30. siječnja u 18:20 (MSK) korisnici su naišli na masovni kvar u određivanju hostova u domeni zona RU, uzrokovan greškom prilikom promjene ključeva koji se koriste za verifikaciju autentičnosti zone RU putem DNSSEC-a. Kao rezultat incidenta, DNS serveri koji koriste DNSSEC za provjeru autentičnosti podataka prestali su odrediti sve domene u zoni „.ru“. Problem je utjecao samo na korisnike koji koriste DNS rezolve provajdera ili javne DNS usluge poput 8.8.8.8, verifikujući autentičnost zahtjeva putem DNSSEC-a. Korisnici DNS rezolvea na kojima je DNSSEC onemogućen nisu pogođeni.
Do incidenta je došlo podsjećajući na prošlogodišnji incident s registratorom InternetNZ, koji je odgovoran za domena zonu „.NZ“, što je dovelo do kvara u razrješavanju domenaskih imena u zoni „.nz“ zbog greške prilikom rotacije KSK ključeva (Key Signing Key) koji se koriste za digitalno potpisivanje zapisa DNSKEY, koji sadrži ključeve za potpisivanje domene (ZSK, Zone Signing Key). U slučaju InternetNZ-a, greška je bila povezana s promjenom formata ključeva prilikom prelaska na novi informacijski sustav registratora. Razlozi incidenta u zoni RU još nisu detaljno objašnjeni — Koordinacijski centar domena RU samo je u općim crtama potvrdio da je problem povezan s ponovnim postavljanjem DNSSEC-a.
Sudeći prema vanjskim manifestacijama, do kvara je došlo kao rezultat pokušaja zamjene ključa koji se koristi za verifikaciju zone RU. Ovaj ključ je korijen povjerenja za ostale ključeve koji se koriste u domenama druge razine i, zauzvrat, koristi ključ domene „.“ kao nadređeni za potvrđivanje svog povjerenja. 26. siječnja u postavkama DNSEC zone RU, uz glavni ključ s identifikatorom 44301, pojavio se dodatni ključ 52263.
Juče, otprilike u 18:20, novi ključ je bio aktiviran za verifikaciju zapisa u zoni RU, ali nakon prelaska na novi ključ, zbog greške, verifikacija autentičnosti nije mogla proći.
Potpis starim ključem vraćen je oko 21 sat (MSK), a prvi ispravni odgovor zabilježen je na servisu dnsviz.net u 22:07 (MSK). Greške u postavkama su trajale približno dva i pol sata, ali zbog upisivanja pogrešnih zapisa u predmemoriju DNS poslužitelja potrebno je dodatno vrijeme za potpuno obnavljanje, osim ako se ne očisti predmemorija na rekurzivnim DNS poslužiteljima. Neki pružatelji su problem riješili brže i drastičnije, privremeno onemogućivši provjeru putem DNSSEC-a u postavkama svojih resolvera.
Izvor: opennet.ru
