Summary

  • Em 3 de dezembro de 2020, Matt Nordhoff e Peter van Dijk alertaram o RIPE NCC sobre falhas de resolução de certos nomes em ripe.net; Anand Buddhdev relatou depois registros NSEC indevidos deixados pelo assinador.
  • Por volta das 20h CET, o RIPE NCC forçou uma nova assinatura integral da zona, resolveu o problema e anunciou comunicação aos desenvolvedores e monitoramento adicional.

Naquela tarde, o aviso veio de fora do edifício do registro. Por volta das 15h40, Matt Nordhoff e Peter van Dijk perceberam que certos nomes em ripe.net não se resolviam como deveriam e avisaram o RIPE NCC. No dia seguinte, Anand Buddhdev explicou o caso ao grupo de trabalho DNS, creditando os dois observadores. Uma atualização recente da zona havia mudado o status de alguns registros de endereço para registros glue. O assinador DNSSEC lidou mal com a troca e deixou NSEC indevidos na zona. A validação falhou.

É uma falha nas costuras de duas rotinas. Glue ajuda o resolvedor a alcançar os servidores de um nome delegado. NSEC faz parte das provas assinadas sobre nomes que não existem. O RFC 4035 descreve como conferir respostas assinadas. Com material NSEC incoerente, um resolvedor validador recusa a resposta. A proteção criptográfica não deixou a inconsistência passar; para quem precisava daqueles nomes, porém, isso se manifestou como indisponibilidade.

O RIPE NCC mandou assinar novamente a zona inteira de ripe.net perto das 20h. Buddhdev informou que a operação corrigiu o problema. A distância entre o primeiro alerta conhecido e o reparo foi de cerca de quatro horas e vinte minutos. A atualização de dezembro aos membros também registrou a falha de validação DNSSEC entre os episódios de serviço daquele mês.

O relato de Buddhdev continuou além da restauração. O RIPE NCC comunicou a falha aos desenvolvedores do software de assinatura e disse estar acrescentando monitoramento para identificá-la mais cedo no futuro. Não publicou uma contagem de usuários afetados nem declarou um conserto do código concluído. O que publicou tem começo, mecanismo e fim: uma mudança de classificação, NSEC indevidos, observação externa e nova assinatura integral. É um lembrete técnico sem drama inventado: uma letra a mais na papelada do DNS pode exigir refazer toda a prova.