Summary

  • Le 3 décembre 2020, Matt Nordhoff et Peter van Dijk ont signalé des difficultés de résolution pour certains noms de ripe.net ; Anand Buddhdev a ensuite décrit des enregistrements NSEC indus laissés par le signataire DNSSEC.
  • Vers 20 h, heure d'Europe centrale, le RIPE NCC a forcé une nouvelle signature complète de la zone, puis annoncé un signalement aux développeurs du logiciel et une surveillance supplémentaire.

Le DNS a ses petites tâches de secrétariat. Un enregistrement change de rôle dans une zone, le signataire met à jour ses preuves, et les utilisateurs continuent leur journée. Le 3 décembre 2020, cette routine a trébuché sur ripe.net. Vers 15 h 40, Matt Nordhoff et Peter van Dijk ont alerté le RIPE NCC de problèmes touchant la résolution de certains noms. Dans son message du lendemain au groupe DNS, Anand Buddhdev les nomme et remonte le fil de l'incident.

Une modification récente avait reclassé certaines adresses en enregistrements glue, utilisés pour joindre les serveurs d'une délégation. Le logiciel chargé de signer la zone n'a pas correctement traité ce changement. Il a laissé des enregistrements NSEC qui n'auraient pas dû se trouver là, puis la validation DNSSEC a échoué pour certains noms. Le RFC 4035 expose les règles de vérification des réponses signées. Le validateur ne répare pas la zone à la place de l'opérateur : devant une preuve incohérente, il refuse la réponse.

Le RIPE NCC a choisi une réparation nette. Vers 20 h, l'équipe a obligé le signataire à refaire entièrement la signature de la zone ripe.net. Selon Buddhdev, cela a résolu le problème. Entre le premier signalement connu et la correction, la fenêtre rapportée atteint environ quatre heures et vingt minutes. La mise à jour aux membres du RIPE NCC range ensuite l'épisode parmi les incidents de service de décembre.

Le message ne s'arrête pas au retour à la normale. Buddhdev indique que le RIPE NCC a transmis le problème aux développeurs du signataire et prévoyait des contrôles supplémentaires pour détecter plus tôt un nouvel écart. Son rapport ne chiffre pas les utilisateurs touchés et ne fait état d’aucune correction logicielle achevée. Son récit documente autre chose, de très concret : deux observateurs extérieurs ont vu le défaut, une transition de statut a laissé une preuve DNSSEC parasite, et la zone a dû être entièrement resignée. Même la plomberie cryptographique peut avoir besoin d'un plombier qui regarde le bon tuyau.