sou · GOB330 · 2001-01-01 00:00:00 — Internetadressen till rotnamnservern är alltså allmänt känd. Den finns publicerad på flera ställen, och tillhandahålls av operatörer och andra i branschen. Alla namnservrar har den listan liggande i en fil, och man kan lätt kopiera den mellan olika namnservrar. SOU 2000:30 Bilaga 6 155 Redundans 2. Vad händer om rotnamnservern stannar eller tappar kontakten med nätverket? Det finns inte bara en enda rotnamnserver. Det finns totalt 13 rotnamnservrar i världen och alla har identiska kopior av databasen. Om en tillfälligt försvinner väljer man bara en annan. Det finns följaktligen egentligen 13 olika adresser att hålla reda på. Programvaran som ställer frågor läser in de 13 adresserna från en fil och väljer sedan helt automatiskt vilken rotnamnserver den vill prata med och byter om det blir nödvändigt. Det är alltså inte kritiskt att alla rotnamnservrar är tillgängliga. Internet skulle klara sig alldeles utmärkt även om hälften av dem försvann. Vidare genom systemet 3. Hur vet man var se.-servern finns? Det ingår i själva hänvisningen som kommer från rotnamnservern. Rotnamnservern vet alltså var den finns och talar alltid om det när den hänvisar. Redundans på alla nivåer 4. Vad händer om se.-servern stannar eller tappar kontakten med nätverket? På samma sätt som med rotnamnservern så finns det inte bara en server som håller reda på alla namn som slutar på se. I fallet se. finns det sju servrar som har identiska kopior av den delen av databasen. När en rotnamnserver hänvisar, så hänvisar den till alla sju. Fråga någon av de här sju datorerna, med de här sju adresserna. Alla av dem vet mer än jag. Master- och slavservrar 5. Hur ser man till att kopiorna är identiska? Servrar som skall ha identiska kopior av en viss del av databasen är konfigurerade så att en av dem är masterserver (kallades tidigare primary server). De övriga servrarna, slavservrarna (secondary servers), i gruppen kontrollerar med jämna mellanrum om masterserverns exemplar av databasen har ändrats genom att ställa en speciell fråga till den. Om en slavserver upptäcker att masterservern har en nyare version av innehållet i databasen än vad den själv har, ber den masterservern att skicka över den nya versionen av innehållet. För enkelhets skull kopieras i allmänhet hela databasdelen vid varje sådant tillfälle, inte 156 Bilaga 6 SOU 2000:30 bara ändringarna. Skall något ändras i en viss del av DNS-databasen, så ändrar man alltså i masterservern för den delen av databasen, varefter slavservrarna kopierar informationen till sig, och alla kommer att ha identiska kopior. Det blir alltså vanligen ett visst tidsglapp just vid uppdateringar, när masterservern har en nyare version av databasinnehållet än vad slavservrarna har. Eftersom man oftast bara ändrar små detaljer i databasen, så är kopiorna i alla fall nästan rätt till dess att kopieringen har skett fullt ut, så det gör inte så mycket. Moderna masterservrar talar också om för sina slavar när det har skett en uppdatering, så att slavarna snabbt kan kopiera en ny version av databasdelen. Blir det inte väldigt hög belastning på rotnamnservrarna? Inte så hög som man skulle kunna tro. Anledningen är att inte alla frågeställare går till rotnamnservern först. En frågeställare sparar nämligen alla svar . Om frågeställaren i exemplet ovan vill ha tag i adressen till pc3.acme.se. så kommer den ihåg att Jag frågade rotnamnservern om ett namn som slutade på se. men då fick jag bara en hänvisning till svar. Jag går direkt till någon av se.-servrarna han hänvisade till.. Eftersom även svar nummer två ovan sparades kan man till och med hoppa över nästa steg med samma resonemang. Jag frågade en se.server om ett namn som slutade på . och då fick jag bara en hänvisning. Jag går direkt på acme.se.-servern. Varken rotnamnservern eller se.