Summary

  • Matt Nordhoff y Peter van Dijk avisaron al RIPE NCC el 3 de diciembre de 2020 de fallos al resolver ciertos nombres de ripe.net; Anand Buddhdev explicó después que el firmador había dejado registros NSEC indebidos.
  • Cerca de las 20:00 CET, el RIPE NCC forzó una nueva firma de toda la zona y anunció vigilancia adicional y un informe a los desarrolladores del software.

La primera pista llegó desde fuera. Hacia las 15:40, Matt Nordhoff y Peter van Dijk comunicaron al RIPE NCC que ciertos nombres de ripe.net no se resolvían correctamente. Al día siguiente, Anand Buddhdev escribió al grupo de trabajo DNS una explicación precisa del incidente. Una actualización reciente había convertido el estado de algunos registros de dirección en registros glue. El firmador DNSSEC no manejó bien ese cambio y dejó registros NSEC impropios. La validación de las respuestas falló.

El detalle importa porque glue y NSEC cumplen oficios distintos. Los registros glue ayudan a encontrar los servidores de una delegación; NSEC participa en la prueba firmada de que ciertos nombres no existen. El RFC 4035 fija cómo se comprueban las respuestas DNSSEC. Cuando la prueba firmada de la zona no encaja, un resolvedor que valida rechaza la respuesta. El candado estaba funcionando; el problema estaba en lo que se había puesto detrás del candado.

El equipo del RIPE NCC obligó al firmador a volver a firmar por completo la zona ripe.net hacia las 20:00. Buddhdev dijo que esa operación solucionó el fallo. Entre el aviso inicial y la reparación transcurrieron unas cuatro horas y veinte minutos según los horarios publicados. La actualización de diciembre para los miembros incluyó el problema DNSSEC entre los incidentes del mes.

Buddhdev añadió dos pasos: comunicar el problema a los desarrolladores del programa de firma y ampliar la monitorización para detectar algo semejante antes. No presentó un recuento de usuarios afectados ni anunció un parche ya terminado. La secuencia documentada tiene más fuerza que una cifra inventada: dos personas vieron desde fuera que ciertos nombres fallaban; una clasificación administrativa había perturbado la firma; una nueva firma completa restauró la validación. A veces el registro guarda correctamente el papel, y el servicio se tropieza al certificarlo.