Samenvatting

In de loop van zondag 28 oktober is er een foutsituatie ontstaan bij het
publiceren van een nieuwe ZSK (met key tag: 20331). Deze nieuwe ZSK was
namelijk nog niet gepubliceerd in het DNS, terwijl de door SIDN gebruikte
software (OpenDNSSEC) ervan uitging dat dit wel het geval was.

Als gevolg hiervan was de zogenaamde 'pre-publication'-tijd van de nieuwe ZSK
te kort. Toen er RRSIG's in de .nl-zone verschenen die waren gemaakt met de
nieuwe ZSK, was de TTL van de oude DNSKEY RRset nog niet verstreken, waardoor
deze nog werd gebruikt door validerende resolvers, met DNSSEC validatiefouten
tot gevolg. Deze validatie problemen ontstonden ongeveer om 20:45 u.

Getroffen:

Zij die gebruik maken van DNSSEC-validatie.

Oplossing:

Na het verstrijken van de TTL (maximaal 2 uur), of het anderszins verversen van de cache (bijvoorbeeld door een herstart van de resolver), werd het juiste sleutelmateriaal gebruikt en werkte validatie weer.

Oorzaken

SIDN heeft de samenloop van omstandigheden onderzocht, de volgende factoren speelden een rol:

• Een fout (vastloper) in OpenDNSSEC, waardoor de zonefile-publicatie stil kwam te liggen.
• Discrepantie tussen de vermeende situatie volgens OpenDNSSEC en de werkelijke situatie in het DNS, met als gevolg een te korte pre-publish periode van de nieuwe ZSK.

SIDN zal maatregelen treffen om herhaling te voorkomen.