DENIC: .de DNSSEC İmzaları 5 Mayıs 2026'da Doğrulanamadı
DENIC'in yeni imzalama sistemindeki anahtar değişimi geçersiz imzalar üretti; .de adları doğrulayan çözümleyicilerde yaklaşık üç saat erişilemedi.
Yayınlanma: · 1 dk okuma
Olay tarihi: 2026-05-05 · Kaynak: Analyse des DNS-Ausfalls vom 5. Mai 2026 (Almanca), yayın tarihi 2026-05-08.
Ne oldu?
5 Mayıs 2026'da .de bölgesi için yapılan rutin bir DNSSEC anahtar değişimi ters gitti. Almanya'nın ülke kodlu uzantısını işleten DENIC, analizini üç gün sonra, 8 Mayıs 2026'da yayımladı. Değişim sırasında bölge, DNSSEC doğrulaması yapan çözümleyicilerin doğrulayamadığı imzalarla imzalandı. Yaklaşık üç saat boyunca doğrulama yapan çözümleyiciler .de yanıtlarını geçersiz saydı; o kullanıcılar için arkadaki alan adları çözümlenmedi. Normal işleyiş 5 Mayıs'ı 6 Mayıs'a bağlayan gece tamamen geri geldi.
DENIC'e göre neden, Nisan 2026'dan beri üretimde olan üçüncü nesil imzalama sisteminin özel yazılımındaki bir hataydı. Yazılım tek bir anahtar çifti üretip üç donanım güvenlik modülüne kopyalamak yerine her modülde ayrı bir anahtar çifti üretti. Üçünden yalnızca biri DNSKEY kaydında yayımlanan açık anahtarla eşleşti; imzaların yaklaşık üçte ikisi doğrulanamadı. İzleme sistemi anormallikleri fark etti, ancak uyarılar gerektiği gibi ele alınmadı.
Kimi ilgilendiriyor?
Kullanıcıları doğrulayıcı bir çözümleyicinin arkasında olan ve .de alan adı işleten herkesi; alan adının kendisinde DNSSEC olsun olmasın. Üst bölgedeki yetki devri verisi doğrulanamayınca alt bölge de ulaşılmaz olur. Doğrulama yapmayan çözümleyicilerin arkasındakiler hiçbir şey fark etmedi. Olay bitti; alan adı sahibi tarafında düzeltilecek bir şey yok.
Ne yapmalı?
Bu olay için hiçbir şey. Kendi bölgeleriniz için iki ders var: her anahtar değişiminden sonra yalnızca imzalayan sistemden değil, bağımsız bir çözümleyiciden doğrulama yapın; izleme uyarılarının bir insana ulaştığından emin olun. DENIC, testlerini ve uyarı işleyişini düzenlediğini belirtiyor.
Nasıl kontrol edilir?
DNSSEC denetleyicisi bir alan adının zincirini kökten doğrular; o öğleden sonra .de için başarısız olan kontrol tam olarak buydu. Başarısız bir kontrol "şu anda doğrulanamadı" demektir, alan adının yok olduğu anlamına gelmez.
Arka plan
DNSSEC nedir yazısı imzalama anahtarlarını ve DS kayıtlarını anlatıyor; .de uzantı sayfasında registry bilgileri var.
Kaynaklar
- DENIC eG, "Analyse des DNS-Ausfalls vom 5. Mai 2026", 8 Mayıs 2026: https://blog.denic.de/analyse-des-dns-ausfalls-vom-5-mai-2026/