Summary

  • أبلغ Matt Nordhoff وPeter van Dijk في 3 ديسمبر 2020 عن فشل حل بعض أسماء ripe.net؛ وشرح Anand Buddhdev لاحقاً أن برنامج توقيع DNSSEC ترك سجلات NSEC زائدة.
  • قرابة الساعة 20:00 بتوقيت وسط أوروبا، فرض RIPE NCC إعادة توقيع المنطقة كاملة، ثم أعلن إبلاغ مطوري البرنامج وتعزيز المراقبة.

وصل جرس الإنذار من خارج RIPE NCC. نحو الساعة 15:40 يوم 3 ديسمبر 2020، لاحظ Matt Nordhoff وPeter van Dijk خللاً في حل أسماء محددة ضمن ripe.net وأبلغا المؤسسة. في اليوم التالي، سمّى Anand Buddhdev الرجلين في رسالته إلى مجموعة عمل DNS، ثم حدّد موضع العطب. تحديث حديث للمنطقة غيّر صفة بعض سجلات العناوين إلى سجلات glue. لم يعالج برنامج توقيع DNSSEC هذا التحول كما ينبغي، فترك سجلات NSEC زائدة، وفشل التحقق من إجابات تخص بعض الأسماء.

يبدو الأمر مثل خطأ تصنيف صغير، لكنه يقع عند التقاء وظيفتين حاسمتين. يساعد glue المحلّل على بلوغ خوادم النطاق المفوّض. أما NSEC فيدخل ضمن البرهان الموقّع بشأن الأسماء غير الموجودة. يحدد RFC 4035 طريقة التحقق من بيانات DNS الموقّعة. حين يصبح البرهان داخل المنطقة غير متسق، يرفض المحلّل المتحقق الإجابة. هنا حافظ التحقق على صرامته، بينما كانت المنطقة التي يتحقق منها تحمل مادة توقيع مضطربة.

اختارت المؤسسة إصلاحاً واسعاً: قرابة الساعة 20:00 أجبرت برنامج التوقيع على إعادة توقيع منطقة ripe.net كلها. أفاد Buddhdev بأن ذلك أصلح المشكلة. من أول تنبيه معروف إلى الإصلاح نحو أربع ساعات وعشرين دقيقة وفق الأوقات المنشورة. وذكر تحديث RIPE NCC للأعضاء في ديسمبر حادثة التحقق ضمن أحداث الخدمات في الشهر.

لم تنته الرسالة عند عودة الخدمة. قال Buddhdev إن RIPE NCC أحال المشكلة إلى مطوري برنامج التوقيع ويضيف مراقبة لاكتشاف حالة مماثلة أسرع. لم يقدّم عدداً للمتأثرين ولا إعلاناً عن رقعة برمجية مكتملة. الوقائع التي قدّمها تكفي لرسم الحادث: تغيّر دور سجل، ظهرت بيانات NSEC لا مكان لها، اكتشف مراقبان من الخارج الفشل، وأعادت المؤسسة توقيع المنطقة كاملة. في DNS، قد يحمل الخطأ الإداري الصغير كلفة تشغيلية كبيرة جداً.