Een van de 13 root-DNS-servers (c.root-servers.net), die de werking van de rootzone van DNS waarborgen (de eerste schakel in de keten van domeinnameresolutie, die informatie geeft over de DNS-servers die eerste-niveau domeinen bedienen en sleutels voor hun verificatie met DNSSEC) was vier dagen lang niet gesynchroniseerd met de andere root-DNS-servers. De werking van de root-DNS-server 'C' (192.33.4.12) wordt verzekerd door 12 servers, verspreid over verschillende landen. Al deze servers gaven van 18 tot 22 mei geen wijzigingen in de rootzone weer, gaven verouderde gegevens en synchroniseerden niet met de rest van de root-DNS-infrastructuur.
In de aangegeven periode werden er geen wijzigingen in de rootzone aangebracht, maar was er een update van de digitale handtekening DNSEC voor het eerste-niveau domein '.gov' gepland, uitgevoerd in het kader van de overgang naar cryptografische sleutels op basis van het ECDSA-algoritme. Voor de ondertekening van de zone '.gov' wordt inmiddels gebruik gemaakt van algoritmes 8 (RSA/SHA-256) en 13 (ECDSA P-256/SHA-256), maar algoritme 8 blijft actief. In het weekend was het gepland om een DS-record voor algoritme 13 aan de rootzone toe te voegen, waarna het proces om het DS-record voor algoritme 8 te verwijderen zou beginnen. Een soortgelijke vervangingen waren gepland voor het domein '.int'. Uiteindelijk werden de DS-records ter ondersteuning van algoritme 13 voor de root. servers werden overgedragen aan IANA, maar zijn nooit gepubliceerd, omdat het vervangingsproces werd uitgesteld na het ontdekken van problemen met de rootserver 'C'.
De werking van de root-DNS-server 'C' wordt op basis van afspraken met de ICANN uitgevoerd door de Tier 1-provider Cogent Communications, vertegenwoordigd in 53 landen. Enkele dagen voor het incident werd er een probleem opgemerkt met de toegang vanuit het Cogent Communications-netwerk tot 1575 autonome systemen als gevolg van het beƫindigen van de peering met de Indiase Tier 1-provider Tata Communications.
De reden voor de stopzetting van de updates voor de root DNS-zone is een storing in het monitorsysteem dat verantwoordelijk was voor het volgen van wijzigingen. De storing deed zich voor na een wijziging in de routering die niet gerelateerd was aan de werking van de DNS-servers (gedetailleerde informatie over de oorzaken wordt nog niet verstrekt). Naast de desynchronisatie zijn er geen verstoringen in de verwerking van aanvragen aan de root DNS-server 'C' vastgesteld. De synchronisatie werd volledig hersteld op 22 mei om 19:00 uur (MSK). Onder de mogelijke problemen die zich tijdens de langdurige desynchronisatie hebben kunnen voordoen, wordt de mogelijkheid genoemd dat verouderde gegevens over de sleutels die in DNSSEC worden gebruikt, en de adressen van de DNS-servers, die de eerste domeinen niveau's.
Bron: opennet.ru
