Ένας DNS root-server έχασε την επαφή με τους ομότιμούς του. Ακόμα δεν ξέρουμε το γιατί.

[deniSun]

Για περισσότερες από τέσσερις ημέρες, ένας DNS root-server του Διαδικτύου ήταν εκτός συγχρονισμού με τους 12 ομότιμους διακομιστές του, λόγω μιας ανεξήγητης δυσλειτουργίας που θα μπορούσε να έχει προκαλέσει προβλήματα σταθερότητας και ασφάλειας παγκοσμίως. Ο εν λόγω διακομιστής, που συντηρείται από την εταιρεία παροχής υπηρεσιών Διαδικτύου Cogent Communications, είναι ένας από τους 13 διακομιστές root που παρέχουν τη ζώνη root του Διαδικτύου, η οποία βρίσκεται στην κορυφή της ιεραρχικής κατανεμημένης βάσης δεδομένων που είναι γνωστή ως σύστημα ονομάτων τομέα ή DNS.

Ακολουθεί μια απλουστευμένη ανακεφαλαίωση του τρόπου λειτουργίας του συστήματος ονομάτων τομέα και του ρόλου των διακομιστών ρίζας:

Όταν κάποιος πληκτρολογεί στο πρόγραμμα περιήγησής του τη διεύθυνση wikipedia.org, οι διακομιστές που χειρίζονται το αίτημα πρέπει πρώτα να μεταφράσουν το φιλικό προς τον άνθρωπο όνομα τομέα σε διεύθυνση IP. Σε αυτό το σημείο εμφανίζεται το σύστημα ονομάτων τομέα. Το πρώτο βήμα στη διαδικασία DNS είναι το πρόγραμμα περιήγησης να υποβάλει ερώτημα στον τοπικό stub resolver στο τοπικό λειτουργικό σύστημα. Ο stub resolver προωθεί το ερώτημα σε έναν αναδρομικό resolver, ο οποίος μπορεί να παρέχεται από τον ISP του χρήστη ή από μια υπηρεσία όπως το 1.1.1.1.1 ή το 8.8.8.8.8 από την Cloudflare και την Google, αντίστοιχα.

Εάν χρειαστεί, ο αναδρομικός resolver επικοινωνεί με το διακομιστή c-root ή με έναν από τους 12 ομότιμούς του για να προσδιορίσει τον εξουσιοδοτικό διακομιστή ονομάτων για τον τομέα ανωτάτου επιπέδου .org. Στη συνέχεια, ο διακομιστής ονομάτων .org παραπέμπει το αίτημα στον διακομιστή ονομάτων της Wikipedia, ο οποίος επιστρέφει τη διεύθυνση IP. Στο ακόλουθο διάγραμμα, ο αναδρομικός διακομιστής χαρακτηρίζεται ως "iterator".



Δεδομένου του κρίσιμου ρόλου που παίζει ο διακομιστής ρίζας, ο οποίος διασφαλίζει ότι μια συσκευή μπορεί να βρει οποιαδήποτε άλλη συσκευή στο Διαδίκτυο, υπάρχουν 13 από αυτούς γεωγραφικά διασκορπισμένοι σε όλο τον κόσμο. Κανονικά, οι 13 διακομιστές ρίζας - ο καθένας από τους οποίους λειτουργεί από διαφορετική οντότητα - βαδίζουν με βήμα προς βήμα. Όταν γίνεται μια αλλαγή στα περιεχόμενα που φιλοξενούν, αυτή συμβαίνει γενικά σε όλους τους servers μέσα σε λίγα δευτερόλεπτα ή το πολύ λεπτά.

Αυτός ο στενός συγχρονισμός είναι ζωτικής σημασίας για τη διασφάλιση της σταθερότητας. Εάν ένας root διακομιστής κατευθύνει τις αναζητήσεις κίνησης σε έναν ενδιάμεσο διακομιστή και ένας άλλος root διακομιστής στέλνει αναζητήσεις σε έναν διαφορετικό ενδιάμεσο διακομιστή, το Διαδίκτυο όπως το ξέρουμε θα μπορούσε να καταρρεύσει. Ακόμη πιο σημαντικό είναι ότι οι root διακομιστές αποθηκεύουν τα κρυπτογραφικά κλειδιά που είναι απαραίτητα για την αυθεντικοποίηση ορισμένων ενδιάμεσων διακομιστών βάσει ενός μηχανισμού γνωστού ως DNSSEC. Εάν τα κλειδιά δεν είναι πανομοιότυπα και στους 13 root διακομιστές, υπάρχει αυξημένος κίνδυνος επιθέσεων όπως το DNS cache poisoning.

