Pada 3 Juli 2026, rollover kunci DNSSEC untuk top-level domain .AL memutus rantai kepercayaan antara DS record di root dan DNSKEY yang disajikan registry. Resolver yang memvalidasi DNSSEC wajib mengembalikan kegagalan, sehingga layanan pemerintah, bank, media, dan domain lain di bawah .AL tampak tidak dapat diakses. Cloudflare memulihkan resolusi sementara melalui Negative Trust Anchor, lalu untuk pertama kalinya menambahkan EDE 33 agar aplikasi mengetahui bahwa validasi kriptografis sedang dilewati.
Apa yang putus dalam rantai DNSSEC .AL
DNSSEC membangun rantai kepercayaan dari root menuju TLD dan domain anak. Root menyimpan DS record yang menunjuk fingerprint DNSKEY milik .AL. Sekitar 14:15 UTC, operator .AL menerbitkan kunci baru dan berhenti menyajikan kunci lama, sementara DS di root masih menunjuk kunci lama. Resolver tidak menemukan pasangan yang valid dan harus menolak jawaban.
Sekitar 17:00 UTC, kunci baru juga dihapus tanpa mengembalikan kunci lama. Zona tidak lagi menyajikan DNSKEY walaupun DS masih ada. Pada sekitar 19:15 UTC, DS di root dihapus sehingga resolver berhenti mengharapkan DNSSEC untuk .AL. Resolusi kembali, tetapi seluruh TLD menjadi unsigned pada saat Cloudflare menerbitkan analisisnya.
- DS dan DNSKEY harus tumpang tindih selama rollover.
- Cache membuat dampak muncul bertahap.
- SERVFAIL adalah perilaku keamanan yang benar.
- Menghapus DS memulihkan akses dengan menghilangkan validasi TLD.
Negative Trust Anchor memulihkan akses dengan trade-off
Negative Trust Anchor atau NTA meminta recursive resolver memperlakukan zona bermasalah seolah tidak ditandatangani. Cloudflare menerapkannya setelah kegagalan dikonfirmasi dan upaya menghubungi operator tidak berhasil. NTA tersebar ke pengguna 1.1.1.1 sekitar 17:15 UTC, kira-kira tiga jam setelah rantai putus, sehingga query kembali memperoleh jawaban alih-alih SERVFAIL.
Keputusan itu mengutamakan availability, tetapi sementara menghilangkan perlindungan terhadap spoofing yang diberikan DNSSEC. NTA bukan perbaikan registry dan tidak boleh bertahan tanpa batas. Operator resolver perlu mencatat alasan, scope, waktu mulai, kriteria penghapusan, dan kontak eskalasi. Setelah DS dihapus dari root, Cloudflare mencabut NTA pada hari berikutnya.
EDE 33 membuat bypass dapat diamati
Sebelumnya, jawaban yang dikirim selama NTA aktif terlihat sama seperti respons yang benar-benar lolos DNSSEC. Status page berada di luar jalur query dan tidak selalu ditemukan aplikasi. Extended DNS Error memberi metadata tambahan. EDE 33 menyatakan Negative Trust Anchor diterapkan, sedangkan EDE 9 pada insiden .AL menjelaskan bahwa DNSKEY yang sesuai tidak ditemukan.
Kombinasi itu memungkinkan monitoring membedakan tiga keadaan: jawaban tervalidasi, kegagalan validasi, dan jawaban yang sengaja disajikan setelah validasi dilewati. EDE 33 berlaku untuk seluruh query di bawah NTA, termasuk domain anak yang tidak memakai DNSSEC. Hal ini disengaja karena keputusan resolver mencakup zona, bukan hanya satu nama yang kebetulan gagal.
- NOERROR tidak selalu berarti jawaban tervalidasi.
- EDE 9 menunjukkan akar kegagalan kunci.
- EDE 33 mengungkap kebijakan bypass resolver.
- Tool monitoring perlu menyimpan kode EDE, bukan hanya rcode.
Pelajaran operasi untuk pengelola DNS
Rollover harus dirancang dengan fase publish, observe, update parent, dan retire. Kunci lama jangan dihentikan sebelum DS baru terpropagasi dan resolver memiliki waktu melewati TTL. Gunakan validator eksternal dari beberapa jaringan, monitor DNSKEY serta DS, dan siapkan rollback yang benar-benar mengembalikan pasangan valid. Kontak insiden juga tidak boleh hanya memakai domain yang sedang dikelola.
Untuk organisasi yang mengandalkan domain nasional, monitoring perlu memakai lebih dari satu recursive resolver dan memeriksa DNSSEC secara eksplisit. Jika hanya memantau HTTP dari jaringan yang kebetulan memakai resolver non-validating, kegagalan dapat terlambat terlihat. Simpan trace DNS, waktu perubahan, TTL, key tag, serta respons dari parent agar postmortem tidak bergantung pada ingatan.
- Sediakan kontak darurat di domain berbeda.
- Uji rollover di lingkungan latihan.
- Pantau dari resolver validating dan non-validating.
- Otomatiskan alarm mismatch DS-DNSKEY.
Apa yang perlu dilakukan pengguna dan tim aplikasi
Pengguna biasa tidak perlu mematikan DNSSEC secara permanen ketika situs gagal. Coba status resolver, jaringan lain, dan kanal resmi organisasi. Mengganti resolver dapat menghasilkan perilaku berbeda, tetapi juga mengubah trade-off keamanan. Hindari memasukkan credential ke domain alternatif yang beredar saat insiden karena penyerang dapat memanfaatkan kebingungan dan ketidaktersediaan layanan.
Tim aplikasi dapat mencatat EDE dari resolver yang mendukungnya dan menyajikan pesan diagnostik tanpa menakuti pengguna. Untuk layanan kritis, sediakan status page serta kontak di domain dan infrastruktur terpisah. TenFourSeven menilai EDE 33 sebagai peningkatan penting: availability darurat tetap mungkin, tetapi keputusan melemahkan validasi tidak lagi sepenuhnya tersembunyi dari software yang memperhatikan.
Insiden .AL menunjukkan satu kesalahan rollover pada TLD dapat membuat seluruh domain turun bagi resolver yang mematuhi DNSSEC. NTA memulihkan availability dengan mengorbankan validasi sementara, sehingga pengguna berhak mengetahui trade-off itu. EDE 33 memberikan sinyal langsung bahwa resolver menyajikan jawaban di bawah NTA, sementara EDE lain menjelaskan akar kegagalan. Registry perlu menguji overlap kunci dan parent update; resolver perlu transparan; aplikasi perlu memantau lebih dari sekadar NOERROR atau SERVFAIL.