Domeenitsoonis RU toimunud tõrge DNSSEC võtit vahetades

30. jaanuaril kell 18:20 (MSK) kogesid kasutajad ulatuslikku probleemide loomisel hostide määramisest .RU domeenitsoonis, mille põhjustas viga võtmete vahetamisel, mida kasutatakse .RU tsooni autentimiseks DNSSEC kaudu. Selle intsidendi tõttu lakkasid DNS-serverid, mis rakendavad DNSSEC andmete autentimise kontrollimiseks, tuvastamast kõiki domeene „.ru” tsoonis. Probleem puudutas ainult kasutajaid, kes kasutasid teenusepakkuja DNS-resolvereid või avalikke DNS-teenuseid nagu 8.8.8.8, mis autentivad päringute tegelikkust DNSSEC-i abil. DNS-resolverite kasutajad, kellel on DNSSEC keelatud, ei kannatanud.

Toimunu meenutab möödunud aasta intsidendi registreerijaga InternetNZ, mis vastutab „.NZ” domeenitsooni eest ja mis viis lahendamise tõrke tekkimiseni domeeninime „.nz” tsoonis KSK-võtmete (Key Signing Key) vahetamise veast, mida kasutatakse DNSKEY-de kirjade digitaalsete allkirjade koostamiseks, mis sisaldavad domeeni tsooni allkirjastamiseks mõeldud võtmeid (ZSK, Zone Signing Key). InternetNZ puhul oli vea põhjuseks võtmete formaadi muutmine uude registri infosüsteemi ülemineku käigus. RU tsooni intsidendi põhjused pole veel üksikasjalikult seletatud – RU domeenide koordineerimiskeskus on kinnitanud, et probleem on seotud DNSSEC-i uuendustega.

Välimuse põhjal tundub, et tõrge tekkis üritusel asendada võtme, mida kasutatakse RU tsooni kontrollimiseks. See võti on teistele teise tasandi domeenides kasutatavatele võtmetele usaldusväärsuse alus ja kasutab omakorda domeeni „.” võtit oma usaldusväärsuse kinnitamiseks. 26. jaanuaril ilmus RU tsooni DNSEC seadetesse lisaks põhivõtmele, mille ID on 44301, täiendav võti 52263.

Eile, umbes kell 18:20, hakati uut võtit kasutama RU tsooni kirjade autentimiseks, kuid pärast uuele võtmele üleminekut lakkas autentimine toimimast.

Vana võtmega allkiri taastati umbes kell 21:00 (MSK), samas kui esimene õige vastus fikseeriti teenuse dnsviz.net poolt kell 22:07 (MSK). Vead püsisid ligikaudu kaks ja pool tundi, kuid valeandmete jääkide tõttu DNS-serveri vahemikus on täielik taastamine saadaval ainult siis, kui jooksvaid vahemikke ei puhastata. Mõned teenusepakkujad lahendasid probleemi kiiremini ja radikaalselt, deaktiveerides ajutiselt DNSSEC-i kontrolli oma resolverite seadetes.

Allikas: opennet.ru