Για λόγους που παραμένουν ασαφείς εκτός της Cogent -η οποία αρνήθηκε να σχολιάσει για αυτή τη δημοσίευση- η c-root που είναι υπεύθυνη για τη συντήρησή της σταμάτησε ξαφνικά να ενημερώνεται το Σάββατο. Ο Stéphane Bortzmeyer, ένας Γάλλος μηχανικός που ήταν από τους πρώτους που επισήμαναν το πρόβλημα σε μια ανάρτηση της Τρίτης, σημείωσε τότε ότι το c-root ήταν τρεις ημέρες πίσω από τους υπόλοιπους διακομιστές root.

Η καθυστέρηση παρατηρήθηκε περαιτέρω στο Mastodon.






πηγή via DeepL

[nnn]

[Saxtus]

Το πιο ενδιαφέρον στο άρθρο για εμένα είναι το πώς κατά την μετάφραση το:

1.1.1.1 or 8.8.8.8

μετατράπηκε σε:

1.1.1.1.1 ή το 8.8.8.8.8

[acct]

1.1.1.1.1 ή το 8.8.8.8.8

Είναι DNS για IPv5' (άι πι βι φάιβ πράιμ), είναι κατά 1 καλύτερο από IPv4, αλλά λίγο χειρότερο από IPv6.

[Cha0s]

Μία διευκρίνηση, οι root servers είναι εκατοντάδες στον κόσμο (>1800), απλά παίζουν με anycast και έτσι εμφανίζονται με μόλις 13 IPs παγκοσμίως.

https://root-servers.org/

[ironfist]

Για περισσότερες από τέσσερις ημέρες, ένας DNS root-server του Διαδικτύου ήταν εκτός συγχρονισμού με τους 12 ομότιμους διακομιστές του, λόγω μιας ανεξήγητης δυσλειτουργίας που θα μπορούσε να έχει προκαλέσει προβλήματα σταθερότητας και ασφάλειας παγκοσμίως. Ο εν λόγω διακομιστής, που συντηρείται από την εταιρεία παροχής υπηρεσιών Διαδικτύου Cogent Communications, είναι ένας από τους 13 διακομιστές root που παρέχουν τη ζώνη root του Διαδικτύου, η οποία βρίσκεται στην κορυφή της ιεραρχικής κατανεμημένης βάσης δεδομένων που είναι γνωστή ως σύστημα ονομάτων τομέα ή DNS.

Ακολουθεί μια απλουστευμένη ανακεφαλαίωση του τρόπου λειτουργίας του συστήματος ονομάτων τομέα και του ρόλου των διακομιστών ρίζας:

Όταν κάποιος πληκτρολογεί στο πρόγραμμα περιήγησής του τη διεύθυνση wikipedia.org, οι διακομιστές που χειρίζονται το αίτημα πρέπει πρώτα να μεταφράσουν το φιλικό προς τον άνθρωπο όνομα τομέα σε διεύθυνση IP. Σε αυτό το σημείο εμφανίζεται το σύστημα ονομάτων τομέα. Το πρώτο βήμα στη διαδικασία DNS είναι το πρόγραμμα περιήγησης να υποβάλει ερώτημα στον τοπικό stub resolver στο τοπικό λειτουργικό σύστημα. Ο stub resolver προωθεί το ερώτημα σε έναν αναδρομικό resolver, ο οποίος μπορεί να παρέχεται από τον ISP του χρήστη ή από μια υπηρεσία όπως το 1.1.1.1.1 ή το 8.8.8.8.8 από την Cloudflare και την Google, αντίστοιχα.

