Coordination Center for TLD RU

Ein planmäßiger Wechsel des Zone Signing Key für die Top-Level-Domain .RU führte Ende Januar 2024 zu einer widersprüchlich signierten Zone. Der Vorfall zeigt, warum belastbare Netzinfrastruktur nicht allein von redundanten DNS-Servern abhängt: Entscheidend ist, ob die tatsächlich veröffentlichten Schlüssel und Signaturen vor ihrer Freigabe kryptografisch geprüft wurden.

Uma troca programada da chave de assinatura da zona .RU mostrou por que redundância de servidores não basta quando o artefato assinado que todos distribuem é internamente inconsistente.

كشف تبديل مخطط لمفتاح توقيع منطقة ‎.RU‎ في يناير/كانون الثاني 2024 عن مشكلة مساءلة محددة ولكنها شديدة الأثر: لا يحمي تعدد خوادم الأسماء الموثوقة المستخدمين عندما تكون نسخة المنطقة الموقعة التي توزعها تلك الخوادم غير متسقة من الناحية التشفيرية.

Ein planmäßiger Wechsel des Zone Signing Key für die Top-Level-Domain .RU führte Ende Januar 2024 zu einer widersprüchlich signierten Zone. Der Vorfall zeigt, warum belastbare Netzinfrastruktur nicht allein von redundanten DNS-Servern abhängt: Entscheidend ist, ob die tatsächlich veröffentlichten Schlüssel und Signaturen vor ihrer Freigabe kryptografisch geprüft wurden.

2024年1月、ロシアの国別トップレベルドメインである.RUは、予定されていたDNSSECのゾーン署名鍵ロールオーバーをきっかけに、大規模な名前解決障害を経験した。問題の核心は権威DNSサーバーの台数不足でも、DNSSECというプロトコルの破綻でもなかった。公開されたDNSKEYと、実際にRRSIGを生成した秘密鍵の関係が食い違い、検証リゾルバーが署名済みゾーンを正しく認証できなくなったのである。

2024年1月，.RU国家和地区顶级域在一次计划内DNSSEC区域签名密钥轮换中发布了内部不一致的签名状态。故障说明，权威DNS节点即使具备充分冗余，也无法弥补共同区域数据本身的密码学错误；真正需要接受检验的，是密钥身份、签名产物、发布决策、递归验证、回滚以及修复证据组成的整条控制链。

La rotación planificada de la clave de firma de zona de .RU mostró que la redundancia de servidores autoritativos no protege a los usuarios cuando todos distribuyen el mismo artefacto firmado incoherente. El incidente fue limitado en su mecanismo, pero amplio en su enseñanza: la continuidad de un dominio de nivel superior depende de demostrar que las claves, las firmas y el estado publicado coinciden antes de ponerlos en servicio.

Le rollover ZSK DNSSEC planifié de .RU en janvier 2024 a révélé un problème de responsabilité étroit mais sérieux : des serveurs DNS autoritaires redondants ne protègent pas les usagers quand l’artefact de zone signé qu’ils distribuent est lui-même incohérent.

A planned .RU DNSSEC zone-signing-key rollover in January 2024 exposed a narrow but serious accountability problem: redundant authoritative DNS cannot protect users when the shared signed-zone artifact is internally inconsistent.