Lunedì mattina negli studi medici e nelle farmacie tedesche
Da lunedì 12 ottobre molti studi medici, farmacie e cliniche in Germania hanno problemi a raggiungere la Telematikinfrastruktur, la rete sanitaria nazionale, e Gematik segnala disservizi per i fornitori i cui connector sono di Secunet o RISE. I servizi che non funzionano o funzionano solo in parte sono la verifica dei dati dell'assicurato (VSDM), la messaggistica sicura (KIM), le ricette elettroniche, il fascicolo sanitario elettronico e i certificati di malattia elettronici.
I connector di CGM non sono colpiti, dice Gematik, perché CGM non usa la funzione in questione. La causa è il cambio programmato della chiave radice DNS.
Gematik si aspetta che nel corso della settimana siano colpiti tutti i connector Secunet e RISE sul campo, finché non arriva una correzione, e le strutture senza un connector proprio possono essere colpite se si collegano tramite un connector di data center. Gematik non sa ancora dire quanti connector siano colpiti.
Un calendario pubblico da 21 mesi
Il cambio di chiave era sul calendario pubblico da 21 mesi, e il primo giorno lavorativo dopo la data ha comunque portato un guasto.
| Data | Evento |
|---|---|
| 11 gennaio 2025 | La nuova chiave radice KSK-2024 (key tag 38696) viene pubblicata nell'insieme DNSKEY della radice |
| 11 agosto 2026 | ICANN pubblica una guida su cosa aspettarsi durante il cambio |
| 6 ottobre 2026 | Cloudflare avverte che i resolver validanti devono fidarsi della nuova chiave |
| 11 ottobre 2026 | KSK-2024 inizia a firmare l'insieme DNSKEY della radice e KSK-2017 (key tag 20326) smette di farlo |
| 12 ottobre 2026 | Gematik segnala disservizi per i connector Secunet e RISE |
| 13 ottobre 2026 | heise aggiorna il suo articolo con le risposte di Gematik |
La guida di ICANN chiedeva a chi gestisce resolver validanti DNSSEC, ai produttori di software DNS e a chi ha ancore di fiducia configurate a mano di confermare che i sistemi fossero pronti prima dell'11 ottobre. Cloudflare ha aggiunto che un resolver validante che non si fida della nuova chiave può rendere irraggiungibili siti web sani, e che la radice aveva già cambiato la sua chiave di firma delle chiavi soltanto una volta prima.
Perché i tunnel esistenti resistono e i nuovi falliscono
Ai connector colpiti manca a quanto pare la nuova ancora di fiducia radice di internet, così non riescono a risolvere gli indirizzi dei servizi di accesso VPN di Arvato e T-Systems né a costruire un nuovo tunnel verso la rete sanitaria.
I tunnel già attivi non hanno bisogno di nuove ricerche di nomi e perciò continuano a funzionare. I record DNSKEY della radice restano inoltre in cache per 48 ore, il che nasconde il guasto finché un riavvio o una riconnessione non trova la cache vuota o scaduta. Ecco perché heise riferisce che gli operatori colpiti non dovrebbero riavviare i connector.
Gematik descrive un rimedio che il fornitore di servizi in loco deve applicare a mano, e la sua guida per i connector Secunet raccomanda di aggiungere la nuova ancora di fiducia anche ai connector che funzionano ancora. Per RISE non esiste ancora una guida a parte, e RISE ha annunciato dall'8 ottobre il firmware 6.2.3 con quella che ha definito una correzione importante, ma non è noto se risolva questo guasto. Perché i connector non abbiano adottato la nuova chiave resta poco chiaro: la specifica richiede aggiornamenti automatici RFC 5011 per l'ancora propria della rete sanitaria, ma non è chiaro che li riceva l'ancora di internet.
Il precedente del maggio 2020
Alla fine di maggio 2020 circa 80.000 dei circa 130.000 studi e cliniche collegati non riuscirono a raggiungere alcuni servizi della rete sanitaria, e i connector colpiti erano di T-Systems, RISE e Secunet.
Gematik diede prima la colpa a una voce errata nella sua lista di stato dei servizi fiduciari. La rivista c't collegò poi il guasto a una nuova ancora di fiducia radice DNSSEC impostata nel maggio 2020 combinata con un errore di amministrazione. A metà giugno 2020 la sincronizzazione dei dati anagrafici era ancora disturbata in più di 40.000 studi, e il ripristino richiese aggiornamenti in loco da parte dei fornitori di servizi perché la manutenzione remota spesso non era autorizzata.
Cosa chiedere ai fornitori prima del prossimo cambio di radice
Partite da ogni dispositivo che costruisce tunnel VPN o valida il DNS da solo, come gateway, connector medicali e appliance embedded. Chiedete a ogni fornitore di confermare per iscritto come aggiorna la sua ancora di fiducia, con RFC 5011 o a mano, e se conosce già KSK-2024.
Provate un riavvio o una riconnessione in una finestra di manutenzione solo dopo quella conferma e tenete pronto il rimedio manuale del fornitore. Cloudflare offre un test di preparazione basato su RFC 8509 per il resolver che usa il vostro browser, e dice che la maggior parte dei gestori web non deve agire.
Mettete i cambi di chiave radice e le scadenze dei certificati nello stesso calendario delle modifiche dei rilasci software. Questo guasto aveva una data, una chiave pubblica e una guida pubblicata, e il problema è emerso solo dopo che la data era passata.
Da leggere ora: Yandex Cloud consiglia ai clienti di ospitare altrove | Tre scadenze di supporto Windows entro 30 giorni