Εάν χρειαστεί, ο αναδρομικός resolver επικοινωνεί με το διακομιστή c-root ή με έναν από τους 12 ομότιμούς του για να προσδιορίσει τον εξουσιοδοτικό διακομιστή ονομάτων για τον τομέα ανωτάτου επιπέδου .org. Στη συνέχεια, ο διακομιστής ονομάτων .org παραπέμπει το αίτημα στον διακομιστή ονομάτων της Wikipedia, ο οποίος επιστρέφει τη διεύθυνση IP. Στο ακόλουθο διάγραμμα, ο αναδρομικός διακομιστής χαρακτηρίζεται ως "iterator".



Δεδομένου του κρίσιμου ρόλου που παίζει ο διακομιστής ρίζας, ο οποίος διασφαλίζει ότι μια συσκευή μπορεί να βρει οποιαδήποτε άλλη συσκευή στο Διαδίκτυο, υπάρχουν 13 από αυτούς γεωγραφικά διασκορπισμένοι σε όλο τον κόσμο. Κανονικά, οι 13 διακομιστές ρίζας - ο καθένας από τους οποίους λειτουργεί από διαφορετική οντότητα - βαδίζουν με βήμα προς βήμα. Όταν γίνεται μια αλλαγή στα περιεχόμενα που φιλοξενούν, αυτή συμβαίνει γενικά σε όλους τους servers μέσα σε λίγα δευτερόλεπτα ή το πολύ λεπτά.

Αυτός ο στενός συγχρονισμός είναι ζωτικής σημασίας για τη διασφάλιση της σταθερότητας. Εάν ένας root διακομιστής κατευθύνει τις αναζητήσεις κίνησης σε έναν ενδιάμεσο διακομιστή και ένας άλλος root διακομιστής στέλνει αναζητήσεις σε έναν διαφορετικό ενδιάμεσο διακομιστή, το Διαδίκτυο όπως το ξέρουμε θα μπορούσε να καταρρεύσει. Ακόμη πιο σημαντικό είναι ότι οι root διακομιστές αποθηκεύουν τα κρυπτογραφικά κλειδιά που είναι απαραίτητα για την αυθεντικοποίηση ορισμένων ενδιάμεσων διακομιστών βάσει ενός μηχανισμού γνωστού ως DNSSEC. Εάν τα κλειδιά δεν είναι πανομοιότυπα και στους 13 root διακομιστές, υπάρχει αυξημένος κίνδυνος επιθέσεων όπως το DNS cache poisoning.

Για λόγους που παραμένουν ασαφείς εκτός της Cogent -η οποία αρνήθηκε να σχολιάσει για αυτή τη δημοσίευση- η c-root που είναι υπεύθυνη για τη συντήρησή της σταμάτησε ξαφνικά να ενημερώνεται το Σάββατο. Ο Stéphane Bortzmeyer, ένας Γάλλος μηχανικός που ήταν από τους πρώτους που επισήμαναν το πρόβλημα σε μια ανάρτηση της Τρίτης, σημείωσε τότε ότι το c-root ήταν τρεις ημέρες πίσω από τους υπόλοιπους διακομιστές root.

Η καθυστέρηση παρατηρήθηκε περαιτέρω στο Mastodon.






πηγή via DeepL

Ταυτίστηκα με Ηλία Λογοθέτη.

[galotzas]

Για περισσότερες από τέσσερις ημέρες, ένας DNS root-server του Διαδικτύου ήταν εκτός συγχρονισμού με τους 12 ομότιμους διακομιστές του, λόγω μιας ανεξήγητης δυσλειτουργίας που θα μπορούσε να έχει προκαλέσει προβλήματα σταθερότητας και ασφάλειας παγκοσμίως.

Υποθετω πως οσοι τρεχουμε unbound ειμαστε πιο κοντα στο "προβλημα" (αν υπηρξε κατι υπαρκτο)...

Παντως ο C δεν εχει στο ελλαντα οπως φαινεται

[dpap76]

In Cogent we trust

Τα έχουν κάνει σαλάτα. Οι παλιοί φεύγουν, οι νέοι έρχονται και δεν έχουν ιδέα οτι η cogent έχει έναν απο τους 13 root ns (και τι ακριβώς είναι ο root ns)

>> The mixup prompted Bortzmeyer to joke, “Reported to Cogent (ticket HD303751898) but they do not seem to understand that they manage a root name server.”

