Domain Name System blev bygget til at være hurtigt. Det blev ikke bygget til at være sikkert. Da DNS blev udtænkt i 1980'erne, havde ingen planlagt en verden, hvor angribere ville prøve at forfalske DNS-svar for at sende dine besøgende til falske hjemmesider. DNSSEC, en forkortelse for DNS Security Extensions, blev lavet for at lukke det hul. Det lægger digitale signaturer på DNS-poster, så hvert svar fra en DNS-server kan bekræftes som ægte, før browseren stoler på det.
Hvad er DNSSEC?
DNSSEC er et sæt sikkerhedsudvidelser til DNS-protokollen. Det virker ved at lægge en kryptografisk signatur på hver DNS-post for dit domæne. Når en resolver slår dit domæne op, tjekker den, om signaturen passer, før den accepterer svaret. Mangler signaturen eller passer den ikke, bliver svaret afvist. Det forhindrer angribere i at sætte falske DNS-svar ind i systemet.
DNSSEC ændrer ikke på, hvordan DNS virker. Opslaget foregår på samme måde. Dit domæne bliver stadig til en IP-adresse gennem en kæde af DNS-servere. Forskellen er, at hvert led i kæden nu kan bekræftes. Resolveren stoler ikke bare på svaret. Den tjekker en kryptografisk signatur for at bekræfte, at svaret kom fra en autoriseret kilde og ikke blev ændret undervejs.
Hvilket problem løser DNSSEC?
Uden DNSSEC bliver DNS-svar taget for gode varer. Der er ingen indbygget måde at tjekke, om svaret kom fra den rette server, eller om det blev ændret undervejs. Det åbner for en bestemt type angreb, der hedder DNS cache poisoning, også kaldet DNS-spoofing.
Ved et angreb med cache poisoning sender en angriber forfalskede DNS-svar til en resolver, før det rigtige svar når frem. Resolveren gemmer det falske svar i sin cache og giver det til alle, der slår domænet op. Hver besøgende, der skriver dit domæne i browseren, bliver sendt til en server, angriberen styrer, i stedet for til din rigtige hjemmeside.
Den falske side kan se helt ens ud med din. Besøgende kan taste loginoplysninger, betalingsoplysninger eller personlige oplysninger ind uden at opdage, at de er på en helt anden server. Angrebet er usynligt for den besøgende, fordi URL'en i browseren stadig viser dit domænenavn.
DNSSEC forhindrer det ved at gøre forfalskede svar mulige at opdage. Passer signaturen ikke, afviser resolveren svaret, og den besøgende bliver ikke sendt til et falsk sted.
Hvordan virker DNSSEC?
DNSSEC bruger et system med offentlige og private nøgler til at signere DNS-poster. Sådan foregår det i store træk.
Når du slår DNSSEC til, laver din DNS-udbyder et par kryptografiske nøgler til dit domæne. Den private nøgle bruges til at lave en digital signatur for hver DNS-post. Den offentlige nøgle bliver udgivet som en DNS-post, så resolvere kan få fat i den.
Når en resolver spørger efter dit domæne, får den DNS-svaret sammen med signaturen. Resolveren bruger så den offentlige nøgle til at tjekke, at signaturen passer til dataene i svaret. Er alt i orden, bliver svaret stolet på. Er signaturen ugyldig eller mangler den, behandler resolveren svaret som upålideligt og sender det ikke videre til browseren.
Bekræftelsen virker gennem en tillidskæde. Dit domænes offentlige nøgle henvises til af en DS-post (Delegation Signer) i den overordnede zone. Hvis dit domæne for eksempel er yourbrand.com, har .com-zonen en DS-post, der peger på dit domænes offentlige nøgle. Selve .com-zonen er signeret og bekræftet af rodzonen. Hvert niveau i kæden bekræfter niveauet under sig, hele vejen fra roden ned til dit specifikke domæne.
Hvad sker der uden DNSSEC?
Uden DNSSEC er hvert DNS-svar, dit domæne giver, usigneret. Resolvere accepterer det svar, der kommer først, uden nogen måde at bekræfte, at det kom fra en ægte kilde. Det betyder, at en angriber, der står det rette sted, kan smutte forfalskede svar ind i systemet og sende dine besøgende et andet sted hen uden at udløse nogen alarmer.
For de fleste små hjemmesider er risikoen for et målrettet angreb med DNS poisoning lav. Angribere går typisk efter mål af høj værdi som banker, e-mailudbydere og store webshopplatforme. Men risikoen er ikke nul. Offentlige wi-fi-netværk, kompromitterede routere og sårbarheder i visse resolvere kan alle skabe muligheder for DNS-spoofing i mindre skala.
