30. ledna v 18:20 (MSK) se uživatelé setkali s hromadnou poruchou určování hostitelů v doménové zóně RU, kterou způsobil problém při změně klíčů používaných k ověřování důvěryhodnosti zóny RU prostřednictvím DNSSEC. V důsledku této události na DNS serverech, které používají DNSSEC k ověřování dat, přestaly být určovány všechny domény v zóně „.ru“. Problém postihl pouze uživatele, kteří využívali DNS resolver od poskytovatelů nebo veřejné DNS služby, jako je 8.8.8.8, ověřující důvěryhodnost dotazů pomocí DNSSEC. Uživatelé DNS resolverů, na kterých je DNSSEC vypnuto, nebyli postiženi.
To, co se stalo, připomíná loňskou událost s registrátorem InternetNZ, který zodpovídá za doménovou zónu „.NZ“, což vedlo k problémům v rozlišení doménových jmen v zóně „.nz“ kvůli chybě při rotaci KSK klíčů (Key Signing Key), které se používají k digitálnímu podepisování záznamů DNSKEY obsahujících klíče pro podepisování doménové zóny (ZSK, Zone Signing Key). V případě InternetNZ byla chyba spojena se změnou formátu klíčů při přechodu na nový informační systém registrátora. Důvody incidentu v zóně RU zatím nebyly podrobně uvedeny — Koordinační centrum domén RU pouze obecně potvrdilo, že problém souvisí s přenastavením DNSSEC.
Podle vnějších projevů k poruše došlo v důsledku pokusu o výměnu klíče používaného k ověřování zóny RU. Tento klíč je kořenem důvěry pro ostatní klíče používané v doménách druhé úrovně a zároveň využívá klíč domény „.“ jako nadřazený pro potvrzení své důvěry. 26. ledna se v nastavení DNSEC zóny RU vedle hlavního klíče s identifikátorem 44301 objevil další klíč 52263.
Včera kolem 18:20 byl nový klíč aktivován pro ověřování záznamů v zóně RU, ale po přechodu na nový klíč z důvodu chyby přestala probíhat autentifikace.
Podpis starým klíčem byla obnovena přibližně v 21 hodin (MSK) a první správná odpověď byla zaznamenána službou dnsviz.net v 22:07 (MSK). Chybné nastavení trvalo přibližně dva a půl hodiny, ale kvůli usazování chybných záznamů v keších DNS serverů je k úplnému obnovení potřeba další čas, pokud se nedokončí povinné vyprázdnění cache na rekurzivních DNS serverech. Někteří poskytovatelé problém vyřešili rychleji a radikálněji tím, že dočasně zakázali ověřování pomocí DNSSEC v nastaveních svých resolverů.
Zdroj: opennet.ru
