Il 30 gennaio alle 18:20 (MSK), gli utenti hanno affrontato un'interruzione massiva del riconoscimento degli host nella zona di dominio RU, causata da un errore durante il cambio delle chiavi utilizzate per attestare la validità della zona RU tramite DNSSEC. Di conseguenza, tutti i domini nella zona "ru" non sono stati più riconosciuti dai server DNS che utilizzano DNSSEC per la validazione dei dati. Il problema ha colpito solo gli utenti che utilizzano i resolver DNS dei provider o servizi DNS pubblici come 8.8.8.8, che verificano la validità delle richieste tramite DNSSEC. Gli utenti dei resolver DNS in cui DNSSEC è disabilitato non sono stati colpiti.
L'evento ricorda l'incidente dello scorso anno con il registrar InternetNZ, responsabile per la zona di dominio ".NZ", che ha portato a un'interruzione della risoluzione di nomi di dominio nella zona ".nz" a causa di un errore nella rotazione delle chiavi KSK (Key Signing Key), utilizzate per la firma digitale dei record DNSKEY, che contengono le chiavi per la firma della zona di dominio (ZSK, Zone Signing Key). Nel caso di InternetNZ, l'errore era legato a un cambiamento nel formato delle chiavi durante la transizione a un nuovo sistema informativo del registrar. Le cause dell'incidente nella zona RU non sono ancora state dettagliate — il Centro di Coordinamento dei domini RU ha solo confermato in termini generali che il problema è legato alla riconfigurazione di DNSSEC.
A quanto pare, l'interruzione è avvenuta a causa di un tentativo di sostituire la chiave utilizzata per la validazione della zona RU. Questa chiave è la radice di fiducia per le altre chiavi utilizzate nei domini di secondo livello e, a sua volta, utilizza la chiave del dominio "." come chiave superiore per confermare la propria fiducia. Il 26 gennaio, nelle impostazioni DNSEC della zona RU, oltre alla chiave principale con l'identificatore 44301, è stata aggiunta una chiave supplementare 52263.
Ieri, intorno alle 18:20, la nuova chiave è stata utilizzata per la validazione dei record nella zona RU, ma dopo il passaggio alla nuova chiave, a causa di un errore, la verifica dell'autenticità ha smesso di funzionare.
La firma con la vecchia chiave è stata ripristinata intorno alle 21:00 (MSK), e la prima risposta corretta è stata registrata dal servizio dnsviz.net alle 22:07 (MSK). Le impostazioni errate sono rimaste per circa due ore e mezza, ma a causa del persistere delle registrazioni errate nelle cache dei server DNS, è necessario ulteriore tempo per un ripristino completo, a meno che non venga forzatamente ripulita la cache sui server DNS ricorsivi. Alcuni provider hanno risolto il problema in modo più rapido e radicale, disabilitando temporaneamente nelle impostazioni dei loro resolver la verifica tramite DNSSEC.
Fonte: opennet.ru
