Wat is DNSSEC?
Begrijp authenticatie van DNS-antwoorden, de vertrouwensketen en de beperkingen.
DNSSEC voegt digitale handtekeningen toe aan DNS-gegevens, zodat een validerende resolver kan controleren of een antwoord authentiek is en onderweg niet is gewijzigd. Bij een juiste implementatie beschermt het de integriteit van DNS-antwoorden. Het versleutelt geen DNS-opvragingen, verbergt geen browseactiviteit en vervangt HTTPS voor een website niet.
Hoe validatie werkt
Een ondertekende zone publiceert handtekeningen en DNSKEY-gegevens. Een vertrouwensketen verbindt de bovenliggende zone met de onderliggende zone, meestal via een DS-record in de bovenliggende zone. Een validerende resolver controleert die keten voordat een ondertekend antwoord wordt geaccepteerd. Als de handtekeningen of koppelingen fout zijn, kan validatie mislukken terwijl de onderliggende A- of MX-waarde aannemelijk lijkt.
Daarom zijn bij de configuratie zowel de registrar als de DNS-provider van belang: de DNS-provider ondertekent de zone en de DS-informatie aan de bovenliggende zijde moet overeenkomen. Een verouderde DS-record na een overstap van provider kan een domein voor validerende resolvers onbereikbaar doen lijken.
Wat DNSSEC niet oplost
DNSSEC authenticeert DNS-gegevens; het bewijst niet dat de server in het antwoord veilig is of dat de webinhoud waarheidsgetrouw is. Het beveiligt evenmin een registraraccount. HTTPS-certificaten en transportversleuteling lossen andere problemen op. DNS over HTTPS kan de verbinding met een resolver versleutelen, maar valideert op zichzelf niet de ondertekende DNS-keten.
Een niet-ondertekend domein is niet per definitie gecompromitteerd. Of u DNSSEC moet inschakelen hangt af van de ondersteuning door de provider en de mogelijkheid om sleutels en delegatie correct te onderhouden.
Praktische controles
Volg bij het inschakelen de instructies van uw DNS-provider, publiceer de overeenkomende DS bij de registrar en test validatie voordat u een oude provider buiten gebruik stelt. Controleer na iedere wijziging van nameserver of sleutel of DS en DNSKEY nog overeenkomen. Gebruik /whois voor zichtbare DNS-context, maar gebruik een speciale validerende resolver of diagnosetool om de vertrouwensketen te bevestigen. De handleiding over DNS-records plaatst de verwante recordtypen in hun context.
Bronnen
Probeer de controle
Controleer een domein om actuele registratie- en DNS-gegevens te bekijken.
Controleer een domein