-servern behöver alltså bli inblandade i denna andra fråga, och belastningen på dem minskar drastiskt. Gäller frågan i stället datorn server.cafax.se. så kan man hoppa över steg ett, men inte steg två. Detta sätt att gömma undan svaren nära till hands och återutnyttja dem kallas cachening (av franskans cache = gömställe) och är en vanlig teknik för att spara resurser i många datorsammanhang. 5 Delegeringar Systemet med hänvisningar och cachening är fiffigt ur flera synvinklar: dels skapar det en lokalitet i systemet som gör att den som har ansvar för själva informationen lätt kan uppdatera sin del av databasen utan att SOU 2000:30 Bilaga 6 157 blanda in andra, dels minskar belastningen på servrarna högre upp i systemet. Hänvisningarna kallas på DNS-språk för delegeringar. En DNSdatabasdel innehåller enkelt uttryckt alla uppslagsnycklar som slutar på ett visst domännamn utom de namn man har delegerat ut. Låt oss gå tillbaka till namnträdet. Man kan tänka sig att när DNS-systemet startades låg allting i samma fil på samma server. Efterhand har man delat ut ansvaret för en viss domän till någon annan, och då flyttar man bort all information om den domänen ur den befintliga servern och lägger den i en ny server. I den gamla servern stoppar man in en hänvisning till den nya servern i stället för all gammal information. .(roten) se acme cafax kth edu com nu no www admin pc3 bunyip Figur 6: Före delegering av se.-domänen. 158 Bilaga 6 SOU 2000:30 . (roten) se acme cafax kth edu com nu no www admin pc3 bunyip se Figur 7: se.-domnänen delegeras ut till en annan server. Delegering av domäner sker på samma sätt på alla nivåer i DNS. Det är alltså fullt möjligt att ur se.-domänen i sin tur delegera ut t.ex. domänen . Det skulle se ut så här i vårt träd. SOU 2000:30 Bilaga 6 159 . (roten) se acme cafax kth edu com nu no bunyip se acme www admin pc3 Figur 8: . delegeras ut ur se. Vi kan se att information om . fortfarande ligger kvar hos rotnamnservern i vårt exempel, och att information om . ligger kvar hos den server som har hand om se. Följande princip gäller alltså: om man inte har delegerat ut ett domännamn, ligger det tekniska ansvaret för databasen för den domänen hos den server som 160 Bilaga 6 SOU 2000:30 har den omslutande (eller överliggande, om man vill) domänen, och den omslutande domänen kan finnas flera steg upp i trädet (. handhas inte av com. utan av roten i detta exempel). 6 Resolvers Det finns två typer av DNS-tjänster en dator kan tillhandahålla. Den kan innehålla en del av databasen och svara på frågor angående den del av databasen den innehåller, som jag har beskrivit ovan, men den kan också vara av typen tjänst till andra lokala datorer att leta upp svaret på vilken DNS-fråga som helst. De flesta vanliga datorer har inte programvara som klarar att traversera DNS-trädet, dvs. att gå till rotnamnservern, följa hänvisningar (kanske i flera steg), cachea information osv. Det är ett omfattande arbete som kräver en hel del programkod. Att skicka en enstaka DNS-fråga är däremot inte så svårt, så det klarar alla datorer . För att lösa problemet finns det DNS-servrar som hjälper till att svara på frågor. Till dem kan man ställa vilken DNS-fråga som helst, varvid de så att säga på uppdrag går ut och traverserar (letar igenom) DNS-trädet, följer hänvsningar, cachear och allt som skall till. När de har hittat svaret skickas det tillbaka till frågeställaren. Frågeställaren har alltså inte behövt göra något mer än att skicka en enda fråga till en viss bestämd, närbelägen server och sedan bara vänta på svaret. ? Resolver acme.se.-server se.-server rotnamnserver Frågeställare ? Figur 9: Resolvern hjälper till att hitta DNS-information. SOU 2000:30 Bilaga 6 161 Resolvern cachear som sagt alla svar den får från andra servrar. Om en (annan?) frågeställare kommer strax efter och frågar efter samma information som resolvern har hämtat fram, så finns ju svaret i cachen, och resolvern har då ingen anledning att upprepa manövern utan svarar med var den redan vet. Resolver acme.se.-server se.