалась.

Николай Нелюбин, специально для «Фонтанки.ру»