Um dos 13 servidores DNS raiz (c.root-servers.net), responsável pelo funcionamento da zona raiz do DNS (o elo inicial na cadeia de resolução de nomes de domínio, que fornece informações sobre servidores DNS que atendem registros de domínio de primeiro nível e chaves para verificação usando DNSSEC) permaneceu por quatro dias em um estado não sincronizado com os demais servidores DNS raiz. O servidor DNS raiz 'C' (192.33.4.12) é operado por 12 servidores localizados em diferentes países. Todos esses servidores, de 18 a 22 de maio, não refletiram mudanças na zona raiz, forneceram dados desatualizados e não se sincronizaram com a restante infraestrutura raiz do DNS.
Durante o período indicado, não houve mudanças na zona raiz, mas foi planejada a atualização da assinatura digital DNSSEC para o domínio de primeiro nível '.gov', realizada no âmbito da transição para chaves criptográficas baseadas no algoritmo ECDSA. Para a certificação da zona '.gov' no DNSSEC, têm sido utilizados recentemente os algoritmos 8 (RSA/SHA-256) e 13 (ECDSA P-256/SHA-256), mas o algoritmo 8 continua ativo. No final de semana, estava previsto adicionar um registro DS para o algoritmo 13 na zona raiz, após o que começaria o processo de remoção do registro DS para o algoritmo 8. Uma substituição semelhante estava planejada para o domínio '.int'. Como resultado, os registros DS relacionados ao suporte do algoritmo 13 para a raiz servidores foram enviados para a IANA, mas não foram publicados, pois após a identificação de problemas, o processo de substituição de chaves foi suspenso até que a situação com o servidor raiz 'C' fosse esclarecida.
A operação do servidor DNS raiz 'C' é garantida com base nos acordos com a corporação ICANN pelo provedor de backbone de nível 1 (Tier 1) Cogent Communications, presente em 53 países. Alguns dias antes do incidente, foram observados problemas de acesso da rede Cogent Communications a 1575 sistemas autônomos devido à interrupção do peering com o provedor de nível 1 indiano Tata Communications.
A razão para a interrupção da recepção de atualizações para a zona raiz do DNS é um falha no sistema de monitoramento responsável por rastrear as mudanças. A falha ocorreu após uma alteração na roteamento, não relacionada ao funcionamento dos servidores DNS (informações detalhadas sobre as causas ainda não foram fornecidas). Além da desincronização, não foram registradas violações no processamento de consultas ao servidor DNS raiz "C". A sincronização foi totalmente restaurada em 22 de maio às 19 horas (MSK). Entre os possíveis problemas que poderiam ocorrer durante um longo período de desincronização, destaca-se a possibilidade de fornecimento de dados desatualizados sobre as chaves usadas no DNSSEC e endereços dos servidores DNS que atendem domínios o primeiro nível.
Fonte: opennet.ru