-server rotnamnserver Frågeställare ? ! Figur 10: Resolvern svarar ur sin cache om den kan. 7 Säkerhet DNS-systemet är troligen världens största distribuerade databas. Var och en kan sköta sin egen del av databasen. Denna lokala administration underlättar arbetet att hålla databasen uppdaterad, men eftersom det inte har funnits någonting i DNS som verifierar vem som har stoppat in vilken information, så leder det också till att det är lätt att ljuga – dvs. stoppa in falsk information och t.ex. utge sig för att vara någon annan än den man egentligen är. Falsk DNS-information öppnar möjligheter för att stjäla annan information (e-post och annat) och störa transaktioner (elektronisk handel, fakturor m.m.). Det är också viktigt att med säkerhet kunna veta att något inte existerar i DNS, så att inte frånvaron av information kan förfalskas. Särskilt påtagliga blir problemen om man vill använda dynamisk DNS, dvs. man vill tillåta datorer på nätet att införa förändringar i 162 Bilaga 6 SOU 2000:30 DNS-informationen i körande DNS-system. Det är då extra viktigt att säkerställa att informationen kommer från rätt källa. Problemen har naturligtvis uppmärksammats och det finns nu tekniker för betydligt säkrare hantering av DNS-information med hjälp av Secure DNS (DNSSEC). 7.1 Secure DNS Grundconcepten i DNSSEC är checksummor och asymmetrisk kryptering . Checksummor är tal man får fram genom att applicera en slug matematisk algoritm på en viss informationsmängd. Algoritmen är så utformad att minsta ändring av informationen leder till en förändring av checksumman. Om den ärliga DNS-servern räknar ut checksumman för alla sina poster i DNS, och sedan krypterar cheksummorna en efter en, samt bilägger den krypterade checksumman till respektive post när den svarar på DNS-frågor, så kan frågeställaren beräkna en egen checksumma för och jämföra den egna med den medskickade checksumman. Om checksummorna är lika kan man vara säker på att informationen inte har förvanskats på vägen, och att den verkligen kommer från rätt avsändare. 7.2 Asymmetrisk kryptering För att detta skall fungera måste frågeställaren kunna dekryptera den medskickade checksumman. Detta kan man åstadkomma med asymmetrisk kryptering. Vid asymmetrisk kryptering har man alltid två kryptonycklar som bildar ett par; en nyckel för att kryptera med, och en annan för att dekryptera med. DNS-administratören för en domän beräknar checksummor för alla sina poster, och krypterar dem med den ena nyckeln. Den nyckeln håller han mycket hemlig. Genom att publicera den andra nyckeln (den för dekryptering) vitt och brett, kan alla som så vill få tag i den och använda den för att dekryptera de medsända checksummorna vid DNS-trafik. Kvar är nu bara problemet att kontrollera att det är rätt dekrypteringsnyckel man har fått tag i. För att klara det problemet har DNSSEC inbyggda mekanismer för att även tillhandahålla dekrypteringsnycklarna på ett genomtänkt och säkert sätt. Dekrypteringsnycklarna lagras också som poster i DNS, och är därmed allmänt tillgängliga. Nycklarna förses med checksummor av precis samma typ som all annan DNSinformation, och man kan då även verifiera nycklarnas äkthet. SOU 2000:30 Bilaga 6 163 Frågeställaren måste kunna lita på roten till all information, och måste ha tillgång till en nyckel från början för att komma igång. Denna nyckel kommer att vara så allmänt känd att det kommer att bli omöjligt att förfalska den. Denna nya säkerhetsteknik för DNS är ganska komplicerad men höjer säkerheten drastiskt. Det kommer att ställas betydligt större krav på DNS-frågeställarna om de vill kunna utnyttja tekniken. Det blir många checksummor att räkna och mycket dekrypterande att göra och bägge är resurskrävande transaktioner. är den nya tekniken helt bakåtkompatibel vilket gör att befintliga DNS-system som inte kan eller vill utnyttja säkerhetstekniken kommer att kunna fortsätta köra precis som vanligt, utan några större förändringar i resursåtgången. Secure DNS finns ännu inte implementerat i någon större mängd befintliga produkter på marknaden. För att det skall