Germany's Top Level Domain Completely Died Yesterday
Une mauvaise mise à jour de la configuration DNSSEC par DENIC, le registre du domaine .de, a rendu la quasi-totalité des sites allemands inaccessibles pendant plusieurs heures, illustrant la fragilité des piliers centralisés d’Internet.
SYNTHÈSE STRUCTURÉE
L’incident : une panne massive du .de
Le 5 novembre, de 22h40 à 2h (heure allemande), le domaine de premier niveau .de est devenu presque totalement inaccessible. « Germany was temporarily deleted from the internet », résume l’intervenant avec ironie. Les sites utilisant .de ne répondaient plus, provoquant des situations absurdes comme des contrôleurs incapables de vérifier des billets de train. Les administrateurs système ont reçu des appels furieux pour un problème qu’ils ne pouvaient pas résoudre.
DNS : le système qui traduit les noms en adresses
Le DNS (Domain Name System) transforme une URL lisible (ex. www.youtube.com) en adresse IP numérique (ex. 142.250.124.93). L’intervenant précise : « This is not the language the machines are speaking. They speak the language of IP addresses. » Les grands sites comme YouTube utilisent plusieurs adresses IP pour la répartition de charge, d’où la nécessité d’un système de résolution fiable.
Les serveurs de noms : une redondance insuffisante
Un serveur de noms stocke les enregistrements DNS (A, MX, CNAME) d’un domaine. En théorie, la redondance (primaire + secondaires) assure la continuité si l’un tombe. L’intervenant note : « Almost all domains rely on multiple name servers to increase reliability. » Mais dans ce cas, le problème ne venait pas des serveurs de noms eux-mêmes.
DNSSEC : la sécurité par signatures cryptographiques
DNSSEC (Domain Name System Security Extensions) empêche les attaques de type « homme du milieu » (détournement DNS, spoofing) en signant cryptographiquement les enregistrements. Chaque domaine reçoit une signature RRSIG vérifiable avec une clé publique (DNSKEY). L’intervenant explique : « If the signature is invalid, then you’re obviously seeing an invalid domain. Something has been done here. »
La cause racine : des signatures malformées
DENIC, le registre allemand gérant le .de, a publié une mise à jour défectueuse. Les signatures RRSIG générées étaient invalides, bien que les clés publiques DNSKEY soient correctes. L’intervenant précise : « It was just the signatures themselves that were wrong. » Résultat : tout résolveur DNSSEC rejetait les requêtes .de comme frauduleuses.
L’effet domino sur les zones non signées
Même les domaines .de sans DNSSEC étaient affectés, car ils appartiennent à une zone .de signée. L’enregistrement DS (Delegation Signer) de cette zone devenant invalide, l’intégralité de la zone était rejetée. « Pretty much every sensible DNS resolver is using DNSSEC if DNSSEC is available », souligne l’intervenant, expliquant pourquoi presque tout le .de était inaccessible.
Le rôle du cache DNS
Quelques domaines .de restaient accessibles, probablement grâce à la mise en cache des résolveurs. L’intervenant admet que « that part is not yet fully understood, but is most likely due to caching. » Cela montre l’importance des TTL (Time To Live) dans la résilience temporaire.
La solution temporaire de Cloudflare
Cloudflare a désactivé la validation DNSSEC pour les domaines .de sur son résolveur 1.1.1.1. L’intervenant commente : « Certainly not a perfect or a long-term solution, but with the goal of getting things functioning, this was a good temporary thing to do. » Cette décision a permis de rétablir l’accès malgré le risque de sécurité.
La centralisation : un talon d’Achille
L’intervenant rappelle : « At the foundations of this technology are these very centralized pillars. And if these pillars go down, things go really badly. » DENIC, bien que fiable en temps normal, illustre comment un point unique de défaillance (même rare) peut paralyser tout un TLD.
Un timing suspect
L’incident est survenu sept jours avant une maintenance planifiée par DENIC. L’intervenant s’amuse : « Do I think this is related? Are you excited? No. However, the timing is very amusing. » Aucun lien n’est établi, mais la coïncidence interpelle.
CONCEPTS CLÉS
- DNSSEC : Extension de sécurité du DNS qui signe cryptographiquement les enregistrements pour garantir leur authenticité et empêcher les attaques de type « homme du milieu ».
- RRSIG : Signature cryptographique associée à un enregistrement DNS, vérifiable avec une clé publique DNSKEY.
- DS record : Enregistrement de délégation qui lie une zone enfant à sa zone parente dans la chaîne de confiance DNSSEC.
- Résolveur DNS : Serveur qui effectue les requêtes DNS pour le compte d’un client (ex.
1.1.1.1de Cloudflare, résolveur FAI). - TLD : Domaine de premier niveau (Top-Level Domain), comme .com, .de, .org.
CONCLUSION
Cet incident rappelle que la sécurité apportée par DNSSEC a un coût : une erreur de configuration chez un registre centralisé peut paralyser tout un TLD. Pour les administrateurs, la leçon est double : d’une part, tester rigoureusement toute modification de signature DNSSEC ; d’autre part, prévoir des mécanismes de contournement (comme la désactivation temporaire de la validation) en cas de panne similaire. Comme le dit l’intervenant, « my love goes out to the sysadmins who got called very late at night to fix a problem that was not your problem to fix » — une piqûre de rappel sur la fragilité des infrastructures critiques.