Coordination Center for TLD RU

2024年1月、ロシアの国別トップレベルドメインである.RUは、予定されていたDNSSECのゾーン署名鍵ロールオーバーをきっかけに、大規模な名前解決障害を経験した。問題の核心は権威DNSサーバーの台数不足でも、DNSSECというプロトコルの破綻でもなかった。公開されたDNSKEYと、実際にRRSIGを生成した秘密鍵の関係が食い違い、検証リゾルバーが署名済みゾーンを正しく認証できなくなったのである。

Uma troca programada da chave de assinatura da zona .RU mostrou por que redundância de servidores não basta quando o artefato assinado que todos distribuem é internamente inconsistente.

كشف تبديل مخطط لمفتاح توقيع منطقة ‎.RU‎ في يناير/كانون الثاني 2024 عن مشكلة مساءلة محددة ولكنها شديدة الأثر: لا يحمي تعدد خوادم الأسماء الموثوقة المستخدمين عندما تكون نسخة المنطقة الموقعة التي توزعها تلك الخوادم غير متسقة من الناحية التشفيرية.

Ein planmäßiger Wechsel des Zone Signing Key für die Top-Level-Domain .RU führte Ende Januar 2024 zu einer widersprüchlich signierten Zone. Der Vorfall zeigt, warum belastbare Netzinfrastruktur nicht allein von redundanten DNS-Servern abhängt: Entscheidend ist, ob die tatsächlich veröffentlichten Schlüssel und Signaturen vor ihrer Freigabe kryptografisch geprüft wurden.

2024年1月、ロシアの国別トップレベルドメインである.RUは、予定されていたDNSSECのゾーン署名鍵ロールオーバーをきっかけに、大規模な名前解決障害を経験した。問題の核心は権威DNSサーバーの台数不足でも、DNSSECというプロトコルの破綻でもなかった。公開されたDNSKEYと、実際にRRSIGを生成した秘密鍵の関係が食い違い、検証リゾルバーが署名済みゾーンを正しく認証できなくなったのである。

2024年1月，.RU国家和地区顶级域在一次计划内DNSSEC区域签名密钥轮换中发布了内部不一致的签名状态。故障说明，权威DNS节点即使具备充分冗余，也无法弥补共同区域数据本身的密码学错误；真正需要接受检验的，是密钥身份、签名产物、发布决策、递归验证、回滚以及修复证据组成的整条控制链。

La rotación planificada de la clave de firma de zona de .RU mostró que la redundancia de servidores autoritativos no protege a los usuarios cuando todos distribuyen el mismo artefacto firmado incoherente. El incidente fue limitado en su mecanismo, pero amplio en su enseñanza: la continuidad de un dominio de nivel superior depende de demostrar que las claves, las firmas y el estado publicado coinciden antes de ponerlos en servicio.

Le rollover ZSK DNSSEC planifié de .RU en janvier 2024 a révélé un problème de responsabilité étroit mais sérieux : des serveurs DNS autoritaires redondants ne protègent pas les usagers quand l’artefact de zone signé qu’ils distribuent est lui-même incohérent.

A planned .RU DNSSEC zone-signing-key rollover in January 2024 exposed a narrow but serious accountability problem: redundant authoritative DNS cannot protect users when the shared signed-zone artifact is internally inconsistent.