A avut loc o defecțiune majoră în funcționarea zonei de domeniu „DE”, utilizată în Germania. Problemele au apărut din cauza unei erori în configurarea DNSSEC pentru zona rădăcină „DE”, comisă de organizația DENIC, responsabilă pentru domeniul de nivel superior „DE”. Între 5 mai, 22:30 și 6 mai, 1:30 (MSK), încercările de rezolvare a domeniilor din zona „DE” prin intermediul serverelor DNS care utilizează DNSSEC pentru validarea datelor au eșuat. Pe serverele DNS care aplică DNSSEC, defecțiunea a fost observată și în cazul rezolvării directe, fără utilizarea DNSSEC. domenii, care nu folosesc direct DNSSEC.
Problema a afectat mulți rezolvatori DNS ai furnizorilor și servicii DNS publice, cum ar fi 1.1.1.1 și 8.8.8.8. Ca măsură temporară, compania Cloudflare a dezactivat validarea prin DNSSEC pentru domeniile din zona „DE” în serviciul său DNS 1.1.1.1. Utilizatorii rezolvatorilor DNS pentru care DNSSEC a fost dezactivat nu au fost afectați.
Motivul oficial al incidentului nu a fost anunțat deocamdată. Se presupune că problema a apărut din cauza unei erori la actualizarea semnăturii digitale pentru zona „DE”, efectuată pe 5 mai la 20:49 (MSK). Cheia utilizată pentru verificarea domeniului de nivel superior este rădăcina încrederii pentru celelalte chei utilizate în domeniile de nivel secundar și, la rândul ei, folosește cheia domeniului „.” ca nivel superior pentru a-și confirma încrederea.
Ca urmare a operațiunii efectuate în zona de domeniu „DE”, semnătura criptografică (RRSIG — Resource Record Signature) pentru înregistrarea DNS NSEC3 s-a dovedit deficitară. Înregistrarea NSEC3 este utilizată pentru a confirma autenticitatea răspunsurilor DNS despre absența unui domeniu, pentru a exclude atacurile prin falsificarea răspunsurilor NXDOMAIN pentru domeniile existente. În cazul unor probleme cu semnătura digitală pentru înregistrarea NSEC3, serverul DNS nu poate valida hash-urile cu date despre existența domeniilor și, în consecință, nu poate efectua verificări, consideră răspunsul falsificat și răspunde cu o eroare la solicitările pentru orice domeniu.
Sursa: opennet.ro
