Jeden z 13 kořenových serverů DNS (c.root-servers.net), zajišťujících provoz kořenové zóny DNS (počáteční článek v řetězci resolvování doménových jmen, poskytující informace o DNS serverech, které obsluhují domény první úrovně, a klíčích pro jejich ověření pomocí DNSSEC), byl čtyři dny v nezajištěném stavu vůči ostatním kořenovým DNS serverům. Provoz kořenového DNS serveru „C“ (192.33.4.12) zajišťuje 12 serverů umístěných v různých zemích. Všechny tyto servery mezi 18. a 22. květnem neodrážely změny v kořenové zóně, poskytovaly zastaralé údaje a nesynchronizovaly se s ostatní infrastrukturou DNS.
V uvedeném období nedošlo k žádným změnám v kořenové zóně, ale byla naplánována práce na aktualizaci digitálního podpisu DNSSEC pro doménu první úrovně „.gov“, prováděná v rámci přechodu na kryptografické klíče založené na algoritmu ECDSA. Pro ověření zóny „.gov“ se v DNSSEC nedávno používají algoritmy 8 (RSA/SHA-256) a 13 (ECDSA P-256/SHA-256), nicméně algoritmus 8 zůstává aktivní. O víkendu se plánovalo přidání záznamu DS pro algoritmus 13 do kořenové zóny, po kterém měl začít proces odstranění záznamu DS pro algoritmus 8. Podobná výměna byla plánována i pro doménu „.int“. Nakonec byly související záznamy DS pro podporu algoritmu 13 předány IANA, ale nebyly nikdy zveřejněny, protože po zjištění problémů byl proces výměny klíčů pozastaven, dokud se situace s kořenovým serverem „C“ nevyjasnila. servery nesynchronizovány.
Provoz kořenového DNS serveru „C“ na základě dohod s korporací ICANN zajišťuje páteřní poskytovatel první úrovně (Tier 1) Cogent Communications, zastoupený ve 53 zemích. Pár dní před incidentem byly zaznamenány problémy s přístupem ze sítě Cogent Communications k 1575 autonomním systémům kvůli ukončení peeringu s indickým poskytovatelem první úrovně Tata Communications.
Důvodem pro zastavení aktualizací kořenové DNS zóny je selhání monitorovacího systému, který sledoval změny. K selhání došlo po změně routingu, která nesouvisela s fungováním DNS serverů (podrobné informace o důvodech zatím nejsou uvedeny). Kromě desynchronizace nebyly zjištěny žádné poruchy při zpracování dotazů na kořenový DNS server „C“. Synchronizace byla plně obnovena 22. května v 19 hodin (MSK). Mezi možnými problémy, které mohly vzniknout během dlouhé desynchronizace, se uvádí možnost poskytnutí zastaralých dat o klíčích používaných v DNSSEC a adresách DNS serverů poskytujících domény prvního stupně.
Zdroj: opennet.ru
