DENICin .de-verkkotunnusten häiriö johtui allekirjoitusvirheestä

Saksalainen verkkotunnusrekisteri DENIC koki merkittävän häiriön yönä 5.–6. toukokuuta 2026, mikä teki lukuisista .de-verkkotunnuksista, kuten bahn.de ja spiegel.de, globaalisti saavuttamattomia osalle käyttäjistä. Ongelma ei johtunut kyberhyökkäyksestä tai verkkotunnusten virheellisestä konfiguraatiosta, vaan syvällisestä allekirjoitusvirheestä Saksan DNS-infrastruktuurissa.

Häiriö alkoi ilmoitetun huoltoikkunan aikana 5. toukokuuta noin klo 21:40 ja kesti 23:30 asti. Tänä aikana käyttäjät näkivät virheilmoituksia, kuten "DNS-palvelimen osoitetta ei löydy". DENIC vahvisti häiriön ja ilmoitti sen korjaamisesta myöhemmin samana yönä.

Tekninen syy oli virheellinen DNSSEC-allekirjoitus .de-verkkotunnusten DNSSEC-tiedoissa. Erityisesti virhe koski NSEC3-tietueita, jotka todistavat kryptografisesti tietyn verkkotunnuksen puuttuvan DS-tietueesta. Virheellinen allekirjoitus sai DNSSEC-allekirjoituksia tarkistavat palvelut, kuten Google DNS ja Cloudflare, hylkäämään .de-verkkotunnusten ratkaisupyynnöt, mikä johti SERVFAIL-virheeseen.

DNSSEC (Domain Name System Security Extensions) on turvamekanismi, joka suojaa DNS-pyyntöjä manipulaatiolta varmistamalla vastausten aitouden kryptografisilla allekirjoituksilla. Vaikka mekanismi toimi teknisesti oikein suojellen käyttäjiä, tässä tapauksessa vika oli itse rekisterin allekirjoitusinfrastruktuurissa, ei verkkotunnusten kompromittoitumisessa.

Häiriön vaikutukset olivat valikoivia. Käyttäjät, jotka käyttivät DNSSEC-allekirjoituksia tarkistavia moderneja DNS-palveluita, kärsivät ongelmista. Monet kotimaiset internetpalveluntarjoajat, jotka eivät tarkista allekirjoituksia yhtä tiukasti, eivät kärsineet häiriöstä. Verkkotunnusten haltijoilla ei ollut tässä tapauksessa keinoja vaikuttaa ongelmaan, sillä vika oli DENICin hallinnoimassa infrastruktuurissa.