Si è verificato un guasto massivo nel funzionamento della zona di dominio "DE", utilizzata in Germania. I problemi sono sorti a causa di un errore nella configurazione del DNSSEC per la zona radice "DE", effettuato dall'organizzazione DENIC, responsabile del dominio di primo livello "DE". Dal 5 maggio alle 22:30 al 6 maggio alle 1:30 (MSK), il tentativo di risolvere i domini nella zona "DE" tramite server DNS che utilizzano DNSSEC per verificare l'autenticità dei dati si è concluso con un errore. Nei server DNS che applicano DNSSEC, il guasto è stato osservato anche durante la risoluzione dei domini, che non utilizzano direttamente DNSSEC.
Il problema ha coinvolto molti resolver DNS di provider e servizi DNS pubblici, come 1.1.1.1 e 8.8.8.8. Come misura temporanea, l'azienda Cloudflare ha disattivato l'autenticazione tramite DNSSEC per i domini nella zona "DE" nel suo servizio DNS 1.1.1.1. Gli utenti dei resolver DNS su cui DNSSEC è disattivato non hanno subito danni.
Le cause ufficiali dell'incidente non sono state ancora annunciate. Si ipotizza che il problema sia sorto a causa di un errore durante l'aggiornamento della firma digitale per la zona "DE", avvenuto il 5 maggio alle 20:49 (MSK). La chiave utilizzata per la verifica del dominio di primo livello è la radice di fiducia per le altre chiavi utilizzate nei domini di secondo livello e, a sua volta, utilizza la chiave del dominio "." come superiore per confermare la propria fiducia.
Di conseguenza, l'operazione condotta nella zona di dominio "DE" ha comportato una firma crittografica (RRSIG — Resource Record Signature) non corretta per il record DNS NSEC3. Il record NSEC3 è utilizzato per confermare l'autenticità delle risposte DNS riguardo all'assenza di un dominio, per evitare attacchi di sostituzione delle risposte NXDOMAIN per domini esistenti. In caso di problemi con la firma digitale per il record NSEC3, il server DNS non può verificare l'autenticità degli hash con i dati riguardanti l'esistenza dei domini e, di conseguenza, non può eseguire la verifica, considera la risposta falsa e restituisce un errore per qualsiasi richiesta riguardante un dominio.
Fonte: opennet.ru
