En planlagt udskiftning af en sikkerhedsnøsgle gjorde et helt landedomæne svært at nå i tre timer. Tre overvågningsværktøjer så fejlen. Ingen greb ind i tide.
Landedomænet er .de, og administratoren er administratoren af landedomænet. Tirsdag den 5. maj 2026 kl. 21.43 begyndte problemerne, skrev et medie. De varede omkring tre timer, skriver administratoren i sin endelige rapport fra 11. juni.
Årsagen var et rutinemæssigt skift af nøsgler i DNSSEC. DNSSEC er en digital signatur, der beviser, at svaret på et domæneopslag er ægte. En fejl i koden i et system, administratoren selv har udviklet, gav ugyldige signaturer. DNS-resolvere, der validerer signaturerne, afviste derfor svar fra .de-zonen. Også domæner uden egen DNSSEC-signering kunne ikke slås op, skriver administratoren. Websites og mail blev utilgængelige for brugere af de resolvere.
Systemet var ikke utestet. “The systems were tested in advance and externally audited,” skriver administratoren. Men testmiljøet bestod af en enkelt hardwareenhed på et sted, og fejlen viste sig hverken i testkøser eller i den forudgående parallelle drift.
Det mest lærerige står længere nede i rapporten. Administratoren bruger tre forskellige overvågningsværktøjer, der kører hele tiden. “These systems detected the errors as intended,” skriver administratoren. Men meddelelserne blev ikke behandlet korrekt, og derfor greb ingen ind i tide.
Overvågningen virkede. Det, der skulle ske efter alarmen, virkede ikke.
Administratoren har siden forbedret alarmeringen, gjort det hurtigere at skifte til en gyldig kopi af zonen, indført delvis validering før udrulning og sat yderligere nøsgleskift på pause. En ekstern gennemgang af sikkerhed og processer er sat i gang.
Herhjemme er topdomæneadministratorer og DNS-udbydere væsentlige enheder efter NIS 2-loven uanset deres størrelse. Digitaliseringsstyrelsen er myndighed.
Men pointen gælder langt bredere. Har I overvågning, der sender alarmer, er spørgsmålet, om nogen modtager dem kl. 21.43, og hvad den person har mandat til at gøre.
En vurdering af sikkerhedsmodenheden bør omfatte, om alarmerne ikke bare udløses, men også bliver grebet og handlet på.
Så mit råd til dig, der har ansvaret for IT-drift, overvågning eller en leverandør, der gør det for jer:
1. Gennemgå, hvem der modtager jeres overvågningsalarmer uden for arbejdstid. Send en testalarm, og mål, hvor lang tid der går, før nogen kvitterer.
2. Spørg, om jeres testmiljø ligner produktionen på de punkter, der kan fejle. Administratoren testede på en hardwareenhed et sted.
3. Aftal, hvem der må stoppe eller rulle en planlagt ændring tilbage, når en alarm går, uden først at vente på godkendelse.
Har du brug for en uafhængig gennemgang af jeres beredskab? Ring til Nielco IT på 70 13 63 23.
