Došlo k hromadnému výpadku domény "DE", používané v Německu. Problémy vznikly kvůli chybě v nastavení DNSSEC pro kořenovou zónu "DE", kterou provedla organizace DENIC, odpovědná za doménu nejvyššího řádu "DE". Od 5. května 22:30 do 6. května 1:30 (MSK) pokusy o rozlišení domén v zóně "DE" přes DNS servery používající DNSSEC k ověření integrity dat končily chybou. Na DNS serverech, které využívaly DNSSEC, došlo k výpadku i při přímém rozlišení. domén., které přímo nevyužívají DNSSEC.
Problém zasáhl mnoho DNS resolverů poskytovatelů a veřejných DNS služeb, jako jsou 1.1.1.1 a 8.8.8.8. Jako dočasné opatření společnost Cloudflare ve své DNS službě 1.1.1.1 vypnula ověřování prostřednictvím DNSSEC pro domény v zóně "DE". Uživatelé DNS resolverů, na nichž je DNSSEC vypnuto, neutrpěli žádné škody.
Oficiální příčiny incidentu dosud nebyly oznámeny. Předpokládá se, že problém vznikl kvůli chybě při aktualizaci digitálního podpisu pro zónu "DE", která byla provedena 5. května v 20:49 (MSK). Klíč použitý k ověření domény nejvyššího řádu je kořenem důvěry pro ostatní klíče používané v doménách druhého řádu a, zase, používá klíč domény "." jako nadřazený pro potvrzení své důvěry.
V důsledku provedené operace v doménové zóně "DE" se ukázal kryptografický podpis (RRSIG - Resource Record Signature) pro DNS záznam NSEC3 jako chybný. Záznam NSEC3 se používá k potvrzení integrity DNS odpovědí o neexistenci domény, aby se vyloučily útoky pomocí substituce odpovědí NXDOMAIN pro existující domény. V případě problémů s digitálním podpisem pro záznam NSEC3 nemůže DNS server ověřit integritu hashů s daty o existujících doménách a tudíž nemůže provést ověření, považuje odpověď za podvrh a na dotazy o jakékoli doméně vrací chybu.
Zdroj: opennet.ru
