Ocorreu uma falha massiva na operação da zona de domínio "DE", utilizada na Alemanha. Os problemas surgiram devido a um erro na configuração do DNSSEC para a zona raiz "DE", cometido pela organização DENIC, responsável pelo domínio de primeiro nível "DE". De 5 de maio às 22:30 até 6 de maio às 1:30 (MSK), a tentativa de resolução de domínios na zona "DE" através de servidores DNS que aplicam DNSSEC para verificar a validade dos dados resultava em erro. Nos servidores DNS que utilizam DNSSEC, a falha também foi observada na resolução. domínios, que não utilizam diretamente DNSSEC.
O problema afetou muitos resolvedores DNS de provedores e serviços DNS públicos, como 1.1.1.1 e 8.8.8.8. Como medida temporária, a empresa Cloudflare desativou a autenticação através do DNSSEC para domínios na zona "DE" em seu serviço DNS 1.1.1.1. Usuários de resolvedores DNS nos quais o DNSSEC foi desativado não foram afetados.
Oficialmente, as causas do incidente ainda não foram divulgadas. Supõe-se que o problema tenha surgido devido a um erro na atualização da assinatura digital para a zona "DE", realizada em 5 de maio às 20:49 (MSK). A chave utilizada para a verificação do domínio de primeiro nível é a raiz da confiança para as outras chaves utilizadas em domínios de segundo nível e, por sua vez, usa a chave do domínio "." como superior para confirmar sua confiança.
Como resultado da operação realizada na zona de domínio "DE", a assinatura criptográfica (RRSIG — Resource Record Signature) para o registro DNS NSEC3 se mostrou incorreta. O registro NSEC3 é utilizado para confirmar a autenticidade das respostas DNS sobre a inexistência de um domínio, a fim de evitar ataques de substituição de respostas NXDOMAIN para domínios existentes. Em caso de problemas com a assinatura digital para o registro NSEC3, o servidor DNS não consegue verificar a autenticidade dos hashes com os dados sobre a existência de domínios e, consequentemente, não pode realizar a confirmação, considera a resposta falsificada e retorna um erro em consultas sobre qualquer domínio.
Fonte: opennet.ru
