Uno dei 13 server root DNS (c.root-servers.net), che assicurano il funzionamento della zona root DNS (il primo anello nella catena di risoluzione dei nomi di dominio, fornendo informazioni sui server DNS che gestiscono i domini di primo livello e le chiavi per la loro verifica tramite DNSSEC), è rimasto in uno stato non sincronizzato con gli altri server root DNS per quattro giorni. Il server DNS root 'C' (192.33.4.12) è supportato da 12 server situati in vari paesi. Tutti questi server, dal 18 al 22 maggio, non hanno riflesso le modifiche nella zona root, hanno fornito dati obsoleti e non si sono sincronizzati con il resto dell'infrastruttura root DNS.
Nel periodo indicato non sono state apportate modifiche alla zona radice, ma è stato pianificato un lavoro di aggiornamento della firma digitale DNSEC per il dominio di primo livello «.gov», condotto nell'ambito della transizione ai materiali crittografici basati sull'algoritmo ECDSA. Per la certificazione della zona «.gov» in DNSSEC sono stati recentemente utilizzati gli algoritmi 8 (RSA/SHA-256) e 13 (ECDSA P-256/SHA-256), ma l'algoritmo 8 rimane attivo. Durante il fine settimana era previsto l'inserimento nella zona radice di un record DS per l'algoritmo 13, dopo di che sarebbe iniziato il processo di rimozione del record DS per l'algoritmo 8. Era programmata una sostituzione analoga anche per il dominio «.int». Di conseguenza, i record DS relativi al supporto dell'algoritmo 13 per le radici server sono stati trasferiti all'IANA, ma non sono stati pubblicati, poiché, dopo l'identificazione di problemi, il processo di sostituzione delle chiavi è stato sospeso fino a chiarimenti sulla situazione con il server radice «С.»
Il funzionamento del server DNS radice "C" è garantito da Cogent Communications, fornitore di livello uno (Tier 1), in base a accordi con la corporazione ICANN e presente in 53 paesi. Negli giorni precedenti all'incidente, sono stati segnalati problemi di accesso dalla rete di Cogent Communications a 1575 sistemi autonomi a causa della cessazione del peering con il fornitore indiano di livello uno Tata Communications.
Come motivo per la cessazione della ricezione degli aggiornamenti per la zona DNS radice, si indica un guasto nel sistema di monitoraggio responsabile dell'analisi delle modifiche. Il guasto si è verificato dopo una modifica della routazione, non correlata al funzionamento dei server DNS (le informazioni dettagliate sulle cause non sono ancora disponibili). Oltre alla desincronizzazione, non sono stati registrati problemi nella gestione delle richieste al server DNS radice "C". La sincronizzazione è stata completamente ripristinata il 22 maggio alle 19:00 (MSK). Tra i possibili problemi che potrebbero essere emersi durante il lungo periodo di desincronizzazione, si segnala la possibilità di fornire dati obsoleti sulle chiavi utilizzate in DNSSEC e sugli indirizzi dei server DNS che forniscono домены di livello uno.
Fonte: opennet.ru
