Il 30 gennaio alle 18:20 (MSK), gli utenti hanno riscontrato un'interruzione di massa della risoluzione degli host nella zona di dominio RU, causata da un errore durante il cambio delle chiavi utilizzate per garantire l'autenticità della zona RU tramite DNSSEC. Di conseguenza, sui server DNS che applicano DNSSEC per verificare l'autenticità dei dati, tutti i domini nella zona «.ru» non sono stati più risolti. Il problema ha colpito solo gli utenti che utilizzano risolutori DNS forniti dai provider o servizi DNS pubblici come 8.8.8.8, che verificano l'autenticità delle richieste tramite DNSSEC. Gli utenti dei risolutori DNS con DNSSEC disabilitato non hanno subito danni.
L'incidente ricorda quello dello scorso anno con il registrar InternetNZ, responsabile della zona di dominio «.NZ», che portò a un'interruzione nella risoluzione nomi di dominio nella zona «.nz» a causa di un errore nella rotazione delle chiavi KSK (Key Signing Key), utilizzate per la firma digitale dei record DNSKEY, contenenti le chiavi per firmare la zona di dominio (ZSK, Zone Signing Key). Nel caso di InternetNZ, l'errore era legato a un cambiamento di formato delle chiavi durante il passaggio a un nuovo sistema informativo del registrar. Le cause dell'incidente nella zona RU non sono ancora state dettagliate. Il Centro di coordinamento dei domini RU ha solo confermato in termini generali che il problema è correlato alla riconfigurazione di DNSSEC.
A giudicare dalle manifestazioni esterne, l'interruzione si è verificata durante un tentativo di sostituire la chiave utilizzata per la verifica della zona RU. Questa chiave è la radice di fiducia per le altre chiavi utilizzate nei domini di secondo livello e, a sua volta, utilizza la chiave del dominio «.» come chiave superiore per confermare la propria fiducia. Il 26 gennaio, nelle impostazioni DNSEC della zona RU, oltre alla chiave principale con ID 44301, è comparsa una chiave aggiuntiva 52263.
Ieri, intorno alle 18:20, è stata utilizzata una nuova chiave per la verifica dei record nella zona RU, ma dopo il passaggio alla nuova chiave, a causa di un errore, la verifica dell'autenticità non è più avvenuta.
La firma con la vecchia chiave è stata restituita intorno alle 21:00 (MSK), mentre la prima risposta corretta è stata registrata dal servizio dnsviz.net alle 22:07 (MSK). Le impostazioni errate sono state presenti per circa due ore e mezza, ma a causa della persistenza delle voci errate nei cache dei server DNS è necessaria ulteriore tempo per un ripristino completo, a meno che non venga forzata la pulizia della cache sui server DNS ricorsivi. Alcuni fornitori hanno risolto il problema in modo più rapido e radicale, disattivando temporaneamente la verifica tramite DNSSEC nelle impostazioni dei loro resolver.
Fonte: opennet.ru
