No dia 30 de janeiro, às 18:20 (MSK), os usuários enfrentaram uma falha em massa na resolução de hosts na zona de domínio RU, causada por um erro na troca de chaves usadas para garantir a autenticidade da zona RU através do DNSSEC. Como resultado do incidente, todos os domínios na zona '.ru' deixaram de ser resolvidos em servidores DNS que utilizam DNSSEC para validar os dados. O problema afetou apenas os usuários que utilizavam resolvedores DNS de provedores ou serviços DNS públicos, como o 8.8.8.8, que verificam a autenticidade das solicitações por meio do DNSSEC. Os usuários de resolvedores DNS nos quais o DNSSEC estava desativado não foram afetados.
O ocorrido lembra o incidente do ano passado com o registrador InternetNZ, responsável pela zona de domínio '.NZ', que resultou em uma falha na resolução domínios na zona '.nz' devido a um erro na rotação das chaves KSK (Key Signing Key), usadas para assinar digitalmente os registros DNSKEY, que contêm as chaves para a assinatura da zona (ZSK, Zone Signing Key). No caso do InternetNZ, o erro estava relacionado à alteração do formato das chaves ao migrar para um novo sistema de informações do registrador. As causas do incidente na zona RU ainda não foram detalhadas - O Centro de Coordenação de Domínios RU apenas confirmou, em termos gerais, que o problema está relacionado à reconfiguração do DNSSEC.
Pelo que parece externamente, a falha ocorreu como resultado de uma tentativa de substituição da chave usada para a verificação da zona RU. Esta chave é a raiz da confiança para as outras chaves usadas nos domínios de segundo nível, e, por sua vez, utiliza a chave do domínio '.' como superior para confirmar sua confiança. No dia 26 de janeiro, nas configurações DNSEC da zona RU, além da chave principal com o identificador 44301, uma chave adicional 52263 foi adicionada.
Ontem, por volta das 18:20, uma nova chave foi ativada para verificar registros na zona RU, mas após a transição para a nova chave, a autenticação deixou de ser bem-sucedida devido a um erro.
A assinatura da chave antiga foi retornada por volta das 21 horas (MSK), enquanto a primeira resposta correta foi registrada pelo serviço dnsviz.net às 22:07 (MSK). As configurações com falha estiveram presentes por cerca de duas horas e meia, mas, devido à permanência de registros errôneos nos caches dos servidores DNS, é necessário um tempo adicional para a recuperação completa, a menos que o cache nos servidores DNS recursivos seja limpo forçosamente. Alguns provedores resolveram o problema de forma mais rápida e radical, desativando temporariamente a verificação via DNSSEC nas configurações de seus resolvedores.
Fonte: opennet.ru
