Prišlo je do masovnega prekida delovanja domenske cone „DE“, ki se uporablja v Nemčiji. Težave so se pojavile zaradi napake pri nastavitvi DNSSEC za korensko cono „DE“, ki jo upravlja organizacija DENIC, odgovorna za domeno prvega nivoja „DE“. Od 5. maja 22:30 do 6. maja 1:30 (MSK) je bila poskus rešitev domen v coni „DE“ prek DNS strežnikov, ki uporabljajo DNSSEC za preverjanje veljavnosti podatkov, neuspešna. Na DNS strežnikih, ki uporabljajo DNSSEC, so bile težave pri reševanju domena, ki neposredno ne uporabljajo DNSSEC.
Problemi so prizadeli številne DNS resolverje ponudnikov in javne DNS storitve, kot sta 1.1.1.1 in 8.8.8.8. Kot začasna rešitev je podjetje Cloudflare v svoji DNS storitvi 1.1.1.1 izklopilo preverjanje pristnosti prek DNSSEC za domene v coni „DE“. Uporabniki DNS resolverjev, pri katerih je DNSSEC izklopljen, niso bili prizadeti.
Uradni razlogi za incident zaenkrat še niso razkrite. Predvideva se, da so težave nastale zaradi napake pri posodobitvi digitalnega podpisa za cono „DE“, opravljeni 5. maja ob 20:49 (MSK). Ključ, uporabljen za overjanje domene prvega nivoja, je koren zaupanja za ostale ključe, uporabljene v domenah drugega nivoja, in sam uporablja ključ domene „.“ kot zgornji nivo za potrditev svojega zaupanja.
Kot rezultat operacije, ki je bila izvedena v domenski coni „DE“, je bil kriptografski podpis (RRSIG — Resource Record Signature) za DNS zapis NSEC3 nepravilen. Zapis NSEC3 se uporablja za potrditev pristnosti DNS odgovorov o neobstoju domene, da se preprečijo napadi za zamenjavo odgovorov NXDOMAIN za obstoječe domene. V primeru težav s digitalnim podpisom za zapis NSEC3 DNS strežnik ne more potrditi pristnosti hash-ov s podatki o obstoju domene in posledično ne more izvesti preverjanja, kar pomeni, da šteje odgovor za ponarejenega in na poizvedbe o kateri koli domeni vrne napako.
Izvor: opennet.ru
