Summary

  • Matt Nordhoff und Peter van Dijk meldeten am 3. Dezember 2020 Auflösungsprobleme für bestimmte ripe.net-Namen; Anand Buddhdev beschrieb später überflüssige NSEC-Einträge durch den DNSSEC-Signierer.
  • Gegen 20 Uhr MEZ erzwang das RIPE NCC eine vollständige Neusignierung der Zone. Das behob den Fehler; zusätzlich kündigte es Überwachung und eine Meldung an die Softwareentwickler an.

Es begann mit zwei Leuten, die genauer hinsahen als die internen Anzeigen. Gegen 15.40 Uhr am 3. Dezember 2020 wiesen Matt Nordhoff und Peter van Dijk das RIPE NCC auf Probleme bei bestimmten Namen unter ripe.net hin. Anand Buddhdev nannte beide in seiner Mitteilung an die DNS-Arbeitsgruppe am folgenden Tag. Eine jüngste Änderung der Zone hatte einige Adressdatensätze zu Glue-Einträgen gemacht. Der DNSSEC-Signierer verarbeitete diesen Rollenwechsel falsch und hinterließ überflüssige NSEC-Einträge. Die Validierung schlug fehl.

Die beiden Datentypen kommen aus unterschiedlichen Ecken des DNS-Betriebs. Glue hilft einem Resolver, die Server einer delegierten Zone zu finden. NSEC gehört zum signierten Nachweis über nicht vorhandene Namen. RFC 4035 beschreibt, wie signierte Antworten geprüft werden. Stimmen die Nachweise in der Zone nicht, nimmt ein validierender Resolver die Antwort nicht an. Die Kryptografie war streng; die Zone, die sie absichern sollte, hatte einen Fehler eingebaut.

Das RIPE NCC zwang den Signierer gegen 20 Uhr, die gesamte Zone ripe.net neu zu signieren. Laut Buddhdev war der Fehler damit behoben. Zwischen der ersten gemeldeten Warnung und der Reparatur lagen nach den veröffentlichten Zeiten ungefähr vier Stunden und zwanzig Minuten. Das Mitglieder-Update für Dezember führte den DNSSEC-Vorfall ebenfalls unter den Serviceereignissen auf.

Buddhdev beschrieb auch, was danach folgen sollte. Der Fehler wurde den Entwicklern der Signiersoftware gemeldet; zusätzliche Überwachung sollte ähnliche Zustände schneller aufdecken. Sein Bericht enthält weder eine Zahl betroffener Nutzer noch eine abgeschlossene Codekorrektur. Er enthält die wichtigere technische Reihenfolge: Rollenwechsel im Zoneneintrag, falsches NSEC-Material, Hinweis von außen, vollständige Neusignierung. Ein Signaturstempel ist eben nur so nützlich wie der Zustand, auf den er gesetzt wird.