21 maanden waarschuwing redden Duitse klinieken niet

Maandagochtend in Duitse praktijken en apotheken

Sinds maandag 12 oktober hebben veel huisartsenpraktijken, apotheken en klinieken in Duitsland moeite om de Telematikinfrastruktur te bereiken, het nationale zorgnetwerk, en Gematik meldt storingen bij aanbieders wier connectoren van Secunet of RISE komen. De diensten die uitvallen of maar deels werken zijn de controle van verzekerdengegevens (VSDM), beveiligde berichten (KIM), e-recepten, het elektronisch patiëntendossier en elektronische ziekmeldingen.

Connectoren van CGM zijn niet getroffen, zegt Gematik, omdat CGM de betreffende functie niet gebruikt. De oorzaak is de geplande wissel van de DNS-rootsleutel.

Gematik verwacht dat in de loop van de week alle Secunet- en RISE-connectoren in het veld getroffen worden als er geen oplossing komt, en locaties zonder eigen connector kunnen geraakt worden als ze via een datacenterconnector verbinden. Gematik kan nog niet zeggen hoeveel connectoren getroffen zijn.

Een kalender die 21 maanden openbaar was

De sleutelwissel stond 21 maanden op de openbare kalender, en de eerste werkdag erna bracht toch een storing.

De richtlijnen van ICANN vroegen beheerders van DNSSEC-validerende resolvers, leveranciers van DNS-software en iedereen met handmatig ingestelde vertrouwensankers te bevestigen dat hun systemen vóór 11 oktober klaar waren. Cloudflare voegde toe dat een validerende resolver die de nieuwe sleutel niet vertrouwt gezonde websites onbereikbaar kan maken, en dat de root zijn key-signing key eerder maar één keer had gewisseld.

Waarom bestaande tunnels overleven en nieuwe falen

De getroffen connectoren missen blijkbaar het nieuwe internet-vertrouwensanker van de root, zodat ze de adressen van de VPN-toegangsdiensten van Arvato en T-Systems niet kunnen oplossen en geen nieuwe tunnel naar het zorgnetwerk kunnen opbouwen.

Tunnels die al open staan hebben geen nieuwe naamopzoekingen nodig en blijven dus werken. De DNSKEY-records van de root blijven bovendien 48 uur in de cache staan, wat de fout verbergt tot een herstart of herverbinding een lege of verlopen cache aantreft. Daarom meldt heise dat getroffen beheerders hun connectoren niet moeten herstarten.

Gematik beschrijft een tijdelijke oplossing die de dienstverlener ter plaatse met de hand moet toepassen, en de handleiding voor Secunet-connectoren adviseert het nieuwe vertrouwensanker ook toe te voegen aan connectoren die nog werken. Voor RISE is er nog geen aparte handleiding, en RISE kondigde vanaf 8 oktober firmware 6.2.3 aan met wat het een belangrijke correctie noemde, al is niet bekend of die deze fout verhelpt. Waarom de connectoren de nieuwe sleutel niet overnamen is nog onduidelijk: de specificatie eist automatische RFC 5011-updates voor het eigen anker van het zorgnetwerk, maar het is niet duidelijk dat het internetanker die krijgt.

Het precedent van mei 2020

Eind mei 2020 konden ongeveer 80.000 van de circa 130.000 aangesloten praktijken en klinieken sommige diensten van het zorgnetwerk niet bereiken, en de getroffen connectoren kwamen van T-Systems, RISE en Secunet.

Gematik legde de schuld eerst bij een foutieve invoer in zijn lijst met vertrouwensdiensten. Het tijdschrift c't koppelde de storing later aan een nieuw DNSSEC-root-vertrouwensanker dat in mei 2020 werd ingesteld, gecombineerd met een beheerfout. Half juni 2020 was de synchronisatie van stamgegevens bij meer dan 40.000 praktijken nog gestoord, en het herstel vroeg om updates ter plaatse door dienstverleners, omdat onderhoud op afstand vaak niet was goedgekeurd.

Wat u uw leveranciers moet vragen vóór de volgende rootwissel

Begin bij elk apparaat dat VPN-tunnels opbouwt of zelf DNS valideert, zoals gateways, medische connectoren en ingebedde apparaten. Laat elke leverancier schriftelijk bevestigen hoe zijn vertrouwensanker wordt bijgewerkt, via RFC 5011 of met de hand, en of het KSK-2024 al kent.

Test een herstart of herverbinding pas na die bevestiging in een onderhoudsvenster en houd de handmatige oplossing van de leverancier klaar. Cloudflare biedt een gereedheidstest op basis van RFC 8509 voor de resolver die uw browser gebruikt, en zegt dat de meeste website-beheerders niets hoeven te doen.

Zet rootsleutelwissels en certificaatverloopdata in dezelfde wijzigingskalender als softwarereleases. Deze storing had een datum, een openbare sleutel en een gepubliceerde handleiding, en de fout kwam pas aan het licht toen de datum voorbij was.

Lees hierna: Yandex Cloud adviseerde klanten elders te hosten  |  Drie Windows-deadlines binnen 30 dagen