Došlo k hromadnej poruche v práci doménovej zóny „DE“, používané v Nemecku. Problémy vznikli kvôli chybe v nastavení DNSSEC pre koreňovú zónu „DE“, ktorú vykonala organizácia DENIC zodpovedná za doménu prvej úrovne „DE“. Od 5. mája 22:30 do 6. mája 1:30 (MSK) sa pokusy o vyriešenie domén v zóne „DE“ cez DNS servery, ktoré používajú DNSSEC na overovanie pravosti údajov, končili chybou. Na DNS serveroch používajúcich DNSSEC došlo k poruche aj pri riešení domén, priamo nevyužívajúcich DNSSEC.
Problém zasiahla mnohé DNS resolvery poskytovateľov a verejné DNS služby, ako sú 1.1.1.1 a 8.8.8.8. Ako dočasné opatrenie spoločnosť Cloudflare vo svojej DNS službe 1.1.1.1 deaktivovala autentifikáciu cez DNSSEC pre domény v zóne „DE“. Používatelia DNS resolverov, na ktorých je DNSSEC vypnuté, neutrpeli.
Oficiálne dôvody incidentu zatiaľ neboli oznámené. Predpokladá sa, že problém vznikol kvôli chybe pri aktualizácii digitálneho podpisu pre zónu „DE“, vykonanej 5. mája o 20:49 (MSK). Kľúč použitý na overenie domény prvej úrovne je základom dôvery pre ostatné kľúče používané v doménach druhej úrovne a, zas, používa kľúč domény „.“ ako nadriadený na potvrdenie svojej dôvery.
V dôsledku operácie vykonanej v doménovej zóne „DE“ bola kryptografická kontrola (RRSIG — Resource Record Signature) pre DNS záznam NSEC3 neplatná. Záznam NSEC3 sa používa na potvrdenie pravosti DNS odpovedí o neexistencii domény, aby sa vylúčili útoky na podvrhnutie odpovedí NXDOMAIN pre existujúce domény. V prípade problémov s digitálnym podpisom pre záznam NSEC3 DNS server nedokáže overiť pravosť hashov s údajmi o existencii domén a, príslušne, nie je schopný uskutočniť overenie, považuje odpoveď za podvrhnutú a na dotazy o akejkoľvek doméne poskytuje chybu.
Zdroj: opennet.ru
