Един от 13 основни DNS сървъра (c.root-servers.net), който осигурява функционирането на основната DNS зона (началното звено в веригата на резолвене на домейни, предоставящо информация за DNS сървъри, обслужващи домейни от първо ниво, и ключове за тяхната проверка с помощта на DNSSEC), беше в състояние на несинхронизация с останалите основни DNS сървъри в продължение на четири дни. Работата на основния DNS сървър „C“ (192.33.4.12) се осигурява от 12 сървъра, разположени в различни страни. Всички тези сървъри от 18 до 22 май не отразяваха промените в основната зона, предоставяха остарели данни и не се синхронизираха с останалата част от основната инфраструктура на DNS.
В посочения период не е имало промени в основната зона, но е била планирана работа по обновяване на цифровия подпис DNSEC за домейна от първо ниво „.gov“, извършвана в рамките на прехода към криптографски ключове, базирани на алгоритъма ECDSA. За заверяване на зоната „.gov“ в DNSSEC от скоро се използват алгоритми 8 (RSA/SHA-256) и 13 (ECDSA P-256/SHA-256), но активният остава алгоритъм 8. През уикенда беше планирано добавяне на DS записа за алгоритъм 13 в основната зона, след което да започне процесът на премахване на DS записа за алгоритъм 8. Аналогична замяна бе планирана и за домейна „.int“. В крайна сметка, свързаните с поддръжката на алгоритъм 13 DS записи за основните сървъри зони бяха предадени на IANA, но така и не бяха публикувани, тъй като след откритите проблеми процесът на замяна на ключовете беше спрян до изясняване на ситуацията с основния сървър „C“.
Работата на основния DNS сървър „C“ се осигурява на базата на споразумения с корпорацията ICANN от магистралния доставчик на първо ниво (Tier 1) Cogent Communications, който е представен в 53 страни. Няколко дни преди инцидента бяха отбелязани проблеми с достъпа от мрежата на Cogent Communications до 1575 автономни системи поради прекратяване на пиринга с индийския доставчик на първо ниво Tata Communications.
Причината за спирането на обновленията за кореновата DNS зона е провал в мониторинг системата, отговорна за проследяване на промените. Провалът се случи след смяна на маршрутизацията, несвързана с работата на DNS сървърите (подробна информация за причините все още не се предоставя). Освен разсинхронизацията, нарушения в обработката на заявки към кореновия DNS сървър 'C' не са регистрирани. Синхронизацията беше напълно възстановена на 22 май в 19 часа (MSK). От възможните проблеми, които могат да възникнат в процеса на продължителна разсинхронизация, се отбелязва възможността за издаване на остарели данни за ключовете, използвани в DNSSEC, и адресите на DNS сървърите, които обслужват домейни първо ниво.
Източник: opennet.ru
