這聽起來像《達芬奇密碼》里的情節(jié),，但卻是真實存在的:整個互聯(lián)網(wǎng)由14個手中掌握著七把受嚴密保護的鑰匙的人保護著,。

過幾天,，他們將舉行一個稱為根簽署儀式(Root Signing Ceremony)的歷史性儀式,。

星期五夜間,，整個世界都知道他們所在的組織有多重要了。美國時間10月21日早晨,，許多西方用戶突然發(fā)現(xiàn)包括Twitter,、Tumblr等社交網(wǎng)站無法登陸。為這些網(wǎng)站提供域名服務(wù)的Dynamic Network Service公司(簡稱Dyn)稱,，從當?shù)貢r間周五上午7點開始,，其域名服務(wù)系統(tǒng)(DNS)服務(wù)遭遇到大規(guī)模分布式“拒絕服務(wù)”(denial-of-service)的攻擊，在第一輪攻擊得以解決以后,，Dyn稱又在當天中午遭遇到第二輪攻擊,。

Dyn是DNS的主要提供商,。DNS將諸如businessinsider.com(讓人類更易于記住)的網(wǎng)址轉(zhuǎn)化成計算機能夠識別的數(shù)字IP地址。

雖然黑客從來沒有獲得對Dyn網(wǎng)絡(luò)的控制權(quán),，但他們成功地通過分布式拒絕服務(wù)攻擊使其離線了幾個小時,。這凸顯了互聯(lián)網(wǎng)對DNS的依賴程度。

如果你控制了所有的DNS,，你就控制了整個互聯(lián)網(wǎng)

DNS的最頂端由來自世界各地的少數(shù)幾個人保護著。他們的職務(wù)名稱是加密員(crypto officer),。

自2010年以來,，他們中一些人(通常不會所有人都到場)每三個月就會聚會一次，舉行一個高度保密的儀式,。這個儀式被稱為“鑰匙儀式”(Key Ceremony),。在儀式中，打開互聯(lián)網(wǎng)之鎖的鑰匙將會被驗證和更新,。

舉辦該儀式的人員來自一個名為“互聯(lián)網(wǎng)名稱與數(shù)字地址分配機構(gòu)”(ICANN)的組織,。ICANN的職責是為網(wǎng)站和計算機分配IP地址。

如果有人控制了ICANN的數(shù)據(jù)庫,，那么這個人幾乎就可以控制整個互聯(lián)網(wǎng),。比如，這個人可以向人們發(fā)送假冒銀行網(wǎng)址,，而不是真正的銀行網(wǎng)址,。

為了保護DNS，ICANN提出了一個能夠保護DNS,，同時又不會授予任何個人過多控制權(quán)的機制,。該組織選擇了七個人作為鑰匙持有人，并給每個人一份能夠打開互聯(lián)網(wǎng)的密鑰,。它還選擇了七個人作為備份密鑰持有人,。總共是14人,。儀式要求至少三個持有鑰匙的人參加,，因為解鎖保護DNS的設(shè)備需要三個鑰匙。

高度程序化的儀式

物理鑰匙用來解鎖保險箱,，保險箱里面是智能鑰匙卡,。你需要很多鑰匙才能打開生成互聯(lián)網(wǎng)主密鑰的設(shè)備。

該主密鑰實際上是一種被稱為“根密鑰簽名密鑰”(root key-signing key)的計算機代碼,。它是可訪問ICANN主數(shù)據(jù)庫的密碼,。這個密鑰可以生成更多的密鑰。位于世界各地的各種互聯(lián)網(wǎng)安全組織使用這些密鑰保護互聯(lián)網(wǎng)的方方面面,。

鑰匙儀式的安全措施非常嚴格,。參與者需要多次掃描指紋,，使用多個密鑰代碼，才能打開進入會議室的一道道門,。這個會議室是密閉的,，連電子信號都傳不出去。加密員將在這里同其他ICANN官員和一些客人,、觀察員集合,。

整個活動的程序都是預(yù)先編排好的，有人會進行錄像和監(jiān)督,。參與者人手一本事先做好的步驟冊子,，如果發(fā)生任何偏差，整個房間的人都將知道,。

參與者按預(yù)先制定的步驟舉行儀式,，完畢之后，一個一個地排隊走出房間,。據(jù)說他們會去當?shù)氐牟宛^慶祝一番,。

所有這一切都是安全的，但互聯(lián)網(wǎng)是開放的,，不屬于任何單一的實體,。互聯(lián)網(wǎng)是在美國發(fā)明的,，但美國在本月早些時候放棄了它對DNS幾十年的管理,，正式交給ICANN負責。

ICANN十分清楚其在國際上的作用以及全球?qū)λ麄兊男湃?，因此該組織讓任何人監(jiān)督這個儀式,。他們在互聯(lián)網(wǎng)上提供視頻直播，還發(fā)布了每次儀式的步驟冊子,。

10月27日,，ICANN將再次舉行儀式。這一次也將是歷史性的,。該組織將第一次改變主密鑰本身,。從技術(shù)上講，它會改變保證DNS安全所依賴的“密鑰對”,。這個密鑰對被稱為“根區(qū)域簽名密鑰”(Root Zone Signing Key),。

“如果你有這個密鑰，并能夠生成自己的根區(qū)域簽名,，你將能夠重定向大量的流量,。”ICANN研究副總裁馬克·拉森表示,。

（編輯：李月）