Tömeges hiba történt a német "DE" domain zóna működésében. A problémák a DNSSEC root zóna "DE" beállításának hibájából adódtak, amelyért a "DE" első szintű domainért felelős DENIC szervezet volt a felelős. Május 5-én 22:30-tól május 6-án 1:30-ig (MSK) a DNSSEC-validation-t végző DNS-szerverekkel végzett domain feloldási kísérletek hibával zárultak. A DNSSEC-kel rendelkező DNS-szervereken a feloldás során hiba lépett fel. domainok, közvetlenül nem használva a DNSSEC-t.
A probléma számos szolgáltató DNS-feloldóját és nyilvános DNS-szolgáltatásokat, mint például az 1.1.1.1 és 8.8.8.8 érintett. Ideiglenes megoldásként a Cloudflare a 1.1.1.1 DNS-szolgáltatásában letiltotta a DNSSEC hitelesítést a "DE" zónába tartozó domainekre. A DNS-feloldók felhasználói, ahol a DNSSEC le van tiltva, nem szenvedtek.
Az incidens hivatalos okait eddig nem hozták nyilvánosságra. Feltételezhető, hogy a probléma a "DE" zóna digitális aláírásának frissítésekor történt hibából ered, amely május 5-én, 20:49-kor (MSK) történt. Az első szintű domain hitelesítésére használt kulcs a többi kulcs bizalmának alapja, amelyet a második szintű domainek használnak, és viszont a "." domain kulcsát egy feljebb lévő hitelesítési szintként használja.
A "DE" domain zónában végrehajtott művelet következtében a DNS NSEC3 rekordjának kriptográfiai aláírása (RRSIG - Resource Record Signature) hibásnak bizonyult. Az NSEC3 rekordot a DNS válaszok hitelesítésére használják a domainok hiányának megerősítésére, hogy elkerüljék az NXDOMAIN válaszok becsapására irányuló támadásokat. Ha probléma merül fel a digitális aláírás során az NSEC3 rekord esetében, a DNS-szerver nem tudja megerősíteni a domainok létezésével kapcsolatos hash értékeket, ezért nem tudja elvégezni a hitelesítést, álválasztásnak tekinti a választ, és bármely domain kérdésére hibát ad.
Forrás: opennet.ru