bli användbart måste såväl DNS-servrar som klienter skrivas om så att de utnyttjar den nya tekniken. När det gäller den vanligaste produkten på serversidan (Internet Name Deamon, BIND) pågår ett hektiskt arbete att uppdatera koden. Senaste versionen () klarar nätt och jämnt av att hantera secure DNS, men bara på experimentstadiet. hoppas man komma med testversioner av en ny, från grunden omdesignad server, som skall klara secure DNS fullt ut. På klientsidan är det nog värre. Säkerhetstänkandet måste slå igenom ända ut till den lokala PC:n om det skall ge full effekt, och det innebär att man måste ändra i TCP/IP-stacken på Windows och i OpenTransport på Macintoshar samt motsvarande i andra system. Sådana ändringar kan visserligen införas med samma tidsaspekt (), men det finns en enorm installerad bas, och innan den är uppgraderad har det nog gått . 7.3 Secure DNS i Hur långt har man då kommit i med införandet av DNS? På tekniksidan kan nämnas att svenska DNS-tekniker deltar i internationella arbetsgrupper för standardisering av Internetprotokoll. Man har internationellt också börjat experimentera med de testimplementationer som finns, och även där deltar svenska aktörer. Den svenska domännamnsregistraturen utvecklar tekniska system för hantering av signaturer och annat. Den administrativa sidan kräver mer eftertanke. När man arbetar med säkring av system är det viktigt att den information man baserar sin tekniska säkerhet på är korrekt. Om man t.ex. utför en DNSdelegering och signerar den, så gäller det att man verkligen vet att det 164 Bilaga 6 SOU 2000:30 är rätt person/organisation man delegerar DNS-domänen till. Man måste alltså bygga upp en organisation för att säkert identifiera den som ansöker om ett domännamn. Den svenska domännamnsregistraturen har uppmärksammat problemen och arbetar på att skapa en lösning där arbetsbelastning och säkerhet balanserar varandra på ett rimligt sätt. All säkerhet på Internet bygger på kryptering och förhoppningen om att det är svårt och omständligt att forcera . För att detta skall vara sant krävs det att man använder kryptometoder som faktiskt motsvarar den förhoppningen. Ju starkare datorer motståndaren har, desto starkare kryptosystem måste man använda för att skydda sin information rimligt . Med de datorer som var och en har på skrivbordet kan man ganska enkelt forcera vanliga kryptosystem. För att skydda sin information, t.ex. DNS-informationen, måste man alltså använda starka kryptosystem. Starka kryptosystem är en absolut förutsättning för någon som helst säkerhet på Internet. Hur vet man då om en kryptometod är stark? Det finns bara ett sätt: att låta många experter undersöka metoden och förhoppningsvis bli överens om att den håller vissa mått. Det går inte om metoden är hemlig. En hemlig kryptometod är alltså en dålig bas för säkerhet, för vem vet om den är så bra som myndigheten eller företaget påstår? Varför är den hemlig? Styrkan hos en bra kryptometod är inte beroende av om andra människor känner till metoden eller inte, utan bara av att andra människor inte känner till kryptonycklarna man använt. Smarta kort är en lösning som lanseras då och då. Smarta kort kan man ha till mycket, bl.a. till att lagra kryptometoder och kryptonycklar av olika slag, men de har också flera nackdelar. I vissa av förslagen är metoderna hemliga, vilket, som framförts ovan, inte är en lämplig lösning. En annan vanlig nackdel är att kryptonyckeln i kortet stoppas dit av någon man inte känner. En direkt följd blir att denna andra människa/organisation alltså har tillgång till nyckeln, och därvid kan kopiera den, och alltså senare använda den. Det kan vara fråga om att någon anställd på bolaget som tillverkar korten uppträder oegentligt, eller att någon av statens myndigheter systematiskt samlar in alla medborgares nycklar för att kunna använda dem i olika former av myndighetsutövning . Det gäller här att starkt värna om privatpersoners och företags integritet. Problemet kan undvikas genom