Det er hele 1.200 påmeldte til kvartalskonferansen som Internet Corporation for Assigned Names and Numbers (ICANN) har viet sikkerhetsspørsmål, som en reaksjon på både 11. september og herjingene til årets kjente ormer og trojanere, kanskje særlig "Lion" som i slutten av mars angrep ved å utnytte en brist i navneoversettelsesprogrammet BIND (Berkeley Internet Name Domain).
Nyoppdaget sikkerhetsbrist kunne lammet internettet
Avansert trojaner angriper Linux-tjenere
Konferansen er ment å offenltig belyse problemstillinger knyttet til ICANNs medansvar for sikkerheten på Internett. Det dreier seg om tre områder: adresseallokering, drift av de 13 rottjenerne ("root name servers" - ti i USA, to i Europa og en i Japan) som har ansvaret for å fordele all internettrafikk til maskinene som står for til sammen 256 topp- og landdomener, og drift av domenenavnsystemet.
Inntrykket hittil er at konferansen holdes i en svært nøktern tone. Det er kommet flere advarsler - blant annet fra styreformann Vinton Cerf - om at det må fokuseres på ICANNs delansvar og at man ikke må fatte vedtak som i praksis undergraver sikkerheten, slik man gjerne gjør når man ikke holder tungen rett i munnen. Egentlig ønsker man ikke vedtak på konferansen i det hele tatt, men heller få fram problemstillinger som gir de tekniske ekspertene noe å arbeide videre med. Siden konferansen er offentlig, går man ikke i detaljer som kunne gitt crackere virkningsfulle oppskrifter.
De mest dramatiske bekymringene er knyttet til de 13 rottjenerne. Tallet borger for redundans. I fjor sviktet fire av dem samtidig på grunn av programvarefeil, men de fleste internettbrukerne merket ingenting. Det er mulig at så mange som fem skal kunne tas ned samtidig uten at det får større følger. Det er gjort overbevisende redegjørelser på konferansen om fysiske og andre sikringstiltak rundt disse serverne. IT-sikkerhetsrådgiver Richard Clarke til USAs president George Bush har sammen med visehandelsminister Sam Bodman nettopp inspisert anlegget til rottjeneren og navnetjenerne som drives av VeriSign, og konkludert med at alt er vel. Det er full katastrofeberedskap med speiling i sanntid til geografisk spredte anlegg, og biometrisk adgangskontroll til bygningene der maskinene står.
Nedover i domenehierarkiet står det ikke fullt så bra til. Adresseallokeringer hos de såkalte registrarene betraktes som et svakt ledd. Sikkerhetsekspert Steven Bellovin fra AT&T sa at nedover i systemet er databasene som holder styr på hvem som eier hvilke adresser mangelfulle, og at opplysningene, særlig for eldre adresser, kan være upålitelige. Han la til at dersom en registrar crackes, og databasen rotes til, kan det være vanskelig for en domeneinnehaver å bevise sin rett.
Stabiliteten, ytelsen og påliteligheten av hele navnetjenesten økes av at mange tilbydere og andre store installasjoner kjører lokale kataloger med adresser til servere som ofte benyttes, slik at slipper å slå opp i rot- og sonetjenerne. Computer Emergency Response Team (CERT) arbeider med å etablere retningslinjer for sikker oppsett og drift av lokalekataloger. Erfaringen er at ekspertisen på toppnivå utvannes etter hvert som man går nedover i hierarkiet. Tidligere i år førte menneskelig svikt til at Microsofts navnetjenere feilet, slik at nettsteder som MSNBC og Hotmail var nede i flere timer.
Navnetjenestene står og faller på programvaren BIND som oversetter mellom URL-er og de numeriske internettadressene. I januar advarte CERT mot en sikkerhetsbrist i BIND, og anbefalte alle å oppgradere til en versjon der denne bristen var reparert (se artikkelen Nyoppdaget sikkerhetsbrist kunne lammet internettet). I begynnelsen av mars avlørte en sjekk at flere norske nettbanker ikke hadde oppgradert (se artikkelen Nettbanker trege med å tette hull), og i slutten av mars kom BIND-ormen Lion (se artikkelreferansene under første avsnitt). Så seint som i slutten av april falt en norsk nettjeneste for denne ormen (se artikkelen SOL Børs vandalisert av ond orm). I oktober førte IT-sikkerhetstjenesten SANS Institute til USAs føderale politi FBI BIND-svakheter høyt oppe på sin tjue på topp-liste over sårbarheter som systemadministratorer må sørge for å følge med på (ser artikkelen FBI: De 20 største sikkerhetshullene).
Blant innlederne på ICANN-konferansen har Paul Vixie vært med på å utvikle BIND og Cricket Liu har bidratt til å dokumentere den. Begge betonte dens bidrag til Internettets allmenne sårbarhet. Liu advarte at dersom noen finner en hittil ukjent brist i BIND og utnytter den fullt ut til skadeverk, er det ikke utenkelig at alle tretten rottjenere settes ut av drift.
