Der opstod et massivt nedbrud i domæneområdet „DE“, der anvendes i Tyskland. Problemerne opstod på grund af en fejl i konfigurationen af DNSSEC for rodområdet „DE“, udført af organisationen DENIC, som ansvarer for topniveau-domenet „DE“. Fra den 5. maj kl. 22:30 til den 6. maj kl. 1:30 (MSK) resulterede forsøg på at opløse domæner i området „DE“ gennem DNS-servere, der anvendte DNSSEC til at verificere dataintegriteten, i fejl. På DNS-servere, der anvendte DNSSEC, blev der også observeret nedbrud under opløsning. domæner, der ikke direkte bruger DNSSEC.
Problemet påvirkede mange DNS-resolvører fra leverandører og offentlige DNS-tjenester som 1.1.1.1 og 8.8.8.8. Som en midlertidig foranstaltning har Cloudflare i sin DNS-tjeneste 1.1.1.1 deaktiveret autentificering via DNSSEC for domæner i området „DE“. Brugerne af DNS-resolvører, hvor DNSSEC er slået fra, led ingen skade.
Årsagerne til hændelsen er endnu ikke officielt blevet offentliggjort. Det antages, at problemet opstod på grund af en fejl ved opdatering af den digitale signatur for området „DE“, udført den 5. maj kl. 20:49 (MSK). Den nøgle, der anvendes til verifikation af topniveau-domenet, er roden af tillid for de øvrige nøgler, der anvendes i anden niveau domæner og bruger nøglen til domenet „.“ som overordnet for at bekræfte sin tillid.
Som følge af den udførte operation i domæneområdet „DE“ var den kryptografiske signatur (RRSIG — Resource Record Signature) for DNS-posten NSEC3 forkert. NSEC3-posten anvendes til at bekræfte autentikationen af DNS-svar på, at et domæne ikke eksisterer, for at udelukke angreb via substitution af NXDOMAIN-svar for eksisterende domæner. I tilfælde af problemer med den digitale signatur for NSEC3-posten kan DNS-serveren ikke bekræfte autenticiteten af hashes med data om eksisterende domæner og kan derfor ikke udføre verificeringen, hvilket får den til at betragte svaret som falsk og returnere en fejl på forespørgsler om ethvert domæne.
Kilde: opennet.ru
