DE domeenitsoon oli paar tundi välja lülitatud DNSSEC tõttu

Saksidomaani "DE" töötab Saksamaal massiline rike. Probleemid tekkisid DNSSEC seadistamise vea tõttu juure tsoonis "DE", mille eest vastutab organisatsioon DENIC, mis haldab esmaklassilist domeeni "DE". 5. mai 22:30 kuni 6. mai 1:30 (MSK) katse lahendada domeene tsoonis "DE" DNS-serverite kaudu, mis rakendavad DNSSEC andmete autentimise kontrolleerimiseks, lõppes veaga. DNS-serverites, mis rakendavad DNSSEC, täheldati riket ka lahendamisel domeenide, mis ei kasuta otse DNSSEC-i.

Probleem puudutas paljusid pakkujate DNS-lahendureid ja avalikke DNS-teenuseid, nagu 1.1.1.1 ja 8.8.8.8. Ajutise meetmena deaktiveeris Cloudflare oma DNS-teenuses 1.1.1.1 DNSSEC kaudu autentimise kontrollimise domeenide jaoks tsoonis "DE". DNS-lahendite kasutajad, kellel DNSSEC on deaktiveeritud, ei saanud kahjustada.

Ametlikult pole juhtumi põhjuseid veel kuulutatud. Eeldatakse, et probleem tekkis digitaalallkirja värskendamise vea tõttu tsoonis "DE", mis toimus 5. mail kell 20:49 (MSK). Üksikasjade kontrollimiseks kasutatav esmaklassilise domeeni võti on usalduspunkt ülejäänud võtmete jaoks, mida kasutatakse teise taseme domeenides, ja omakorda kasutab see domeeni "." võtme usaldusväärsuse kinnitamiseks.

Tõhusalt teostatud operatsiooni tõttu domeenitsoonis "DE" osutus krüptograafiline allkiri (RRSIG – Resource Record Signature) DNS-kirje NSEC3 jaoks vigaseks. NSEC3 kanded kasutatakse DNS-vastuste autentimise kinnitamiseks domeeni puudumise korral, et välistada NXDOMAIN vastuste petmine olemasolevatele domeenidele. Digitaalallkirja probleemide korral NSEC3 kirje poolt ei saa DNS-server kinnitada hash'e olemasolevate domeenide andmete autentsust ja seetõttu ei saa ta teha kontrolli, peab vastust valevõitlevaks ja väljastab igasuguste domeenide päringute korral vea.

Allikas: opennet.ru