att personer själva skapar sina nycklar, och sedan lämnar dem krypterade till kortföretaget, så att ingen annan kan läsa dem. Det kan dock bli administrativt komplicerat. Man måste också vara väldigt försiktig med datorer som läser korten, och skapa system som gör det svårt för sådana datorer (t.ex. snabbköpskassor) att spara informationen och utnyttja den igen, SOU 2000:30 Bilaga 6 165 på sätt som liknar de falska bankomater som lagrade kortnummer och kod. Ytterligare en nackdel, som hemliga metoder och smarta kort har gemensam, är bristen på standardisering. Man kan säkert införa en nationell standard för att använda en viss metod eller en viss typ av smart kort, men Internet är en internationell företeelse, och om man vill att handel och informationsutbyte skall kunna fungera mellan och andra länder, krävs det att de säkerhetsmetoder man använder har internationellt stöd. Hur får man tag i kryptoprogramvara? Det lättaste sättet för de flesta Internetanvändare att installera ny programvara, är att hämta den från Internet. Om man vill få stor spridning på användandet av Secure DNS, krävs det att sådan programvara är lätt tillgänglig för alla, och import och export måste kunna ske obehindrat. Det är viktigt att svenskar kan utnyttja teknologi från andra länder, och det är viktigt att svensk teknologi kan exporteras till andra länder om skall kunna vara en fullvärdig deltagare i ett säkert och internationellt Internet. Programvara som läggs upp lätt åtkomlig på Internet blir tillgänglig för alla, inte bara för svenskar, och eftersom det inte finns någon metod att identifiera vem som är svensk på Internet, måste export av kryptoprodukter tillåtas om produkterna skall kunna vara lätt tillgängliga för svenskar. Detta torde också öka förtroendet för som en ansvarstagande nation i säkerhetsfrågor, och skulle kunna öppna en marknad för svenska företag som vill profilera sig inom säkerhetsprodukter, ett område där det finns kunnande och erfarenhet i , och det skulle kunna fungera som draghjälp åt hela ITindustrin. Det skulle vara till stor hjälp om svenska myndigheter i sitt internationella arbete verkade för en öppenhet i dessa frågor mellan olika länder, inte bara i , utan också i och i andra delar av världen. Svenska myndigheter skulle också kunna bidra till en spridning av Secure DNS genom att tidigt själva börja använda det, och därigenom skapa förtroende för metoderna. Att kunna vara säker på att man verkligen kommunicerar med rätt myndighet i den allt större elektroniska korrespondensen skulle vara en draghjälp åt hela systemet, och få upp intresset hos företag och privatpersoner. För att Secure DNS skall kunna införas i , måste det alltså från myndigheterna sida skapas en miljö där landet har fri import, export och användning av stark kryptering, och de bör förespråka lösningar som bygger på öppna kryptometoder och på programvara och hårdvara som är öppna för fri konkurrens. Uppmuntran till internationellt samarbete och aktiv egen användning av Secure DNS från 166 Bilaga 6 SOU 2000:30 myndigheternas sida skulle snabba upp processen att sprida systemet allmänt. 8 Andra nyheter Det händer ganska mycket på området DNS-teknik. Man har t.ex. utvecklat metoder för att bara överföra förändringar från master- till slavserver när något har uppdaterats, i stället för att, som , kopiera hela databasdelen. Det utvecklas också nya typer av poster man kan lagra i DNS, såsom vilka personer som är ansvariga för olika delar av informationen, och geografisk information, samt kryptonycklar och certifikat. Även poster för den nya versionen av Internetprotokoll (IPv6) kräver nya poster för att man skall kunna använda den ordentligt. 