На 3 юли албанският домейн .AL спря да се отваря за резолвъри с включена DNSSEC проверка. Операторът АКЕП сменил ключа. Но записът в root зоната още сочел стария. Публичният резолвър 1.1.1.1 на Cloudflare върнал достъпа със заобиколно решение, но за пръв път маркирал отговора с код, който открито казва: тази проверка е пропусната.
- .AL е счупен за DNSSEC проверка от 3 юли - АКЕП сменил ключа, root зоната още сочи стария (id=26319).
- 1.1.1.1 на Cloudflare решава на момента с негативна доверителна котва, до 17:15 UTC същия ден.
- Новото: отговорите носят код EDE 33 - открито казват, че проверката е заобиколена, вместо просто да мълчат.
DNSSEC е подписът под DNS отговора. Всеки домейн в тази верига носи криптографски ключ, а бащиният регистър, root зоната, пази отпечатък от него - DS запис. Преди да ти върне адреса на сайта, резолвърът проверява дали подписът пасва на отпечатъка. Смени ли операторът на домейна ключа (нормална процедура, нарича се 'rollover'), трябва да качи горе и новия отпечатък. Пропусне ли това, веригата на доверие се къса, и всеки резолвър, който проверява подписи, отказва да разреши домейна. Точно това се случи на 3 юли с .AL, албанския национален домейн.
Ключове се чупят постоянно. Самата авария е скучната част. Интересното е какво прави Cloudflare след нея. Стандартният бърз изход е негативна доверителна котва - резолвърът просто спира да проверява този домейн и връща отговора все едно нищо не е станало. И тук е тънкото - резолвър, който тихо спре проверката, изглежда отвън същия като резолвър, който е проверил и потвърдил, че всичко е наред. EDE код 33 слага етикет върху заобикалянето, четим от машина: 'тук пропуснах проверката', написано в самия отговор. .AL и днес е практически неподписан, така че решението е временен компромис - купува достъп, докато домейнът се оправи.
Поуката е отвъд DNS. Системата, която признава кога е свалила гарда, е по-безопасна от онази, която изглежда чиста и просто е спряла да гледа. Строиш ли нещо, което пази - firewall, auth слой, каквото и да е - въпросът не е само дали работи, а дали ти казва, когато спре да работи както трябва. Прозрачен байпас бие тих провал всеки път.