Panne dans la zone de domaine RU en raison d'une erreur lors du remplacement des clés DNSSEC

Le 30 janvier à 18h20 (MSK), les utilisateurs ont rencontré une panne massive de la résolution des hôtes dans la zone de domaine RU, causée par une erreur lors du changement de clés utilisées pour certifier l'authenticité de la zone RU via DNSSEC. En conséquence de l'incident, tous les domaines dans la zone « .ru » ont cessé d'être résolus sur les serveurs DNS utilisant DNSSEC pour vérifier l'authenticité des données. Le problème a touché seulement les utilisateurs qui utilisaient des résolveurs DNS de fournisseurs ou des services DNS publics, comme 8.8.8.8, qui vérifient l'authenticité des requêtes via DNSSEC. Les utilisateurs de résolveurs DNS avec DNSSEC désactivé n'ont pas été affectés.

Ce qui s'est produit rappelle l'incident de l'année dernière avec le registraire InternetNZ, responsable de la zone de domaine « .NZ », qui a conduit à une panne de la résolution complets dans la zone « .nz » en raison d'une erreur lors de la rotation des clés KSK (Key Signing Key), utilisées pour la signature numérique des enregistrements DNSKEY, contenant des clés pour signer la zone de domaine (ZSK, Zone Signing Key). Dans le cas d'InternetNZ, l'erreur était liée à un changement de format des clés lors du passage à un nouveau système d'information du registraire. Les raisons de l'incident dans la zone RU n'ont pas encore été détaillées — le Centre de coordination des domaines RU a simplement confirmé en termes généraux que le problème était lié à la reconfiguration de DNSSEC.

À en juger par les manifestations externes, la panne est survenue à la suite d'une tentative de remplacement de la clé utilisée pour vérifier la zone RU. Cette clé est la racine de confiance pour les autres clés utilisées dans les domaines de second niveau et, à son tour, utilise la clé du domaine « . » comme supérieure pour confirmer sa confiance. Le 26 janvier, dans les paramètres DNS de la zone RU, un clé supplémentaire avec l'identifiant 52263 est apparue en plus de la clé principale avec l'identifiant 44301.

Hier, vers 18h20, une nouvelle clé a été utilisée pour vérifier les enregistrements dans la zone RU, mais après le passage à la nouvelle clé, la vérification de l'authenticité a échoué en raison d'une erreur.

La signature de l'ancienne clé a été restaurée vers 21 heures (MSK), et la première réponse correcte a été enregistrée par le service dnsviz.net à 22h07 (MSK). Des réglages défaillants ont été présents pendant environ deux heures et demie, mais en raison de la persistance des enregistrements erronés dans les caches des serveurs DNS, un temps supplémentaire est nécessaire pour une restauration complète, à moins de forcer le vide-cache sur les serveurs DNS récursifs. Certains fournisseurs ont résolu le problème de manière plus rapide et radicale en désactivant temporairement la vérification via DNSSEC dans les réglages de leurs résolveurs.

Source : opennet.ru