Op 30 januari om 18:20 (MSK) kwamen gebruikers tegen een massale storing in het bepalen van hosts in de domeinzone RU, veroorzaakt door een fout bij het wisselen van de sleutels die werden gebruikt voor de authenticatie van de zone RU via DNSSEC. Als gevolg van het incident stopten alle domeinen in de zone '.ru' met werken op de DNS-servers die DNSSEC toepassen voor het verifiƫren van gegevens. Het probleem trof alleen gebruikers die DNS-resolvers van providers of openbare DNS-diensten, zoals 8.8.8.8, gebruiken die de zoekopdrachten verifiƫren met DNSSEC. Gebruikers van DNS-resolvers waarbij DNSSEC was uitgeschakeld, waren niet getroffen.
Het voorval doet denken aan het incident van vorig jaar met de registrar InternetNZ, verantwoordelijk voor de domeinzone '.NZ', wat leidde tot een storing in de resolutie domeinnamen in de zone '.nz' als gevolg van een fout bij de rotatie van KSK-sleutels (Key Signing Key), die worden gebruikt voor de digitale handtekening van DNSKEY-records, welke de sleutels bevatten voor de handtekening van de domeinzone (ZSK, Zone Signing Key). In het geval van InternetNZ was de fout gerelateerd aan de wijziging van het sleutelformaat bij de overgang naar een nieuw informatiesysteem van de registrar. De oorzaken van het incident in de zone RU zijn nog niet gedetailleerd ā het Coƶrdineringscentrum voor domeinen RU heeft alleen in algemene termen bevestigd dat het probleem verband houdt met de herconfiguratie van DNSSEC.
Uit de uiterlijke verschijnselen lijkt de storing te zijn veroorzaakt door een poging om de sleutel te vervangen die wordt gebruikt voor de authenticatie van de zone RU. Deze sleutel vormt de wortel van vertrouwen voor de andere sleutels die worden gebruikt in de tweede niveau domeinen en gebruikt op zijn beurt de sleutel van het domein '.' als hogere autoriteit voor de bevestiging van zijn vertrouwen. Op 26 januari verscheen er naast de belangrijkste sleutel met identificatienummer 44301 een extra sleutel 52263 in de DNSSEC-instellingen van de zone RU.
Gisteren rond 18:20 werd de nieuwe sleutel ingezet voor de verificatie van records in de zone RU, maar na de overgang naar de nieuwe sleutel stopte de authenticatie als gevolg van een fout.
De handtekening met de oude sleutel werd ongeveer 21:00 uur (MSK) teruggezet, en het eerste correcte antwoord werd om 22:07 uur (MSK) door de service dnsviz.net geregistreerd. De foutieve instellingen waren ongeveer tweeƫnhalf uur aanwezig, maar vanwege het afzetten van foutieve records in de caches van DNS-servers is extra tijd nodig voor een volledige herstel, tenzij de cache op de recursieve DNS-servers handmatig wordt geleegd. Sommige providers hebben het probleem sneller en radicaler opgelost door tijdelijk de verificatie via DNSSEC in de instellingen van hun resolvers uit te schakelen.
Bron: opennet.ru
