DNSSEC: is extra domeinbeveiliging zinvol?
Auteur: Redactie Domeny.ForSale Gepubliceerd Bijgewerkt
Kort samengevat: DNSSEC inschakelen is zinvol als je aanbieder van DNS en je registrar het geautomatiseerd ondersteunen en je domein belangrijk is voor je bedrijf, e-mail of verkoop. Het mechanisme verkleint het risico op vervalste antwoorden van DNS, maar versleutelt geen verkeer. Het vervangt ook niet HTTPS, de beveiliging van je account bij de registrar of een correcte e-mailconfiguratie. Een verkeerd uitgevoerde wijziging van sleutels of servers voor DNS kan je domein juist tijdelijk onbereikbaar maken.
Wat DNSSEC precies beveiligt
DNS, het domeinnaamsysteem, zet een naam zoals winkel.example om in het adres van een server. Een normaal antwoord van DNS bevat geen mechanisme waarmee de ontvanger de authenticiteit cryptografisch kan bevestigen. Een aanvaller kan proberen een vals adres aan te leveren, bijvoorbeeld door de cache van een server voor DNS te vergiftigen.
DNSSEC, voluit Domain Name System Security Extensions, voegt digitale handtekeningen toe aan records van DNS. Een resolver die validatie ondersteunt — een server voor DNS die vragen van gebruikers beantwoordt — kan controleren of de gegevens uit de juiste zone komen en onderweg niet zijn gewijzigd.
Het vertrouwen berust op een keten die van de bovenliggende zone naar het domein loopt. In de praktijk bewaart de aanbieder van DNS de sleutels en ondertekent hij de zone. Bij de registrar wordt een DS-record geplaatst dat naar de juiste sleutel verwijst. Alleen als deze onderdelen overeenkomen, kan de resolver het antwoord bevestigen.
Een voorbeeld: een klant voert het adres van een bank of webwinkel in. Ontvangt de resolver een vervalst antwoord van DNS, dan hoort een resolver die DNSSEC valideert dat antwoord af te wijzen, in plaats van de gebruiker naar een door de aanvaller aangewezen server te sturen. Die bescherming werkt echter alleen als de hele keten correct is geconfigureerd en de gebruikte resolver de handtekeningen daadwerkelijk controleert.
Wat DNSSEC niet biedt
DNSSEC bevestigt de authenticiteit van gegevens van DNS, maar verbergt ze niet. Vragen en antwoorden kunnen nog steeds zichtbaar zijn op het netwerk, tenzij een afzonderlijk mechanisme wordt gebruikt om het transport van DNS te versleutelen, zoals DNS over HTTPS of DNS over TLS.
Het mechanisme beschermt evenmin:
- het beheerpaneel van de registrar tegen accountovername,
- de website tegen kwetsbaarheden in de applicatie en schadelijke code,
- de verbinding met de website zonder correct geïmplementeerde HTTPS,
- e-mail tegen spoofing zonder de juiste instellingen voor SPF, DKIM en DMARC,
- autoritatieve servers tegen uitval of overbelasting.
DNSSEC herstelt ook geen records die vanaf het begin onjuist zijn. Als de domeineigenaar een onjuist IP-adres ondertekent, bevestigt de handtekening alleen dat de zonebeheerder precies die informatie heeft gepubliceerd.
Wanneer inschakelen vooral zinvol is
De sterkste redenen om deze bescherming te gebruiken zijn er bij domeinen voor bankieren, betalingen, e-commerce, inloggen op diensten, verwerking van klantgegevens of zakelijke e-mail. Gebruikers naar een vervalst systeem sturen kan daar ernstigere gevolgen hebben dan bij een eenvoudige informatieve website.
DNSSEC is ook voor kleinere websites een verstandige keuze als de aanbieder van DNS het ondertekenen en het vervangen van sleutels automatiseert. In dat geval vergt de extra bescherming meestal geen dagelijks beheer. Je moet wel weten hoe je het domein migreert naar een andere aanbieder van DNS.
Voorzichtigheid is geboden als je DNS zelf beheert, de documentatie van de dienstverleners onduidelijk is of niemand binnen het bedrijf verantwoordelijk is voor de sleutels. De beveiligingswinst blijft reëel, maar het risico op een fout in het beheer neemt toe.
Het belangrijkste risico: een verbroken vertrouwensketen
Het meest voorkomende probleem bij de invoering is niet de handtekening zelf, maar een verschil tussen het DS-record bij de registrar en de sleutel die de aanbieder van DNS gebruikt. Een validerende resolver beschouwt de antwoorden dan als onbetrouwbaar. Voor de gebruiker kan dit lijken op een volledige uitval van de website en e-mail, terwijl de servers nog steeds werken.
Dit kan gebeuren wanneer je overstapt naar een andere aanbieder van DNS. Als de oude sleutel niet meer geldig is maar het DS-record er nog naar verwijst, komt het domein niet door de validatie. Verwijder oude instellingen en voeg nieuwe instellingen daarom niet in een willekeurige volgorde toe.
Controleer vóór de migratie de instructies van beide aanbieders en de registrar. De procedure hangt af van hun systemen, de ondersteunde algoritmen en de manier waarop het DS-record wordt bijgewerkt. Controleer de actuele vereisten daarom in de officiële documentatie van de dienstverleners.
Veilig beslissen en de bescherming inschakelen
Controleer eerst of je domeinextensie, registrar en aanbieder van autoritatieve servers voor DNS ondersteuning bieden voor DNSSEC. Ga ook na of het DS-record automatisch wordt doorgegeven of dat je het handmatig in het beheerpaneel van de registrar moet plakken.
De praktische procedure is als volgt:
- Bewaar de huidige configuratie van DNS en controleer of het domein correct werkt.
- Schakel het ondertekenen in bij de aanbieder van DNS volgens diens instructies.
- Voeg het DS-record toe bij de registrar of keur het goed als dit niet automatisch gebeurt.
- Controleer na de propagatie de validatieketen met een diagnostisch hulpmiddel dat DNSSEC ondersteunt.
- Leg vast hoe je van aanbieder wisselt en DNSSEC uitschakelt, en bewaar de contactgegevens van de technische ondersteuning.
Als alle drie de betrokken partijen het mechanisme automatisch ondersteunen, is het inschakelen van DNSSEC meestal een logische volgende stap. Bij handmatig beheer moet je eerst een procedure voorbereiden voor migratie en het weer bereikbaar maken van het domein. Alleen een optie aanvinken in het beheerpaneel is niet voldoende.
Lees ook
