Toang mạng diện rộng: Khi mấy anh Đức lỡ tay đánh sập DNSSEC tên miền .de

Câu thần chú ngàn năm văn vở "It's always DNS" (Luôn luôn là tại DNS) lại một lần nữa linh nghiệm các ông ạ. Lần này nạn nhân đ*o phải mấy trang web ghẻ, mà là nguyên cái hệ sinh thái tên miền .de của mấy pháp sư nước Đức.

Nguồn cơn cớ sự: Khi một quốc gia "rớt mạng" cục bộ

Chuyện là vào một ngày đẹp trời, DENIC (bọn trùm quản lý tên miền quốc gia .de của Đức) tự nhiên báo lỗi hạ tầng DNSSEC. Cho anh em nào chưa rành, DNSSEC nó như cái căn cước công dân gắn chip để xác thực tên miền của anh em là hàng real, chống bị bọn hacker spoofing.

Nhưng công nghệ xịn xò thì đi kèm rủi ro to to:

• Ngay khi chuỗi xác thực DNSSEC của DENIC bị lỗi, toàn bộ domain đuôi .de tự nhiên "bốc hơi" khỏi internet đối với những user đang xài DNS resolver có bật chế độ check DNSSEC gắt gao (như 8.8.8.8 của Google hay 1.1.1.1 của Cloudflare).
• Bất kỳ ai dùng máy chủ hay mạng cá nhân trỏ DNS về mấy cục resolver này đều nhận về cái lỗi ngu người: SERVFAIL.
• Mọi traffic đi vào các trang web .de rớt thê thảm. Bao nhiêu anh em dev, sysadmin bên Đức chắc đang bú bia cũng phải phun ra mà lôi lap ra debug.
• May thay, sau một hồi toát mồ hôi hột, DENIC cũng đã tung ra hotfix, update status thành "Resolved" (Đã giải quyết). Sóng yên biển lặng trở lại.

Giang cư mận Reddit hóng được gì?

Dù bài post trên Hacker News chễm chệ hơn 700 điểm, nhưng lướt qua các diễn đàn, anh em dev chia phe combat khá xôm:

• Phe Anti-DNSSEC: Các lão quái này thì luôn mồm chê DNSSEC là cú lừa thế kỷ. "Công nghệ quái gì mà cấu hình thì phức tạp, lỡ tay quên rotate key hay hết hạn chứng chỉ một phát là bay màu cả hệ thống?". Rủi ro toang mạng còn cao hơn cả rủi ro bị hack.
• Phe "It's always DNS": Nhóm này thì chả quan tâm đúng sai, chỉ vào spam meme. Cứ thấy lỗi đ*o biết từ đâu ra, load mãi không được thì 99% đổ tại DNS là chuẩn bài.
• Phe dĩ hòa vi quý: Vẫn dành lời khen cho DENIC vì trang status minh bạch, có sao nói vậy, xử lý sự cố tương đối mượt chứ không chơi bài rút phích cắm giấu nhẹm đi.

Chốt hạ từ Coding4Food: Đừng đùa với hạ tầng

Anh em ạ, qua vụ này mới thấy, hệ thống có to như cái TLD của một quốc gia thì vẫn có lúc cắn RAM, sập server hay bể config như thường.

Bài học xương máu cho anh em dev nhà mình:

1. Nếu dự án bắt buộc xài DNSSEC, làm ơn setup monitor cho kỹ. Nó mượt thì bảo mật vãi chưởng, nhưng nó bể một phát là downtime đếm bằng tiền tỏi.
2. Phải luôn có phương án dự phòng. Đừng tin tưởng tuyệt đối vào bất kỳ single point of failure nào.
3. Gặp bug vô lý? Hãy check DNS đầu tiên. Tiết kiệm được cho anh em cả thanh xuân đấy.

---

Nguồn hóng hớt: Hacker News