Es gab einen massiven Ausfall der Domain-Zone „DE“, die in Deutschland verwendet wird. Die Probleme traten aufgrund eines Fehlers in der Konfiguration von DNSSEC für die Domain-Zone „DE“ auf, die von der Organisation DENIC verantwortet wird, die für die Top-Level-Domain „DE“ zuständig ist. Vom 5. Mai 22:30 bis 6. Mai 1:30 (MSK) endeten die Versuche, Domains in der Zone „DE“ über DNS-Server mit DNSSEC zur Überprüfung der Daten zu resolvieren, mit einem Fehler. Auch bei der Auflösung über DNS-Server, die DNSSEC nicht anwenden, trat der Ausfall auf. Domains, die DNSSEC nicht direkt verwenden.
Das Problem betraf viele DNS-Resolver von Providern und öffentliche DNS-Dienste wie 1.1.1.1 und 8.8.8.8. Als vorübergehende Maßnahme schaltete das Unternehmen Cloudflare in seinem DNS-Dienst 1.1.1.1 die Authentifizierung über DNSSEC für Domains in der Zone „DE“ ab. Benutzer von DNS-Resolvern, bei denen DNSSEC deaktiviert ist, waren nicht betroffen.
Die offiziellen Ursachen des Vorfalls wurden bisher nicht bekannt gegeben. Es wird vermutet, dass das Problem aufgrund eines Fehlers beim Aktualisieren der digitalen Signatur für die Zone „DE“ am 5. Mai um 20:49 (MSK) auftrat. Der zur Verifizierung der Top-Level-Domain verwendete Schlüssel dient als Vertrauensanker für die anderen Schlüssel, die in den Second-Level-Domains verwendet werden, und verwendet seinerseits den Schlüssel der Domain „.“ als übergeordneten Schlüssel zur Bestätigung seines Vertrauens.
Infolge der durchgeführten Operation in der Domain-Zone „DE“ war die kryptografische Signatur (RRSIG - Resource Record Signature) für den DNS-Eintrag NSEC3 fehlerhaft. Der NSEC3-Eintrag wird verwendet, um die Authentizität von DNS-Antworten über die Nichtexistenz einer Domain zu bestätigen, um Angriffe durch NXDOMAIN-Antworten auf vorhandene Domains zu verhindern. Bei Problemen mit der digitalen Signatur für den NSEC3-Eintrag kann der DNS-Server die Authentizität der Hashes mit Informationen über die Existenz von Domains nicht überprüfen und wird daher die Antwort als gefälscht betrachten und bei Anfragen zu beliebigen Domains einen Fehler zurückgeben.
Quelle: opennet.ru
