İnternetin rutin altyapı işlerinden biri, Almanya'nın sağlık ağının bir bölümünü vurdu. heise online'ın haberine göre Secunet ve RISE konnektörleri, DNSSEC anahtar değişimi sırasında Telematikinfrastruktur (TI) bağlantısını kaybetti.
Bir DNS değişikliğinin bir muayenehaneyi nasıl susturabildiğini anlamak için bir katman aşağı bakmak gerekiyor. DNSSEC, DNS yanıtlarına kriptografik imza ekler; böylece cihaz gerçek bir yanıtı sahte olandan ayırabilir. Ancak doğrulama yapabilmek için çözümleyicinin bir güven çıpasına ihtiyacı var: kök bölgenin anahtar imzalama anahtarının (KSK) açık anahtarı. Bu anahtar düzenli aralıklarla değiştirilir ve kök KSK'nın güncel devri Ekim 2026 için planlanmıştı.
Arıza biçimi iyi bilinen ve tatsız bir senaryo. Eğer bir çözümleyici hâlâ yalnızca eski anahtara güveniyorsa — ya da kimsenin güncellemediği sabit kodlanmış bir güven çıpası taşıyorsa — imzalı her sorgu doğrulamadan geçemez, çözümleyici SERVFAIL döner ve cihazın adla eriştiği her şey çözümlenemez hale gelir. VPN ağ geçitleri, güncelleme sunucuları ve uygulama arka uçları aynı anda kaybolur; oysa hiçbir kablo ya da sertifika bozuk değildir. RFC 5011 mekanizması tam da bu yüzden vardır: çözümleyicilerin yeni kök anahtarı otomatik almasını sağlar. Ama bu yalnızca mekanizmayı uygulayan ve değişimden önce yeterince uzun süre çalışmış cihazlarda işe yarar.
Alman konnektörlerinin düştüğü tuzak görünüşe göre bu. TI; muayenehaneleri, hastaneleri, eczaneleri, laboratuvarları ve diğer sağlık aktörlerini birbirine bağlayan ağdır ve muayenehaneler bu ağa sertifikalı donanım konnektörleri üzerinden erişir. Bir konnektör TI uç noktalarını çözemezse, üzerinde çalışan hizmetler — e-reçete, elektronik iş göremezlik belgesi (eAU) ve elektronik hasta kaydı — o noktadan erişilemez hale gelir. Yani internet altyapısına dair bir ayrıntı, elektronik olarak belgelenemeyen randevularla dolu bir bekleme odasına dönüşür.
Acil çözüm teknik olarak ve ilkece basit: yeni güven çıpasını bir ürün yazılımı güncellemesiyle dağıtmak ya da cihazın ad çözümlemesini anahtarı zaten güncellemiş bir çözümleyici üzerinden yönlendirmek. Etkilenen konnektörlerin üreticileri ve işletmecileri gidermeler üzerinde çalışıyor; muayenehanelere cihazlarını güncellemeyi ertelememeleri öneriliyor.
Asıl mesele mimari. DNSSEC, kamuya açık DNS'i güvenilir kılan şeydir; ancak üzerine kapalı ve yüksek erişilebilirlik gerektiren bir ağ kurmak, kamu kök bölgesini bir bağımlılık olarak içeri almak demektir — ve o kök, takvimi başka yerde belirlenen anahtar değişimleri geçirir. TI gibi, kendi şifreli tünellerini kurmak için ad çözümlemesine bağımlı kapalı ekosistemler hem güvenliği hem de bu kırılganlığı devralır.
Olayla ilgili ayrıntılar hâlâ netleşiyor; şu ana kadar bildirilen kapsam Secunet ve RISE konnektörlerine odaklanıyor ve yukarıdaki açıklama ilk habere ve kök KSK devrinin teknik arka planına dayanıyor.
