Ett massivt fel intrÀffade i domÀnzonen "DE", som anvÀnds i Tyskland. Problemet uppstod pÄ grund av ett fel i instÀllningen av DNSSEC för rotzonen "DE", som utfördes av organisationen DENIC, som ansvarar för toppdomÀnen "DE". FrÄn den 5 maj 22:30 till den 6 maj 1:30 (MSK) misslyckades försök att lösa domÀner i zonen "DE" via DNS-servrar som anvÀnder DNSSEC för att verifiera data. Det fanns Àven fel pÄ DNS-servrar som inte anvÀnde DNSSEC. domÀner, som inte direkt anvÀnder DNSSEC.
Problemet pÄverkade mÄnga DNS-resolver frÄn leverantörer och offentliga DNS-tjÀnster som 1.1.1.1 och 8.8.8.8. Som en tillfÀllig ÄtgÀrd stÀngde företaget Cloudflare av autentisering via DNSSEC för domÀner i zonen "DE" i sin DNS-tjÀnst 1.1.1.1. AnvÀndare av DNS-resolvrar, dÀr DNSSEC Àr avstÀngt, pÄverkades inte.
De officiella orsakerna till incidenten har Ànnu inte meddelats. Det antas att problemet uppstod pÄ grund av ett fel vid uppdatering av den digitala signaturen för zonen "DE", som genomfördes den 5 maj kl. 20:49 (MSK). Den nyckel som anvÀnds för att verifiera toppdomÀnen Àr roten till förtroendet för övriga nycklar som anvÀnds i andradomÀner, och anvÀnder i sin tur nyckeln för domÀnen "." som en överordnad för att bekrÀfta sitt förtroende.
Som ett resultat av operationen i domÀnzonen "DE", var den kryptografiska signaturen (RRSIG - Resource Record Signature) för DNS-posten NSEC3 inkorrekt. NSEC3-posten anvÀnds för att bekrÀfta autenticiteten av DNS-svar om att en domÀn inte finns, för att utesluta attacker med NXDOMAIN-responsers substitution för existerande domÀner. Vid problem med den digitala signaturen för NSEC3-posten kan DNS-servern inte verifiera hash-vÀrden med information om existerande domÀner och kan dÀrmed inte utföra verifiering, anser svaret vara falskt och ger ett felmeddelande för alla domÀner vid förfrÄgningar.
KĂ€lla: opennet.ru
