Wystąpiła masowa awaria strefy domenowej „DE”, używanej w Niemczech. Problemy pojawiły się z powodu błędu w konfiguracji DNSSEC dla strefy głównej „DE”, dokonanej przez organizację DENIC, odpowiedzialną za domenę pierwszego poziomu „DE”. Od 5 maja 22:30 do 6 maja 1:30 (MSK) próba rozwiązywania domen w strefie „DE” przez serwery DNS stosujące DNSSEC do weryfikacji danych kończyła się błędem. Na serwerach DNS korzystających z DNSSEC również występowały problemy przy rozwiązywaniu. domenów, które bezpośrednio nie stosują DNSSEC.
Problem dotknął wiele resolverów DNS dostawców oraz publiczne usługi DNS, takie jak 1.1.1.1 i 8.8.8.8. Jako środek tymczasowy firma Cloudflare w swojej usłudze DNS 1.1.1.1 wyłączyła weryfikację autentyczności przez DNSSEC dla domen w strefie „DE”. Użytkownicy resolverów DNS, w których DNSSEC zostało wyłączone, nie ucierpieli.
Oficjalnie przyczyny incydentu na razie nie zostały ogłoszone. Uważa się, że problem powstał z powodu błędu podczas aktualizacji cyfrowego podpisu dla strefy „DE”, dokonanej 5 maja o 20:49 (MSK). Klucz stosowany do weryfikacji domeny pierwszego poziomu jest korzeniem zaufania dla pozostałych kluczy używanych w domenach drugiego poziomu i, z kolei, wykorzystuje klucz domeny „.” jako nadrzędny dla potwierdzenia swojego zaufania.
W wyniku przeprowadzonej operacji w strefie domenowej „DE” kryptograficzny podpis (RRSIG — Resource Record Signature) dla rekordu DNS NSEC3 okazał się niepoprawny. Rekord NSEC3 służy do potwierdzania autentyczności odpowiedzi DNS dotyczących braku domeny, aby wykluczyć ataki związane z podstawianiem odpowiedzi NXDOMAIN dla istniejących domen. W przypadku problemów z cyfrowym podpisem dla rekordu NSEC3 serwer DNS nie może potwierdzić autentyczności hashy z danymi o istnieniu domen i w konsekwencji nie może przeprowadzić weryfikacji, uznaje odpowiedź za podróbkę i na żądania dotyczące jakiejkolwiek domeny zwraca błąd.
Źródło: opennet.ru
