Die Hersteller der verbreiteten quelloffenen DNS-Server BIND, Unbound, Knot und PowerDNS rücken gemeinsam von fehlerhaften DNS-Implementierungen ab. Zusammen mit Betreibern großer öffentlicher Resolver, darunter Google, Facebook, Cisco und Cloudflare, haben sie den 1. Februar 2019 als Stichtag festgelegt: Von diesem Tag an entfernen ihre Resolver-Produkte die Behelfslösungen für Authoritative Server, die die EDNS-Erweiterung des DNS-Protokolls nicht korrekt umsetzen. Webseiten, die auf solchen Servern oder hinter entsprechenden Middleboxen liegen, sind über aktualisierte Resolver dann schlechter oder gar nicht mehr erreichbar.
Hintergrund ist eine schon 1999 mit RFC 2671 spezifizierte und 2013 in RFC 6891 aktualisierte Erweiterung: EDNS erlaubt DNS-Antworten über die klassischen 512 Bytes hinaus per UDP, führt zusätzliche Flags und Rückgabecodes ein und ist Voraussetzung für DNSSEC. Server, die EDNS nicht verstehen, müssten laut Standard mit einer FORMERR-Antwort reagieren. In der Praxis ignorieren einige ältere Implementierungen und Middleboxen wie Loadbalancer oder Firewalls EDNS-Anfragen jedoch komplett und lassen sie einfach verfallen. Resolver konnten diesen Fall nicht von normalem Paketverlust unterscheiden und wiederholten die Anfrage nach einer Timeout-Wartezeit ohne EDNS. Diese Workarounds machen die Namensauflösung langsamer und blockieren die Einführung neuer Protokollfunktionen.
Was sich in den Resolvern ändert
Laut Internet Systems Consortium fällt die Umstellung je nach Produkt unterschiedlich aus. BIND 9.13.4 und neuere Versionen sowie das kurz nach dem Stichtag angekündigte BIND 9.14.0 enthalten die EDNS-Workarounds nicht mehr; eine Rückportierung in die stabile 9.11er-Serie gibt es nicht. Unbound-Versionen ab dem 1. Februar 2019, unter anderem 1.8.4 und 1.9.0, wiederholen zeitoutete Anfragen nicht mehr ohne EDNS. Der PowerDNS Recursor 4.2 ist die erste Fassung ohne Entgegenkommen gegenüber nicht standardkonformen Servern. Knot Resolver war bereits weitgehend ohne diese Behelfslösungen geschrieben und bekommt mit Version 3.3.0 nur marginale Änderungen.
Betroffene Betreiber sollen testen
Das ISC warnt: Wer seine Zonen über nicht konforme Authoritative Server betreibt, dessen Online-Präsenz verschwindet schleichend, sobald Internet-Zugangsprovider und Organisationen ihre Resolver aktualisieren. Betreiber sollen ihre Server daher vorab auf der Seite des DNS Flag Day testen lassen; die häufigsten Fehlerquellen sind laut ISC Firewalls, die EDNS-Verkehr blockieren, sowie veraltete DNS-Server-Software. Für Entwickler und Gamer ist das Thema über den Serverbetrieb hinaus relevant, weil eine zuverlässige Namensauflösung die Grundlage für Online-Dienste bis hin zu Xbox Live im Heimnetz bildet. Auch Heimrouter mit eigenen DNS-Funktionen können als Middleboxen auffallen, wenn sie EDNS-Pakete verwerfen.
Die Gruppe verspricht sich von der Umstellung schlankeren Quellcode der Resolver, der sich einfacher aktualisieren und absichern lässt, eine flüssigere Namensauflösung ohne die Warteschleifen der Workarounds und mehr Freiraum für neue Funktionen, darunter Mechanismen gegen DDoS-Angriffe auf das DNS-Protokoll.