Dogodila se masovna greška u radu domenske zone "DE", koja se koristi u Njemačkoj. Problemi su nastali zbog greške u postavkama DNSSEC-a za korijensku zonu "DE", koju je napravila organizacija DENIC, odgovorna za domenu prvog nivoa "DE". Od 5. maja 22:30 do 6. maja 1:30 (MSK) pokušaj razrješavanja domena u zoni "DE" preko DNS-servera koji koriste DNSSEC za provjeru autentičnosti podataka završavao je greškom. Na DNS-serverima koji koriste DNSSEC, došlo je do greške i prilikom razrješavanja domena, izravno ne koristeći DNSSEC.
Problem je pogodio mnoge DNS-rezolvere provajdera i javne DNS-usluge, kao što su 1.1.1.1 i 8.8.8.8. Kao privremenu mjeru, kompanija Cloudflare je u svojoj DNS-usluzi 1.1.1.1 isključila provjeru autentičnosti putem DNSSEC-a za domene u zoni "DE". Korisnici DNS-rezolvera na kojima je DNSSEC isključen nisu pretrpjeli štetu.
Formalni uzroci incidenta trenutno nisu objavljeni. Pretpostavlja se da je problem nastao zbog greške pri ažuriranju digitalnog potpisa za zonu "DE", izvršenog 5. maja u 20:49 (MSK). Ključ korišten za verifikaciju domene prvog nivoa predstavlja korijen povjerenja za ostale ključeve koji se koriste u domenama drugog nivoa i, zauzvrat, koristi ključ domene "." kao viši za potvrdu svog povjerenja.
Kao rezultat operacije provedene u domenskoj zoni "DE", kriptografski potpis (RRSIG — Resource Record Signature) za DNS-zapis NSEC3 bio je neispravan. Zapis NSEC3 se koristi za potvrdu autentičnosti DNS-odgovora o nepostojanju domene, kako bi se isključili napadi pomoću podmetanja odgovora NXDOMAIN za postojeće domene. U slučaju problema s digitalnim potpisom za zapis NSEC3, DNS-server ne može potvrditi autentičnost hashova s podacima o postojanju domena i, shodno tome, ne može provesti provjeru, smatra odgovora lažnim i na upite o bilo kojoj domeni izbacuje grešku.
Izvor: opennet.ru
