San KeyTrap, che inceppava i resolver

Patrono dei resolver DNSSEC, delle chiavi che non finiscono mai e degli standard scritti con troppo zelo.

Vita

Nel febbraio 2024 i ricercatori dell'ATHENE, il centro tedesco per la cybersicurezza, rivelarono che le regole stesse di DNSSEC chiedevano ai resolver di provare tutte le combinazioni di chiavi e firme di una zona. Una risposta costruita con molte chiavi e molte firme bastava a tenere occupato un resolver per ore. Il difetto stava nello standard da circa venticinque anni; i grandi resolver pubblici e i software DNS si coordinarono per correggerlo prima dell'annuncio.

Preghiera

O San KeyTrap, che fai provare ogni chiave in ogni serratura, insegna ai nostri resolver a sapere quando smettere. Amen.

Come si festeggia

Si festeggia aggiornando BIND, Unbound, PowerDNS e compagnia alle versioni che pongono un limite ai tentativi.

Chi prova tutte le chiavi, non apre più nessuna porta.