9 Referenser Följande referenser kan nämnas för den som vill fördjupa sig i ämnet. Den första är en bok som är mycket heltäckande och varmt rekommenderas. RFC:erna (Requests for Comments) är dokument ur den serie av dokument som reglerar tekniken på Internet. Flera RFC:er har statusen Internet Standard, bl.a. [2] och [3]. [1] Cricket , DNS and BIND, 3rd Edition, , Inc. URL: [2] P.V. Mockapetris, RFC 1034 Domain names – concepts and facilities. URL: [3] P.V. Mockapetris, RFC 1035 Domain names – implementation and specification. URL: [4] Eastlake, RFC 2535 Extensions. URL: SOU 2000:30 Bilaga 7 167 Stiftelser som organisationsform , Jur.dr vid Innehåll 1 Allmänt om stiftelser........................................................................ 168 2 Stiftelserättsliga utgångspunkter och huvuddrag......................... 168 3 Några särskilda problem ................................................................. 170 4 Inledande utvärdering ..................................................................... 171 5 Kommentarer till ................ 172 6 Styrelsen i ..................................................................... 174 7 Legitimitet ......................................................................................... 174 8 Frågan om rättsverkningar ............................................................. 175 9 Statlig medverkan i stiftelser .......................................................... 176 10 Frågan om ökad legitimitet för .................. Fel! Bokmärket är inte definierat. 11 Slutkommentar ................................................................................. 179 168 Bilaga 7 SOU 2000:30 1 Allmänt om stiftelser Mitt uppdrag är att ge en stiftelserättslig bakgrund till frågan om hur man kan skapa legitimitet kring stiftelsen som hanterar den svenska toppdomänen .se, stiftelsen (). Ärendet innehåller ett flertal olika frågeställningar som är oklara, bl.a. frågan om äganderätt till en toppdomän. Promemorian utreder inte dessa aspekter i vidare mån än som behövs för diskussion av de frågor som är aktuella kring stiftelsen som organisationsform. Stiftelseformen är en etablerad och välkänd organisationsform . Den lagstiftning som reglerar stiftelser i allmänhet är emellertid relativt ny. Stiftelselagen (1994:1220) som trädde i kraft är den första civilrättsliga lagstiftning rörande stiftelser i . Den tidigare gällande tillsynslagen (1929:116) var främst av offentligrättslig karaktär. Intresset för stiftelser är mycket stort i och det sker en relativt stor nybildning av stiftelser. De flesta människor har på ett eller annat sätt kommit i kontakt med en stiftelse. Stiftelser betraktas ofta som något positivt, en organisation som utför allmännyttiga insatser som annars kanske borde ålegat staten, kommunen eller . åtnjuter därför som regel stort förtroende hos de allra flesta. 2 Stiftelserättsliga utgångspunkter och huvuddrag Stiftelsen som organisationsform har vissa karakteristiska drag som skiljer den från associationerna och från andra juridiska personer. är självägande och kan därmed inte ha medlemmar eller ägare som kan göra anspråk på stiftelsens förmögenhet. Den typiska stiftelsen bildas genom att en eller flera stiftare i ett förordnande (ofta ett gåvobrev eller ett testamente) knyter en utpekad egendom till ett visst ändamål. Det är denna bundenhet mellan ändamål och egendom som utgör kärnan i den juridiska personen och det är till denna ändamålsbundenhet som rättsverkningarna är knutna. Den juridiska personen stiftelse har uppstått när förordnandet är givet på det sätt som krävs enligt 1 kap 2 § stiftelselagen. Olika krav ställs beroende på hur förordnandet är utformat, om det t.ex. är gåva, avtal eller testamente. Förordnandet skall alltid innehålla föreskrifter om ett bestämt ändamål. Hur ett ändamål får vara utformat behandlar jag i , Näringsdrivande stiftelser, 1996 s 238 ff. Förordnandet måste också innehålla föreskrifter om den egendom som skall SOU 2000:30 Bilaga 7 169 knytas till ändamålet. Det finns däremot inga generella krav på kapitalets storlek eller egendomens beskaffenhet för att det skall föreligga en stiftelse. Det enda krav som kan ställas är att egendomen skall vara av den karaktär och storlek att den kan användas till ändamålsuppfyllelse.