Problemet DNSSEC blev opfundet til
Klassisk DNS blev bygget i en tid, hvor ingen regnede med, at nogen ville lyve. Svar sendes usigneret, og den, der spørger, stoler på det første svar, der kommer tilbage.
Dermed er der åbnet for DNS-spoofing og cache poisoning. En angriber planter falske svar i en DNS-resolver, og derefter bliver alle resolverens brugere sendt til de forkerte servere, når de slår jeres domæne op. Det er ofte en phishing-side på det, der ligner jeres adresse. Eller jeres mailflow, der bliver omdirigeret.
DNSSEC lukker hullet ved at gøre forfalskede svar matematisk afslørbare. Et svar uden gyldig signatur bliver kasseret.
Tillidskæden fra roden og ned
Hver zone signerer sine DNS-data med private nøgler og lægger de tilhørende offentlige nøgler i DNS. Tilliden bygges som en kæde. Rodzonen signerer en hash af .dk-zonens nøgle i en DS-record, .dk signerer jeres domænes DS-record, og jeres egen zone signerer sine records. En validerende resolver kan følge kæden fra roden hele vejen ned og afvise alt, der ikke hænger sammen.
Signering og nøglerul håndteres i dag automatisk hos de fleste DNS-udbydere. Den gamle frygt for, at DNSSEC vælter driften, stammer fra dengang det skulle passes i hånden.
Sammenhængen med mailsikkerhed
Mere end de fleste tror. Jeres SPF-, DKIM- og DMARC-politikker bor i DNS. Kan DNS-svar forfalskes, kan politikkerne i princippet også.
Vigtigere er DANE. Den binder TLS-certifikater til domænet og tvinger krypteret mailtransport, og den kræver DNSSEC for overhovedet at virke. Et domæne med DNSSEC, DANE, MTA-STS og håndhævet DMARC fortæller enhver modtager, at afsenderen har styr på sit.
Hvordan kommer I i gang?
Tjek først, hvor I står. DNSViz eller Verisigns DNSSEC-debugger kan sige det, og et simpelt opslag efter DS-records rækker også langt.
Slå derefter signering til hos jeres DNS-udbyder. Hos de fleste moderne udbydere er det ét valg i en menu. Få så DS-recorden registreret hos jeres registrator.
Til sidst skal I overvåge, at kæden validerer, og have en procedure for nøglerul. Vær særligt opmærksom, hvis I skifter DNS-udbyder. Håndteres DS-recorden ikke rigtigt undervejs, fejler valideringen, og så er domænet utilgængeligt for alle, der validerer.
Danmark ligger blandt de lande i verden med højest DNSSEC-udbredelse. Her stikker man ud ved at mangle det.
DNSSEC hænger sammen med resten af jeres domænesikkerhed. Vi tager det med i arbejdet med mailspoofing, fordi politikkerne alligevel bor i den samme zone.