Domeenitsooni RU tõrge DNSSEC võtmete vahetamise vea tõttu

30. jaanuaril kell 18:20 (MSK) kogesid kasutajad ulatuslikku probleemide rikkaunud hostide määramisel RU domeenitsoonis, mis oli põhjustatud veast, mis tekkis kahe võtme vahetamisel, mis on vajalikud RU tsooni tõendamiseks DNSSEC-i kaudu. Selle intsidendi tagajärjel lõpetasid kõik domeenid tsoonis " .ru" määramise DNS-serverites, mis kasutavad DNSSEC-i andmete autentimise kontrollimiseks. Probleem puudutas ainult kasutajaid, kes kasutasid teenusepakkujate või avalikke DNS teenuseid nagu 8.8.8.8, mis kontrollivad päringute usaldusväärsust DNSSEC-i kaudu. DNS-resolverite kasutajaid, kellel DNSSEC on välja lülitatud, see ei mõjutanud.

Toimunud meenutab eelmise aasta intsidenti registrariga InternetNZ, mis vastutab " .NZ" domeenitsooni eest, ja mis viis tsoonis " .nz" lahendamise häireteni KSK-võtmete (Key Signing Key) vahetamise vea tõttu, mida kasutatakse DNSKEY kirjade digitaalallkirjastamiseks, mis sisaldavad domeenitsooni allkirjastamiseks vajalikke võtmeid (ZSK, Zone Signing Key). InternetNZ-i puhul oli viga seotud võtmete formaadi muutumisega seoses registrite uue infosüsteemi kasutusele võtuga. RU tsooni intsidendi põhjuseid pole seni üksikasjalikult selgitatud – RU domeenide koordineerimiskeskus on vaid üldiselt kinnitanud, et probleem on seotud DNSSEC-i seadistamise ümberseadistamisega. domeeninimesid Välismärkide kohaselt juhtus viga tõenäoliselt RU tsooni usaldusvõime kinnitusvõtme asendamise katse tõttu. See võtme on usaldusallika teiste võtmete jaoks, mida kasutatakse teise taseme domeenides, ja omakorda kasutab domeeni " ." võtme, et kinnitada oma usaldusväärsust. 26. jaanuaril anti RU tsooni DNSSEC seadistustes välja lisavõti 52263 lisaks põhivõtmele, mille identifikaator on 44301.

Eile, umbes kell 18:20, kasutati uut võtit RU tsooni kirjade usaldusväärsuse tõendamiseks, kuid pärast uue võtme kasutusele võtmist lõpetas autentimiskontroll vea tõttu toimumise.

Vana võtmega allkirjastamine taastati umbes kell 21 (MSK), ja esimene korrektne vastus fikseeriti teenuses dnsviz.net kell 22:07 (MSK). Häireseaded olid umbes kaks ja pool tundi, kuid valeandmete püsivuse tõttu DNS-serverite vahetusmälu, on täielik taastamine vajalikuks täiendavaks ajaks, kui pärast ei ole koheselt vahemälu oma rekursiivsetes DNS-serverites puhastatud. Mõned teenusepakkujad lahendasid probleemi kiiremini ja radikaalsemalt, lülitades ajutiselt välja oma resolverite seadetes DNSSEC-i kontrollimise.

30. jaanuaril kell 18:20 (MSK) kogesid kasutajad massilist hostide määramise tõrget RU domeenitsoonis, kuna DNSSEC-i kaudu tõendamisvõtmete vahetamisel tekkis viga. Selle intsidendi tagajärjel lõpetasid kõik domeenid tsoonis ".ru" määramise DNS-serverites, mis kasutavad DNSSEC-i. Probleem puudutas ainult teenusepakkujate DNS-resolverite kasutajaid.

Allikas: opennet.ru