На 30 януари в 18:20 (MSK) потребителите се сблъскаха с масов срив в определянето на хостове в домейн зоната RU, причинен от грешка при смяната на ключовете, използвани за удостоверяване на автентичността на зоната RU чрез DNSSEC. В резултат на инцидента на DNS сървърите, прилагащи DNSSEC за проверка на автентичността на данните, престанаха да се определят всички домейни в зоната „.ru“. Проблемът засегна само потребителите, използващи DNS резолвери на доставчици или публични DNS услуги, като 8.8.8.8, които удостоверяват автентичността на заявките чрез DNSSEC. Потребителите на DNS резолвери, на които DNSSEC е изключен, не пострадаха.
Случилото се напомня на инцидента от миналата година с регистратора InternetNZ, отговорен за домейн зоната „.NZ“, който доведе до срив в разрешението домейн имена в зоната „.nz“ поради грешка при ротацията на KSK ключовете (Key Signing Key), използвани за цифрово подписване на записите DNSKEY, съдържащи ключовете за подписване на домейн зоната (ZSK, Zone Signing Key). В случая с InternetNZ грешката беше свързана с промяна на формата на ключовете при преминаването към новата информационна система на регистратора. Причините за инцидента в зоната RU все още не са детализирани — Координационният център за домейни RU само в общи линии потвърди, че проблемът е свързан с пренастройката на DNSSEC.
Съдейки по външните проявления, сривът е възникнал в резултат на опит за замяна на ключа, използван за удостоверяване на зоната RU. Този ключ е корен на доверието за останалите ключове, прилагани в домейните на второ ниво и, от своя страна, използва ключа на домена „.“ като надменен за потвърждаване на своето доверие. На 26 януари в настройките на DNSEC за зоната RU в допълнение към основния ключ с идентификатор 44301 се появи допълнителен ключ 52263.
Вчера около 18:20 новият ключ беше използван за удостоверяване на записите в зоната RU, но след преминаването към новия ключ поради грешка спря проверката на автентичността.
Подписването със стария ключ беше възстановено около 21 часа (MSK), а първият коректен отговор беше регистриран от услугата dnsviz.net в 22:07 (MSK). Неправилните настройки присъстваха около два и половина часа, но заради задържането на грешни записи в кешовете на DNS-сървърите е необходимо допълнително време за пълно възстановяване, ако не се изчисти кеша принудително на рекурсивните DNS-сървъри. Някои доставчици решиха проблема по-бързо и радикално, временно деактивирайки проверката чрез DNSSEC в настройките на своите резолвери.
Източник: opennet.ru