Πρόβλημα με το μπαγιάτικο root zone file δεν θα υπήρχε εκτός και αν γινόντουσαν αλλαγές σε κάποιο TLD κάτι που συμβαίνει σπάνια στο root zonefile.

Oops, τι σύμπτωση, τα .gov και .int TLDs είχαν προγραμματίσει να ενεργοποιήσουν νέα DNSSEC κλειδιά.
Αναβλήθηκε φυσικά η κίνηση μέχρι να ξε-μπαγιατιέψει ο c-root και να δούμε τι έγινε ;p

το arstechnika κάνει τις υποθέσεις του:

The errors come as Cogent has in recent months terminated relationships with several carriers to exchange each other’s traffic under an arrangement known as peering. The most recent termination occurred last Friday, when Cogent partially ”depeered” Indian carrier Tata Communications, a move that made many Tata-hosted sites in the Asia Pacific region unreachable to Cogent customers.

Late Wednesday, Cogent published the following statement, indicating it wasn't aware of the glitch until Tuesday, and it took another 25 hours to fix it:

On May 21 at 15:30 UTC the c-root team at Cogent Communications was informed that the root zone as served by c-root had ceased to track changes from the root zone publication server after May 18. Analysis showed this to have been caused by an unrelated routing policy change whose side effect was to silence the relevant monitoring systems. No production DNS queries went unanswered by c-root as a result of this outage, and the only impact was on root zone freshness. Root zone freshness as served by c-root was fully restored on May 22 at 16:00 UTC.

Initially, some people speculated that the depeering of Tata Communications, the c-root site outage, and the update errors to the c-root itself were all connected somehow. Given the vagueness of the statement, the relation of those events still isn't entirely clear.

αλλά πιο ζουμερές λεπτομέρειες έχει στο thread της λίστας:

https://lists.dns-oarc.net/pipermail...ay/022558.html

και η συνέχεια για το incident αναμένεται εδώ: https://lists.dns-oarc.net/pipermail...ay/022576.html

[esertas]

Σε λίγο καιρό άρθρο στο adslgr, θυμάστε ένα άρθρο για ένα περιστατικό στον διακομιστή ρίζας; Τελικά η ομάδα τάδε ανέλαβε την ευθύνη.

[netblues]

Διακομιστη, ριζας, διαδικτυο και ιστιοσελιδα.

Και αμα βγαλεις ακρη, τα λεμε

[BlueChris]

Το προβλημα δεν το ξέρουν γιατί παρόλο που τον ρώτησαν οι άλλοι 11, "Τι έχεις?", αυτός απάντησε "τίποτα".

[netblues]

Κατι μου λεει οτι ειχε γυναικα administrator.

[fadasma]

Υποθετω πως οσοι τρεχουμε unbound ειμαστε πιο κοντα στο "προβλημα"

Εγώ τρέχω unbound αλλά χρησιμοποιεί τοπικό αρχείο root zones.
Ακόμα και όλοι οι root-servers να πέσουν εγώ δε θα καταλάβω τίποτα.

[BlueChris]

Εγώ τρέχω unbound αλλά χρησιμοποιεί τοπικό αρχείο root zones.
Ακόμα και όλοι οι root-servers να πέσουν εγώ δε θα καταλάβω τίποτα.

Έχεις σωσμενα δηλαδή τοπικά όλα τα domain του πλανήτη? Πόσο χώρο πιάνει αυτό?

[netblues]

Εγώ τρέχω unbound αλλά χρησιμοποιεί τοπικό αρχείο root zones.
Ακόμα και όλοι οι root-servers να πέσουν εγώ δε θα καταλάβω τίποτα.

Μαλλον χωρις ιδιαιτερο νοημα μιας και ο unbound τα cacharει ουτως η άλλως.

Παντως ειναι καλη συνταγη ωστε να παει κατι στραβα, να το ξεχασεις και να μην το βρεις ΠΟΤΕ! (επειδη θα εχεις μια πιο παλια version και δεν θα σου δουλευει πχ το .sex ) Τυχαιο το παραδειγμα.

- - - Updated - - -

Έχεις σωσμενα δηλαδή τοπικά όλα τα domain του πλανήτη? Πόσο χώρο πιάνει αυτό?

Οχι καλε... τα tld name servers μονο.. 25.000 γραμμες αρχειο. 2Mbyte και κατι ψιλα.