Uno dei 13 server radice DNS (c.root-servers.net), che forniscono il funzionamento della zona radice DNS (il primo anello nella catena di risoluzione dei nomi di dominio, che restituisce informazioni sui server DNS che gestiscono i domini di primo livello e sulle chiavi per la loro verifica tramite DNSSEC) è stato per quattro giorni in uno stato non sincronizzato con gli altri server DNS radice. Il funzionamento del server DNS radice "C" (192.33.4.12) è garantito da 12 server situati in diversi paesi. Tutti questi server, dal 18 al 22 maggio, non hanno riflesso modifiche alla zona radice, fornendo dati obsoleti e non sincronizzandosi con il resto dell'infrastruttura radice DNS.
Nel periodo indicato, non sono state apportate modifiche alla zona radice, ma era programmato un intervento per aggiornare la firma digitale DNSSEC per il dominio di primo livello " .gov", effettuato nell'ambito della transizione verso chiavi crittografiche basate sull'algoritmo ECDSA. Per la certificazione della zona " .gov" in DNSSEC sono stati recentemente utilizzati gli algoritmi 8 (RSA/SHA-256) e 13 (ECDSA P-256/SHA-256), ma l'algoritmo 8 rimane attivo. Nel fine settimana era previsto aggiungere un record DS per l'algoritmo 13 nella zona radice, dopo di che iniziare il processo di rimozione del record DS per l'algoritmo 8. Un intervento simile era programmato anche per il dominio " .int". Alla fine, i record DS relativi al supporto dell'algoritmo 13 per le radici server sono stati inviati a IANA, ma non sono stati pubblicati poiché, dopo la scoperta di problemi, il processo di sostituzione delle chiavi è stato sospeso fino a chiarimenti sulla situazione con il server radice "C.
Il funzionamento del server DNS radice "C" è assicurato, sulla base di accordi con la società ICANN, da un provider di livello 1 (Tier 1) come Cogent Communications, presente in 53 paesi. Alcuni giorni prima dell'incidente, sono stati segnalati problemi di accesso dalla rete Cogent Communications a 1575 sistemi autonomi a causa della cessazione del peering con il provider indiano di livello 1 Tata Communications.
Come motivazione per la sospensione degli aggiornamenti per la zona DNS principale viene citato un guasto nel sistema di monitoraggio responsabile del tracciamento delle modifiche. Il guasto è avvenuto dopo una modifica nel routing, non correlata al funzionamento dei server DNS (le informazioni dettagliate sulle cause non sono attualmente disponibili). Oltre alla desincronizzazione, non sono stati registrati problemi nel trattamento delle richieste al server DNS principale "C". La sincronizzazione è stata completamente ripristinata il 22 maggio alle 19:00 (MSK). Tra i possibili problemi che potrebbero sorgere durante una lunga desincronizzazione, viene notata la possibilità di fornire dati obsoleti sulle chiavi utilizzate in DNSSEC e sugli indirizzi dei server DNS che gestiscono domini di primo livello.
Fonte: opennet.ru
