En av 13 rotservrar för DNS (c.root-servers.net) som ansvarar för rotzonen för DNS (den första länken i kedjan för upplösning av domännamn, som ger information om DNS-servrar som hanterar toppdomäner och nycklar för deras verifiering med hjälp av DNSSEC) har under fyra dagar varit ur synk med de andra rot-DNS-servrarna. Arbetet med den rot-DNS-servern "C" (192.33.4.12) stöds av 12 servrar som är placerade i olika länder. Alla dessa servrar, från den 18 till den 22 maj, reflekterade inte ändringar i rotzonen, gav utdaterad information och synkroniserades inte med den övriga rotinfrastrukturen för DNS.
Under den angivna perioden gjordes inga ändringar i rotzonen, men arbete planerades för att uppdatera den digitala signaturen DNSEC för toppdomänen «.gov», vilket genomfördes som en del av övergången till kryptografiska nycklar baserade på ECDSA-algoritmen. För att certifiera zonen «.gov» i DNSSEC har algoritmerna 8 (RSA/SHA-256) och 13 (ECDSA P-256/SHA-256) använts på senare tid, men algoritm 8 är fortfarande aktiv. Under helgen planerades det att lägga till en DS-post för algoritm 13 i rotzonen, efter vilket processen för att ta bort DS-posten för algoritm 8 skulle påbörjas. En liknande förändring planerades även för domänen «.int». Som resultat överfördes DS-posterna som var relaterade till stöd för algoritm 13 till IANA, men publicerades aldrig, eftersom processen för nyckelbyte pausades efter att problem identifierades med rotservern «C. servrar Arbetet med rot-DNS-servern «C» ansvaras, enligt avtalen med ICANN, av den stora förstahandsleverantören (Tier 1) Cogent Communications, som är verksam i 53 länder. Några dagar före incidenten noterades problem med åtkomst från nätverket Cogent Communications till 1575 autonoma system på grund av att peeringuppgörelsen med den indiska förstahandsleverantören Tata Communications avbrutits.
Работу корневого DNS-сервера «С» на основании соглашений с корпорацией ICANN обеспечивает магистральный провайдер первого уровня (Tier 1) Cogent Communications, представленный в 53 странах. За несколько дней до инцидента отмечалось появление проблем с доступом из сети Cogent Communications к 1575 автономным системам из-за прекращения пиринга с индийским провайдером первого уровня Tata Communications.
Anledningen till att uppdateringar för den övergripande DNS-zonen har upphört anges vara ett fel i övervakningssystemet som ansvarar för att spåra förändringar. Felet inträffade efter en ändring av routingen som inte var relaterad till DNS-servrarnas funktion (detaljerad information om orsakerna lämnas för närvarande inte). Förutom desynkronisering har inga avvikelser i behandlingen av förfrågningar till den övergripande DNS-servern "C" registrerats. Synkroniseringen återställdes helt den 22 maj klockan 19:00 (MSK). Bland de potentiella problem som kan ha uppstått under den långvariga desynkroniseringen nämns risken för att föråldrad information om nycklar som används i DNSSEC och adresser till DNS-servrar som tillhandahåller domäner topdomen.
Källa: opennet.ru
