期限切れの DNSSEC 署名がアフリカの 26 の TLD に影響を与える

期限切れの DNSSEC 署名がアフリカの 26 の TLD に障害をもたらした事象は、公開証拠がインターネットインフラ、ガバナンス、運用依存関係、または市場可視性と関連付けているため、BTW Media によってプロファイリングされました。

• Afrinic の権威 DNS サーバーの 1 つで発生した技術的障害により、DNSSEC 署名が期限切れとなり、マダガスカルの.mg を含むアフリカの 26 の TLD に影響が及びました。この問題は 2024 年 10 月 29 日に始まりましたが、最初に報告されたのは 11 月 8 日でした。
• RIPE Atlas のプローブにより、s01-ns2.pkl と識別される特定の anycast サーバーインスタンスのみが古いデータを提供していたことが明らかになりました。Afrinic は問題解決のためこのサーバーを切断しましたが、これは anycast システムの監視における課題を浮き彫りにしています。

何が起きたか

2024 年 10 月下旬、大規模な技術的問題により、アフリカの 26 のトップレベルドメイン（TLD）が影響を受けました。Afrinic が管理する権威 DNS サーバーの 1 つが古いデータを提供し、DNSSEC（ドメイン名システムセキュリティ拡張）の署名が期限切れと表示されました。この問題は 10 月 29 日に始まりましたが、最初に検出されたのは 11 月 8 日で、.mg（マダガスカル）の TLD ユーザーに一貫性のない DNS 解決をもたらしました。

関連記事:AFRINIC に関する最高裁判決：新規会員の権利なし、2025 年 6 月までに選挙
関連記事:WRS-24 で世界の周波数管理を探る

さらなる分析により、すべてのサーバーが影響を受けたわけではないことが判明しました。むしろ、ns-mg.afrinic.net という anycast ネームサーバーの特定のインスタンスが古いデータを実行していました。RIPE Atlas プローブによる測定では、大多数のサーバーが最新データを報告する一方で、少数が古い情報に依存し続けるという明確な不一致が示されました。この NSID s01-ns2.pkl で識別されるサーバーインスタンスが、複数の TLD での更新伝播の遅延の一因となっていました。

Afrinic は最終的に、問題のあるインスタンスを切断することで問題を解決しました。しかし、この問題は、特にインターネットインフラにとって重要な分散システムの監視とトラブルシューティングに関する疑問を提起しました。

重要性

このインシデントは、インターネットインフラの重要な脆弱性を浮き彫りにしています。サーバーは正常に見えても、古いまたは誤ったデータを配信し続ける可能性があるのです。DNSSEC を使用するドメインでは、署名の期限切れにより、有効なクエリの解決失敗や無効なデータ応答などの潜在的なリスクにユーザーをさらします。

影響を受けたサーバーは.mg だけでなく、他の 25 のアフリカ TLD もホストしていたため、問題の規模が拡大しました。Afrinic の迅速な対応により被害は抑えられましたが、本件は、アップタイムとデータの正確性の両方を保証する堅牢な監視システムの必要性を強調しています。

さらに、この状況は anycast の課題を示しています。anycast は DNS の回復力を高めるために広く使われている技術で、リクエストを地理的に分散したインスタンスにルーティングします。anycast は DNS の堅牢性を強化する一方で、問題の検出とデバッグを複雑にしています。今回のケースで明らかになった通りです。RIPE Atlas のようなツールは、このような異常の特定に非常に役立ちますが、本件が示すように、スムーズな DNS 運用を確保するにはデータの鮮度を事前にチェックすることが依然として不可欠です。