Den praktiske betydning af ikke at have DNSSEC afhænger af din situation. Håndterer du følsomme data, tager imod betalinger eller bruger din hjemmeside som det vigtigste kontaktpunkt til kunder, er den ekstra bekræftelse værd at have.
Har du brug for DNSSEC til dit domæne?
Det ærlige svar er, at det afhænger. DNSSEC giver reel beskyttelse, men det er ikke et krav for alle domæner.
Du bør slå DNSSEC til, hvis din hjemmeside håndterer betalinger, indsamler følsomme oplysninger eller ligger på et domæne med stor synlighed. Offentlige hjemmesider, finansielle tjenester og brands inden for sundhed har alle gavn af at have DNSSEC aktivt. Er domænesikkerhed en prioritet for dit brand, er DNSSEC endnu et lag, der er værd at lægge til.
Du har måske ikke brug for det med det samme, hvis du kører en mindre informationsside uden login, og din udbyder endnu ikke understøtter DNSSEC eller tager ekstra for det. Mange hjemmesider kører uden og fungerer fint. SSL krypterer allerede forbindelsen mellem den besøgende og din server, og det beskytter data på vej. DNSSEC løser et andet problem, nemlig selve integriteten af DNS-opslaget.
Hvis din udbyder understøtter det, og opsætningen er ligetil, er der meget lidt ulempe ved at slå det til. Beskyttelsen er reel, selv om den risiko, den adresserer, ikke gælder for alle domæner lige meget.
Hvordan slår du DNSSEC til?
For at slå DNSSEC til skal du handle to steder. Det første er din DNS-udbyder, hvor dit domænes DNS-poster ligger. Det andet er din domæneudbyder, hvor dit domæne er registreret.
Trinene ser sådan ud i store træk.
- Log ind hos din DNS-udbyder og slå DNSSEC til for dit domæne. Det laver de kryptografiske nøgler og begynder at signere dine DNS-poster.
- Kopiér den DS-post, som din DNS-udbyder giver dig. Posten indeholder en henvisning til dit domænes offentlige nøgle.
- Log ind hos din domæneudbyder og tilføj DS-posten i dit domænes indstillinger. Det kobler dit domænes DNSSEC-nøgler til den overordnede zone.
- Vent på, at ændringen slår igennem. Som ved enhver ændring af DNS-poster kan det tage nogle timer, før den nye DS-post er slået igennem på hele internettet.
- Test din opsætning med et online værktøj til bekræftelse af DNSSEC for at se, at alt virker.
Er din domæneudbyder og din DNS-udbyder det samme firma, er det enklere. Nogle udbydere klarer begge trin fra ét dashboard. Andre kræver, at du kopierer poster mellem to separate konti.
Den mest almindelige fejl under opsætningen er at taste DS-posten forkert ind. Tjek nøgle-tag, algoritmenummer, digesttype og digestværdi to gange, før du gemmer. Et forkert ciffer i et af de felter vil bryde tillidskæden og kan gøre dit domæne umuligt at nå, indtil fejlen er rettet.
Hvad gør DNSSEC ikke?
DNSSEC løser ét bestemt problem, nemlig at bekræfte, at DNS-svar er ægte. Det er vigtigt at forstå, hvad der ligger uden for det.
DNSSEC krypterer ikke dine DNS-forespørgsler. Indholdet af hvert DNS-opslag kan stadig ses af alle, der overvåger netværket. Betyder privatlivet for dine DNS-forespørgsler noget for dig, er det et særskilt problem, der løses af DNS over HTTPS (DoH) eller DNS over TLS (DoT) og ikke af DNSSEC.
DNSSEC krypterer ikke trafikken mellem den besøgende og din hjemmeside. Det er opgaven for et SSL-certifikat, der laver en krypteret forbindelse over HTTPS. DNSSEC og SSL beskytter forskellige ting på forskellige trin af forbindelsen.
DNSSEC forhindrer ikke alle typer angreb på dit domæne. Det stopper ikke nogen i at stjæle dine loginoplysninger til din udbyder og flytte dit domæne. Det beskytter ikke mod phishing-mails, der udgiver sig for at være dit brand. Og det blokerer ikke DDoS-angreb mod dine DNS-servere. Mod de trusler skal du bruge andre beskyttelser som tofaktorgodkendelse, domænelås og beskyttelse mod DDoS.
Hvordan er DNSSEC forskelligt fra SSL?
DNSSEC og SSL er begge sikkerhedslag, men de beskytter forskellige dele af forbindelsen mellem en besøgende og din hjemmeside.
