21 måneders varsel reddede ikke tyske klinikker

Mandag morgen i tyske klinikker og apoteker

Siden mandag den 12. oktober har mange lægepraksisser, apoteker og klinikker i Tyskland haft problemer med at nå Telematikinfrastruktur, det nationale sundhedsnet, og Gematik melder om forstyrrelser for udbydere, hvis konnektorer kommer fra Secunet eller RISE. De tjenester, der falder ud eller kun virker delvist, er kontrollen af forsikredes stamdata (VSDM), sikker beskedtjeneste (KIM), e-recepter, den elektroniske patientjournal og elektroniske sygemeldinger.

Konnektorer fra CGM er ikke berørt, siger Gematik, fordi CGM ikke bruger den pågældende funktion. Årsagen er det planlagte skift af DNS-rodnøglen.

Gematik forventer, at alle Secunet- og RISE-konnektorer i drift bliver berørt i løbet af ugen, hvis der ikke kommer en rettelse, og steder uden egen konnektor kan blive ramt, hvis de forbinder via en datacenterkonnektor. Gematik kan endnu ikke sige, hvor mange konnektorer der er berørt.

En kalender, der var offentlig i 21 måneder

Nøgleskiftet stod i den offentlige kalender i 21 måneder, og den første hverdag efter bragte alligevel et nedbrud.

ICANNs vejledning bad operatører af DNSSEC-validerende resolvere, leverandører af DNS-software og alle med manuelt indstillede tillidsankre om at bekræfte, at deres systemer var klar før den 11. oktober. Cloudflare tilføjede, at en validerende resolver, der ikke stoler på den nye nøgle, kan gøre sunde websteder utilgængelige, og at roden kun én gang tidligere havde skiftet sin nøglesigneringsnøgle.

Hvorfor eksisterende tunneler overlevede, og nye fejler

De berørte konnektorer mangler tilsyneladende det nye tillidsanker for internettets rod, så de ikke kan opløse adresserne på VPN-adgangstjenesterne fra Arvato og T-Systems og ikke kan opbygge en ny tunnel til sundhedsnettet.

Tunneler, der allerede er oppe, har ikke brug for nye navneopslag og bliver derfor ved med at virke. DNSKEY-posterne fra roden bliver desuden i cachen i 48 timer, hvilket skjuler fejlen, indtil en genstart eller genforbindelse finder en tom eller udløbet cache. Derfor skriver heise, at berørte operatører ikke bør genstarte deres konnektorer.

Gematik beskriver en midlertidig løsning, som den lokale serviceudbyder skal indsætte i hånden, og vejledningen til Secunet-konnektorer anbefaler at tilføje det nye tillidsanker også til konnektorer, der stadig virker. For RISE findes der endnu ingen særskilt vejledning, og RISE varslede fra den 8. oktober firmware 6.2.3 med det, det kaldte en vigtig rettelse, men det er ukendt, om den løser denne fejl. Hvorfor konnektorerne ikke overtog den nye nøgle, er stadig uklart: Specifikationen kræver automatiske RFC 5011-opdateringer til sundhedsnettets eget anker, men det er ikke klart, at internetankeret får dem.

Præcedensen fra maj 2020

I slutningen af maj 2020 kunne omkring 80.000 af cirka 130.000 tilsluttede praksisser og klinikker ikke nå nogle af sundhedsnettets tjenester, og de berørte konnektorer kom fra T-Systems, RISE og Secunet.

Gematik gav først skylden på en fejlagtig post i sin liste over tillidstjenesters status. Magasinet c't knyttede senere nedbruddet til et nyt DNSSEC-rodtillidsanker, der blev sat i maj 2020, kombineret med en administrationsfejl. I midten af juni 2020 var synkroniseringen af stamdata stadig forstyrret hos mere end 40.000 praksisser, og genopretningen krævede opdateringer på stedet fra serviceudbydere, fordi fjernvedligeholdelse ofte ikke var godkendt.

Hvad du bør spørge leverandørerne om før det næste rodskifte

Start med enhver enhed, der opbygger VPN-tunneler eller selv validerer DNS, for eksempel gateways, medicinske konnektorer og indlejrede enheder. Bed hver leverandør bekræfte skriftligt, hvordan dens tillidsanker opdateres, med RFC 5011 eller i hånden, og om den allerede kender KSK-2024.

Test en genstart eller genforbindelse i et vedligeholdelsesvindue først efter den bekræftelse, og hav leverandørens manuelle løsning klar. Cloudflare tilbyder en parathedstest baseret på RFC 8509 for den resolver, din browser bruger, og siger, at de fleste webstedsejere ikke behøver gøre noget.

Sæt rodnøgleskift og certifikatudløb i den samme ændringskalender som softwareudgivelser. Dette nedbrud havde en dato, en offentlig nøgle og en offentliggjort vejledning, og fejlen viste sig først, da datoen var passeret.

Læs videre: Yandex Cloud rådede kunder til at hoste andetsteds  |  Tre Windows-supportfrister inden for 30 dage