網域證券交易委員會根簽署儀式

根簽署金鑰在哪裡？

有兩個地理位置不同的位置來保護根金鑰簽署金鑰：加利福尼亞州埃爾塞貢多和弗吉尼亞州庫爾佩珀。兩者都是安全設施，並且包含金鑰的備援副本。儀式在埃爾塞貢多與庫爾佩珀地點之間交替舉行。

典禮參與者

• 典禮管理員
• 內部見證人
• 憑證保管庫控制器
• 硬體保管庫控制器
• 加密人員#1
• 加密人員#2
• 加密人員#3

這些參與者中的每一個都只能執行儀式的某些部分。他們的角色以一種確保一組陰謀者破壞根簽署金鑰的可能性小於 1:1,000,000 方式劃分，假設這些人之間的不誠實率為 5%（是的，這在規範中正式）。

其中前四人是 ICANN 工作人員，而這三名加密人員是來自網際網路社群的受信任志願者。威瑞信也扮演著重要的角色，因為他們是根區域維護者，負責產生在儀式期間簽署的根區域簽署金鑰。此外，整個過程由兩家與威瑞信或 ICANN 均無關聯的四大稽核公司進行稽核。

一個人走進一個有兩個保管庫的房間...

儀式室的側面有一個機箱，裡面有兩個保管庫。這些保管庫存放儀式期間使用的所有敏感材料。機箱只能在儀式管理員和內部見證人在場的情況下進入。這是利用儀式管理員和內部見證人的第二張視網膜掃描和門禁卡強制執行。

但是，儀式管理員或內部見證人實際上都不能打開保管庫。為此，我們需要保管庫控制器

憑證保管庫

憑證保管庫控制器打開第一個保管庫，在裡面我們找到了幾個保管庫，每個保管庫都需要兩把金鑰。儀式管理員擁有其中一個金鑰，每個加密人員都有一個不同盒子的金鑰。儀式管理員和加密人員一起（在內部見證人和憑證保管庫控制器在場的情況下）打開三個保管庫。

每個保管庫都包含一個操作員卡和一個硬體安全性模組 (HSM) 的安全性權限卡，我們將在下一節中討論。解鎖 HSM 需要三張操作員卡，這就是為什麼必須有三名加密人員參加儀式的原因。安全性權限卡僅在我們需要傳輸根簽署金鑰時使用，因此我們通常會將其保留在保管庫中。

兩張卡都存放在包裹在防拆封袋中的塑膠盒中（如果您還不能分辨，大部分儀式都圍繞著偵測犯規行為）。這些卡在不使用時會留在保管庫中，這意指最後一次有人接觸保管庫是在先前的根簽署儀式上。防拆封袋有助於確保保管庫在此期間沒有被改變。

塑膠箱也非常重要，因為有人發現可以透過在防拆封袋上戳針來操縱卡，這在檢查袋子時不一定顯而易見。這是關於儀式的安全性程序如何不斷發展的一個很好的例子。

設備設定

現在，我們已準備好執行實際的根簽署儀式。所有裝置都擺放在一張桌面上，可以看到所有出席者，以及用於稽核程序的攝影機。

三名加密人員一個接一個地被叫到桌旁，並要求交出他們從保管庫中取出的 HSM 操作員卡。在此之前，他們驗證防拆封袋是否與在上一次儀式結束時將其放入保管庫時的狀態相同。一旦他們交出，只有儀式管理員才能接觸卡片。

儀式管理員從 DVD 啟動攜帶型電腦，並初始化記錄儀式日誌的 USB。請記住，攜帶型電腦沒有備用時鐘電池，這意味著需要從儀式室的特殊掛鐘手動設定時間。這是自五年前第一次儀式以來使用的時鐘，此時鐘與世界其他地區完全隔離。此時鐘略有漂移，但這很好，因為僅用於日誌記錄目的。

儀式桌，設備設定前

接下來，儀式管理員需要通過將從加密人員收集的三張操作員卡放入機器中來啟動 HSM。然後，HSM 透過乙太網路電纜連接到攜帶型電腦。儀式管理員現在有權取用根簽署金鑰。

公共記錄

每一個微小的細節都由稽核員記錄下來並錄影，使整個儀式成為公開記錄的問題。如果整個受 DNSSEC 保護的網際網路要信任根名稱伺服器的簽章，這點至關重要。

此影片在儀式期間即時串流式傳輸，我們能夠即時追蹤有多少人觀看儀式。這次我們的觀眾人數創下了紀錄，可能是因為比以前的儀式宣傳得更好。我們甚至能夠讓參與者透過聊天室轉達觀眾的問題。我們對所有這些參與都感到非常高興。

在儀式結束時，日誌被列印出來，並交給房間內任何想要副本的人。威瑞信將獲得在 USB 隨身碟上設定的已簽署金鑰的複本，他們將在今年第 4 季度在根區域中使用這些已簽署的 DNSKEY RRset。所有材料都放回防拆封袋中，並放入各自的保險箱中。