德国使用的“DE”域名区域发生大范围故障。问题源于“DE”根区域的DNSSEC配置错误，该错误由负责“DE”顶级域名的DENIC组织造成。从5月5日晚上10:30到5月6日凌晨1:30（莫斯科时间），尝试通过启用DNSSEC验证数据有效性的DNS服务器解析“DE”区域中的域名均失败。在启用DNSSEC的DNS服务器上，解析过程中也出现了故障。 域名它们不直接使用 DNSSEC。
该问题影响了许多 ISP 的 DNS 解析器和公共 DNS 服务，例如 1.1.1.1 和 8.8.8.8。作为临时措施，Cloudflare 在其 1.1.1.1 DNS 服务上禁用了“DE”区域中域名的 DNSSEC 身份验证。已禁用 DNSSEC 的 DNS 解析器用户不受影响。
事件原因尚未正式公布。据信，问题源于5月5日晚上8点49分（莫斯科时间）发生的“DE”区域数字签名更新错误。用于验证顶级域的密钥是所有其他二级域密钥的信任根，而二级域本身又使用“.”域密钥作为上位密钥来确认其信任关系。
由于在“DE”域区域中执行的操作，NSEC3 DNS 记录的加密签名（RRSIG — 资源记录签名）被发现无效。NSEC3 记录用于验证关于域名不存在的 DNS 响应的真实性，以防止将 NXDOMAIN 响应替换为现有域名的攻击。如果 NSEC3 记录的数字签名不正确，DNS 服务器将无法验证包含域名存在数据的哈希值的真实性，因此无法执行验证，并将响应视为伪造，并对任何关于域名的查询返回错误。
来源： opennet.ru
