Summary

  • 2020년 12월 3일 Matt Nordhoff와 Peter van Dijk가 ripe.net 일부 이름의 해석 문제를 RIPE NCC에 알렸다. Anand Buddhdev는 서명 프로그램이 불필요한 NSEC 레코드를 남긴 경위를 공개했다.
  • RIPE NCC는 중부유럽시간 약 20시에 구역 전체를 강제로 다시 서명해 문제를 해결하고, 개발자 신고와 추가 감시를 발표했다.

첫 경고는 등록기관 밖에서 왔다. 2020년 12월 3일 15시 40분쯤 Matt Nordhoff와 Peter van Dijk는 ripe.net에 속한 몇몇 이름이 제대로 해석되지 않는다고 RIPE NCC에 알렸다. 다음 날 Anand Buddhdev는 DNS 작업반에 보낸 설명에서 두 사람에게 공을 돌리고 원인을 적었다. 최근 구역 업데이트로 일부 주소 레코드의 역할이 glue로 바뀌었다. DNSSEC 서명 프로그램이 이 전환을 제대로 다루지 못해 불필요한 NSEC 레코드를 남겼고, 검증이 실패했다.

glue는 위임된 이름의 서버를 찾아가는 길잡이다. NSEC는 존재하지 않는 이름을 증명하는 서명 자료의 일부다. RFC 4035는 서명된 DNS 답을 검증하는 방식을 정한다. 구역 안의 증명이 서로 맞지 않으면 검증형 리졸버는 그 답을 받아들이지 않는다. 잠금장치는 느슨해지지 않았다. 잠금장치 안쪽의 서류가 뒤섞였던 셈이다.

RIPE NCC는 20시쯤 서명 프로그램에 ripe.net 구역 전체를 다시 서명하도록 강제했다. Buddhdev에 따르면 이 조치로 문제가 해결됐다. 공개된 최초 신고 시각부터 복구까지 약 4시간 20분이다. RIPE NCC의 12월 회원 소식도 DNSSEC 검증 장애를 그달의 서비스 사건으로 기록했다.

Buddhdev의 설명에는 복구 뒤의 일도 담겼다. RIPE NCC는 서명 소프트웨어 개발자에게 문제를 알렸고, 비슷한 상태를 더 빨리 찾아낼 감시를 추가하겠다고 했다. 영향을 받은 이용자 수나 완성된 소프트웨어 패치는 밝히지 않았다. 이미 공개된 순서만으로도 사건은 선명하다. 레코드의 역할이 바뀌고, 잘못된 NSEC가 남고, 외부 관찰자가 이상을 짚고, 전체 재서명으로 검증을 되살렸다. DNS의 작은 직무 변경이 구역 전체의 서명을 다시 쓰게 만든 날이었다.