Fehlerhafte Signatur: Viele .de-Domains durch DNSSEC-Panne lahmgelegt
In der Nacht auf den 6. Mai hat es eine weitreichende Störung bei der Erreichbarkeit von .de-Domains gegeben. Erste Hinweise dazu kursierten schon am 5. Mai ab etwa 22 Uhr auf Plattformen wie Reddit(öffnet im neuen Fenster). Kurze Zeit später bestätigte die zuständige Registrierungsstelle Denic(öffnet im neuen Fenster), dass DNSSEC-signierte .de-Domains aufgrund einer Störung nicht erreichbar seien. Inzwischen ist das Problem jedoch behoben.
Viele Anwender, die zum Zeitpunkt der Störung versucht haben, eine der betroffenen Domains aufzurufen, erhielten als Antwort ein "DNS_PROBE_FINISHED_NXDOMAIN" – also den Hinweis darauf, dass die gewünschte Domain nicht existiere. Das betraf auch häufig besuchte Webportale wie etwa bahn.de oder spiegel.de.
Einige Stunden nach Beginn der Störung gab die Denic jedoch Entwarnung. "Die Störung ist inzwischen behoben und alle Systeme laufen wieder stabil", erklärte die Registrierungsstelle in einer Pressemitteilung(öffnet im neuen Fenster). Zur genauen Ursache des Vorfalls machte die Denic jedoch keine Angaben. Diese werde "derzeit noch analysiert". Nähere Details wolle die Organisation später bereitstellen.
Nicht alle DNS-Server waren betroffen
Weitere Informationen sind allerdings schon jetzt bei der Cybersicherheitsfirma Blackfort Technology zu finden. Diese hat gleich zwei Berichte zu der Störung veröffentlicht, eine einfache Variante(öffnet im neuen Fenster) und eine detailliertere technische Analyse(öffnet im neuen Fenster). Das Problem lag demnach bei einer fehlerhaften RRSIG(öffnet im neuen Fenster)-Signatur. Dabei handelt es sich um eine Art digitale Unterschrift, die vor gefälschten DNS-Antworten schützen soll.
Diese von der Denic bereitgestellte, aber fehlerhafte Signatur führte wohl dazu, dass Resolver die gesamte DNSSEC-Vertrauenskette als ungültig einstuften. Die Folge war der von vielen Nutzern beobachtete Effekt: Unzählige deutsche Domains und dazugehörige Webportale waren nicht mehr erreichbar.
Da DNSSEC kein universeller Standard ist, waren allerdings laut Blackfort nicht alle Internetnutzer betroffen. Bei DNS-Servern von Providern wie der Telekom, Vodafone oder O2 soll sich die Störung nicht oder nur teilweise bemerkbar gemacht haben, "weil sie DNS-Sicherheitsprüfungen schlicht noch nicht eingeschaltet haben". Nutzer der sicherer konfigurierten DNS-Server von Google, Cloudflare und Quad9 blieben hingegen nicht verschont.
- Anzeige Hier geht es zur AVM Fritzbox 7590 AX bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.