En av 13 rotservrar för DNS (c.root-servers.net) som ansvarar för rotzonen för DNS (den första lÀnken i kedjan för upplösning av domÀnnamn, som ger information om DNS-servrar som hanterar toppdomÀner och nycklar för deras verifiering med hjÀlp av DNSSEC) har under fyra dagar varit ur synk med de andra rot-DNS-servrarna. Arbetet med den rot-DNS-servern "C" (192.33.4.12) stöds av 12 servrar som Àr placerade i olika lÀnder. Alla dessa servrar, frÄn den 18 till den 22 maj, reflekterade inte Àndringar i rotzonen, gav utdaterad information och synkroniserades inte med den övriga rotinfrastrukturen för DNS.
Under den angivna perioden gjordes inga Àndringar i rotzonen, men arbete planerades för att uppdatera den digitala signaturen DNSEC för toppdomÀnen «.gov», vilket genomfördes som en del av övergÄngen till kryptografiska nycklar baserade pÄ ECDSA-algoritmen. För att certifiera zonen «.gov» i DNSSEC har algoritmerna 8 (RSA/SHA-256) och 13 (ECDSA P-256/SHA-256) anvÀnts pÄ senare tid, men algoritm 8 Àr fortfarande aktiv. Under helgen planerades det att lÀgga till en DS-post för algoritm 13 i rotzonen, efter vilket processen för att ta bort DS-posten för algoritm 8 skulle pÄbörjas. En liknande förÀndring planerades Àven för domÀnen «.int». Som resultat överfördes DS-posterna som var relaterade till stöd för algoritm 13 till IANA, men publicerades aldrig, eftersom processen för nyckelbyte pausades efter att problem identifierades med rotservern «C. servrar Arbetet med rot-DNS-servern «C» ansvaras, enligt avtalen med ICANN, av den stora förstahandsleverantören (Tier 1) Cogent Communications, som Àr verksam i 53 lÀnder. NÄgra dagar före incidenten noterades problem med Ätkomst frÄn nÀtverket Cogent Communications till 1575 autonoma system pÄ grund av att peeringuppgörelsen med den indiska förstahandsleverantören Tata Communications avbrutits.
Funktionen för rot DNS-server "C" baseras pÄ överenskommelser med ICANN och tillhandahÄlls av den första nivÄns backbone-leverantör (Tier 1) Cogent Communications, som Àr verksamt i 53 lÀnder. NÄgra dagar före incidenten noterades problem med Ätkomsten frÄn Cogent Communications nÀtverk till 1575 autonoma system pÄ grund av avbrott i peeringen med den indiska första nivÄns leverantören Tata Communications.
Anledningen till att uppdateringar för den övergripande DNS-zonen har upphört anges vara ett fel i övervakningssystemet som ansvarar för att spÄra förÀndringar. Felet intrÀffade efter en Àndring av routingen som inte var relaterad till DNS-servrarnas funktion (detaljerad information om orsakerna lÀmnas för nÀrvarande inte). Förutom desynkronisering har inga avvikelser i behandlingen av förfrÄgningar till den övergripande DNS-servern "C" registrerats. Synkroniseringen ÄterstÀlldes helt den 22 maj klockan 19:00 (MSK). Bland de potentiella problem som kan ha uppstÄtt under den lÄngvariga desynkroniseringen nÀmns risken för att förÄldrad information om nycklar som anvÀnds i DNSSEC och adresser till DNS-servrar som tillhandahÄller domÀner topdomen.
KĂ€lla: opennet.ru
