Hvilket problem løser DNSSEC?
Klassisk DNS er fra en tid uden trusselsbillede: Svar sendes usigneret, og den, der spørger, stoler på det første svar, der kommer. Det åbner for DNS-spoofing og cache poisoning, hvor en angriber planter falske svar i en DNS-resolver — hvorefter alle dens brugere sendes til forkerte servere, når de slår jeres domæne op. Konsekvensen kan være alt fra phishing-sider på “jeres” adresse til omdirigeret mailflow. DNSSEC lukker hullet ved at gøre forfalskede svar matematisk afslørbare: Et svar uden gyldig signatur kasseres.
Hvordan virker DNSSEC?
Hver zone signerer sine DNS-data med private nøgler og publicerer de tilhørende offentlige nøgler i DNS. Tilliden bygges som en kæde: Rodzonen signerer en hash af .dk-zonens nøgle (en DS-record), .dk signerer jeres domænes DS-record, og jeres zone signerer sine egne records. En validerende resolver kan dermed følge kæden fra roden hele vejen ned og afvise alt, der ikke hænger sammen.
I praksis håndteres signering og nøglerul i dag automatisk af DNS-udbyderen — den klassiske frygt for “DNSSEC vælter driften” hører mest fortiden til, hvis registrator og DNS-udbyder spiller sammen.
Hvad har DNSSEC med mailsikkerhed at gøre?
Mere end de fleste tror. Jeres SPF-, DKIM- og DMARC-politikker bor i DNS — kan DNS-svar forfalskes, kan politikkerne det i princippet også. Og vigtigst: DANE/MTA-STS-laget. DANE, der binder TLS-certifikater til domænet og tvinger krypteret mailtransport, kræver DNSSEC for at virke. DNSSEC er altså ikke kun “hygiejne” — det er fundamentet under den stærkeste form for transportsikring af mail. Et domæne med DNSSEC, DANE, MTA-STS og håndhævet DMARC er om noget signalet på en afsender, der har styr på sin tekniske posture.
Hvordan kommer I i gang?
Tre skridt: Tjek først status (fx med DNSViz eller Verisigns DNSSEC-debugger — eller et simpelt opslag efter DS-records). Slå derefter signering til hos jeres DNS-udbyder — hos de fleste moderne udbydere er det et enkelt valg — og få DS-recorden registreret hos registrator/.dk. Overvåg til sidst, at kæden validerer, og hav en procedure for nøglerul og for, hvad der skal ske før I skifter DNS-udbyder (DS-recorden skal håndteres korrekt, ellers fejler validering). I Danmark er DNSSEC-udbredelsen blandt de højeste i verden — at mangle det stikker ud.