SSL (og dets afløser TLS) krypterer de data, der løber mellem den besøgendes browser og din webserver. Når forbindelsen er oprettet, er alt, den besøgende sender og modtager, beskyttet mod aflytning. SSL bekræfter også, at den server, den besøgende taler med, har et gyldigt certifikat til dit domæne.
DNSSEC beskytter det trin, der sker, før SSL træder i kraft. Når en besøgende skriver dit domæne, slår browseren først IP-adressen op gennem DNS. DNSSEC sørger for, at det opslag giver den rigtige IP-adresse. Uden det kunne en angriber sende den besøgende til en helt anden server, en der endda kunne have sit eget SSL-certifikat til et domæne, der ligner dit.
Begge lag har deres formål. SSL beskytter samtalen. DNSSEC beskytter den retning, den besøgende tager for at starte samtalen. Bruger du begge, giver du dine besøgende den stærkeste sikkerhed for, at de er på din rigtige hjemmeside, og at deres data er sikre.
Sådan håndterer WEMASY DNSSEC
Hos WEMASY styrer du DNS-indstillingerne for dit domæne fra din konto. Om du kan slå DNSSEC til, afhænger af din domæneudbyder og din opsætning, så tjek det, før du ændrer noget. Se, hvad der er med i de enkelte pakker, på priser.
Afslutning på modul 6
Dette kapitel afslutter modulet om domænesikkerhed. Gennem de forrige kapitler har du fået hele billedet. Du har lært, hvad domænesikkerhed betyder, hvordan låsning af domæner, beskyttelse af privatlivet og opmærksomhed på fornyelse holder dit domæne under din kontrol, og de konkrete trusler som kapring, spekulation og svindel med fornyelse, der rammer domæneejere. DNSSEC lægger det sidste lag på ved at beskytte selve DNS-opslaget, det ene trin, der forbinder dit domænenavn med din rigtige hjemmeside. Med alle de beskyttelser på plads er dit domæne dækket fra registrering til opslag.
Ofte stillede spørgsmål om DNSSEC
Kan DNSSEC ødelægge min hjemmeside, hvis det er sat forkert op?
Ja. Passer DS-posten hos din domæneudbyder ikke til nøglerne hos din DNS-udbyder, vil resolvere, der bekræfter DNSSEC, afvise dit domænes DNS-svar helt. Det kan gøre din hjemmeside umulig at nå for besøgende, hvis resolvere kræver bekræftelse med DNSSEC. Test altid din opsætning med et værktøj til bekræftelse af DNSSEC, når du har slået det til, og hold dine nøgler i takt, hvis du nogensinde skifter DNS-udbyder. Med WEMASYs hjemmesidebygger kan du sætte det op direkte på din hjemmeside.
Gør DNSSEC min hjemmeside langsommere?
Påvirkningen af hastigheden er minimal. DNSSEC lægger lidt ekstra data på DNS-svar på grund af signaturerne, og resolvere udfører et ekstra trin med bekræftelse. I praksis giver det kun nogle få millisekunder ekstra på DNS-opslaget. Besøgende vil ikke mærke nogen forskel på, hvor hurtigt siden åbner.
Understøtter alle udbydere DNSSEC?
Ikke alle. De fleste store udbydere understøtter DNSSEC, men nogle mindre eller billige udbydere tilbyder det ikke endnu. Før du prøver at slå DNSSEC til, så tjek udbyderens dokumentation eller supportside for at bekræfte, at de lader dig tilføje DS-poster. Gør de ikke det, kan du få brug for at flytte dit domæne til en udbyder, der gør.
Hvad sker der med DNSSEC, hvis jeg skifter DNS-udbyder?
Skifter du DNS-udbyder, skal du opdatere din opsætning af DNSSEC. Den nye udbyder laver nye nøgler, og du skal erstatte DS-posten hos din domæneudbyder med den nye. Under overgangen er der et tidsrum, hvor den gamle DS-post ikke længere passer til de nye nøgler. Planlæg skiftet omhyggeligt. Fjern først den gamle DS-post, vent på, at ændringen slår igennem, flyt din DNS, slå DNSSEC til hos den nye udbyder, og tilføj så den nye DS-post.
Er DNSSEC det samme som DNS over HTTPS?
Nej. De løser forskellige problemer. DNSSEC bekræfter, at et DNS-svar er ægte og ikke er pillet ved. DNS over HTTPS (DoH) krypterer selve DNS-forespørgslen, så ingen, der overvåger dit netværk, kan se, hvilke domæner du slår op. DNSSEC beskytter integriteten. DoH beskytter privatlivet. De kan bruges sammen, men det ene erstatter ikke det andet.