Algorand drängt auf Update 5.0.3: Neustarts scheiterten nach DNS-Root-Schlüsselwechsel
Serguey Asael Shinder2 Min. LesezeitDie Algorand-Entwickler haben am frühen 12. Oktober go-algorand 5.0.3-stable veröffentlicht – mit einer ungewöhnlich deutlichen Ansage: Alle Node-Betreiber sollen so schnell wie möglich aktualisieren. Der Patch behebt ein DNSSEC-Problem, das Knoten jeder Art daran hindert, sich beim Start oder Neustart ins Netzwerk einzuklinken.
Was kaputtging. Algorand-Knoten finden ihre Peers über DNS und verlangen standardmäßig, dass diese Antworten per DNSSEC validiert sind. Dafür braucht es einen Vertrauensanker: den öffentlichen Schlüssel, der die DNS-Root signiert. Genau dieser Schlüssel hat gerade gewechselt. Laut IANA, die den Root-Schlüssel betreibt, signiert der neue Root-Key-Signing-Key KSK-2024 die Root-Zone seit dem 11. Oktober 2026 und löst KSK-2017 ab, der seit 2018 signierte. Validierende Resolver brauchen laut IANA den aktualisierten Anker, um die Root weiter prüfen zu können. Die Algorand-Knotensoftware brachte eine eigene Ankerdatei ohne den neuen Schlüssel mit. Die Release Notes fassen es in einem Satz: Ein Update des Root-Schlüssels habe DNSSEC-Abfragen wegen der Anker gebrochen.
Wer betroffen ist. Bereits verbundene Knoten arbeiten weiter. Der Fehler tritt beim nächsten Start oder Neustart jeder Version unter 5.0.3 auf: Der Knoten kann DNSSEC-Signaturen nicht validieren und sich daher nicht verbinden. Praktisch genügt ein gewöhnlicher Reboot, ein Absturz oder eine Konfigurationsänderung, um einen Knoten vom Netz zu nehmen.
Fix und Notlösung. Version 5.0.3 ergänzt die Ankerdatei um KSK-2024 (Changelog-Eintrag #6764). Als Update-Wege nennen die Notes ./nodekit upgrade für Nodekit-Nutzer, den Paketmanager für paketierte Installationen und das Software-Update in der App FUNC. Wer nicht sofort aktualisieren kann, kann die DNSSEC-Prüfung vorübergehend abschalten: "DNSSecurityFlags": 0 in config.json setzen (bei einer Config-Version über 33, notfalls "Version": 34 ergänzen) – und nach dem Update wieder auf 9 stellen. Ein Protokoll-Upgrade enthält das Release nicht.
Warum das über Algorand hinaus zählt. Der Wechsel des Root-Schlüssels war lange angekündigt: IANA hat KSK-2024 vor Beginn der Signierung in der Root-Zone veröffentlicht, und Resolver, die dem automatischen Aktualisierungsverfahren nach RFC 5011 folgen, konnten ihm in dieser Wartephase bereits vertrauen. Software, die eine eigene Kopie des Ankers mitliefert – wie der Algorand-Knoten –, muss von ihren Maintainern aktualisiert werden, und ihre Nutzer merken es erst, wenn etwas neu startet. Andere Projekte mit eingebauter DNSSEC-Prüfung sind auf dieselbe Weise zu prüfen.
Quellen: Release Notes go-algorand 5.0.3-stable — https://github.com/algorand/go-algorand/releases/tag/v5.0.3-stable ; IANA, DNSSEC-Vertrauensanker — https://www.iana.org/dnssec/files