En af de 13 rod DNS-servere (c.root-servers.net), der understøtter driften af rod DNS-zonen (det første led i kæden til opløsning af domænenavne, der giver oplysninger om DNS-servere, der betjener topdomæner, og nøgler til deres verifikation via DNSSEC), var i fire dage i en tilstand, der ikke var synkroniseret med de øvrige rod DNS-servere. Driften af rod DNS-serveren "C" (192.33.4.12) varetages af 12 servere placeret i forskellige lande. Alle disse servere reflekterede ikke ændringer i rodzonen fra den 18. til den 22. maj, de gav forældede data og var ikke synkroniseret med den øvrige rod DNS-infrastruktur.
I den angivne periode blev der ikke foretaget ændringer i rodzonen, men der var planlagt arbejde med opdatering af den digitale signatur DNSEC for topdomænet ".gov", der gennemføres som en del af overgangen til kryptografiske nøgler baseret på ECDSA-algoritmen. Til validering af zonen ".gov" i DNSSEC anvendes for nylig algoritmerne 8 (RSA/SHA-256) og 13 (ECDSA P-256/SHA-256), men algoritmen 8 forbliver aktiv. I weekenden var der planer om at tilføje en DS-post til rodzonen for algoritme 13, hvorefter processen med at fjerne DS-posten for algoritme 8 skulle påbegyndes. En tilsvarende udskiftning var planlagt for domænet ".int". Som resultat af dette blev de relaterede DS-poster til understøttelse af algoritme 13 for rod. servere blev overført til IANA, men blev aldrig offentliggjort, da processen med at udskifte nøgler blev suspenderet efter identificeringen af problemer med rodserveren "C."
Driften af rod DNS-serveren "C" varetages på grundlag af aftaler med ICANN af den første niveau (Tier 1) udbyder Cogent Communications, der er til stede i 53 lande. Et par dage før hændelsen blev der registreret problemer med adgangen fra Cogent Communications netværket til 1575 autonome systemer på grund af ophøret af peering med den indiske første niveau udbyder Tata Communications.
Årsagen til at opdateringer for DNS-roden ophører, er en fejl i overvågningssystemet, der skulle holde styr på ændringer. Fejlen opstod efter en ændring i routingen, som ikke var relateret til DNS-servernes funktion (detaljer om årsagerne er endnu ikke offentliggjort). Udover desynkroniseringen er der ikke registreret overtrædelser i behandlingen af forespørgsler til root DNS-serveren "C". Synkroniseringen blev helt genoprettet den 22. maj kl. 19.00 (MSK). Blandt de mulige problemer, der kunne opstå ved en langvarig desynkronisering, nævnes muligheden for at levere forældede oplysninger om nøgler, der anvendes i DNSSEC, og adresserne på de DNS-servere, der betjener domains første niveau.
Kilde: opennet.ru
