VS verplicht DNSSEC voor overheid

29-08-2008 11:25 | Door Jasper Bakker | Lees meer artikelen over: DNS, SSL, Patches | Er zijn nog geen reacties op dit artikel | Permalink

Het Witte Huis voert DNSSEC in, om omleiding van webverkeer te voorkomen.

De Amerikaanse overheid neemt maatregelen tegen het DNS-gat. De regering stelt gebruik van DNSSEC verplicht voor overheidsinstanties.

Het Witte Huis legt Amerikaanse overheidsinstanties gebruik van DNS-beveiligingsmaatregelen op. Zo moeten alle overheidsorganen voortaan DNSSEC (domain name system security extensions) gebruiken voor hun internetverbindingen. Dat is een uitbreiding van internetbasisprotocol DNS die controleert of de bron van een dataverzending en de data zelf in orde is.

De regering van de Verenigde Staten zorgt er hiermee voor dat misbruik van het grote beveiligingsgat in DNS niet langer een gevaar kan zijn voor overheidsverkeer. Het in juli onthulde gat stelt kwaadwillenden in staat internetverkeer om te leiden, zonder dat reguliere beveiligingssoftware dat doorheeft. Dit betreft niet alleen webverkeer, maar ook andere toepassingen zoals mail, FTP (file transfer protocol) en zelfs het voor internetbankieren gebruikte SSL (secure socket layer).

Niet beschermd

DNSSEC is eerder al genoemd als enige oplossing voor het DNS-gat. De patches die tegelijk met het bekend maken van het lek door leveranciers beschikbaar zijn gesteld vormen slechts een lapmiddel. Misbruik van het DNS-lek is nog altijd mogelijk.

Snelle check

Wie snel wil controleren of de patch is doorgevoerd binnen zijn eigen bedrijf, kan op de website van Dan Kaminsky via één druk op de knop achterhalen of de gebruikte DNS-server kwetsbaar is of niet. Een meer gedetailleerde controle kan elders worden uitgevoerd. Bert Hubert, ontwikkelaar van Power DNS: "Elke werknemer zou op die link moeten klikken. Wanneer de DNS-server van zijn bedrijf niet gepatcht is, moet hij de systeembeheerder bestoken."

Het lek dat Kaminsky ontdekte

Domain Name System-servers vertalen domeinnamen naar ip-adressen. Er zijn twee soorten DNS-servers: authoritative en caching nameservers. Alleen het tweede type DNS-server (ook wel ‘resolving name servers' genoemd) is vatbaar voor de kwetsbaarheid die Kaminsky ontdekte. Caching nameservers zijn namelijk niet op de hoogte van alle domeinnamen op het hele internet, en sturen daarom vertaalverzoeken aan ‘autoritieve' DNS-servers. In zo'n vertaalverzoek vraagt een DNS-server naar het ip-adres dat hoort bij een bepaald website- of mailadres.

Het huidige DNS-lek maakt het voor kwaadwillenden mogelijk zich uit te geven voor een autoritieve DNS-server. Zij kunnen daardoor de cache van DNS-servers vervuilen met verkeerde ip-adressen. Die foute adressen kunnen ervoor zorgen dat mails in verkeerde handen terecht komen en dat websitebezoekers worden omgeleid naar vervalste websites. Kwaadwillenden kunnen één website 'kapen' (van bijvoorbeeld een bank of een webmailaanbieder), maar in principe ook het hele .com-domein overnemen.

	Aantal reacties met 3+ sterren		Gemiddelde waardering
1	PaVaKe	154	6.4
2	Reza Sarshar	120	6.7
3	Henri Koppen	109	6.4
4	edekkinga	79	6.6
5	Jaap-G	53	6.1
6	Guido Groeneweg	49	6.3
7	Ruud Mulder	47	6.5
8	mauwerd	43	6.1
9	Frank Brechts	43	6.0
10	Rob Koelmans	40	6.3

Nieuws / Security

VS verplicht DNSSEC voor overheid

Niet beschermd

10-02 Infor helpt Ferrari met bouwen F1-auto's

10-02 Tester Four Oaks in Israëlische handen

10-02 IS Online en Tres zijn klaar voor Elfstedentocht

10-02 SecureLink migreert Microsoft-diensten Atradius

10-02 Nieuwe software brengt Vitens in problemen

10-02 Ex-Misys-topman moet CSC uit penarie helpen

10-02 Veenman en 20/20 vision adviseren samen klant

10-02 Cisco maakt 2,2 miljard dollar kwartaalwinst

10-02 Misys en Temenos willen fuseren

10-02 Raet stelt Schrijnemaekers als nieuwe CFO aan

10-02 SecureLink migreert Microsoft-diensten Atradius

09-02 Vodafone: Wij spelen klantinformatie niet door

09-02 Lang leve de hackers!

09-02 'Ook met cookiewet is gebruiker niet anoniem'

09-02 'KPN koppelt ID aan internetverkeer'

08-02 'Nieuwe cookiewet is eenvoudig te omzeilen'

07-02 Eigen werknemer kan ook een vijand zijn

03-02 'Overheid vreest voor veiligheid in de cloud'

01-02 F5 beschermt openbare websites

31-01 Publieksvoorlichting is belangrijke taak voor NCSC

07-09-09 SURFnet ondersteunt veilig internetprotocol

04-06-09 Internet krijgt beveiligd DNS-protocol

25-02-09 .com-domein krijgt beveiligd DNS-protocol

06-01-09 Kaminsky vond DNS-lek dankzij fitnessongelukje

12-11-08 Windows 7 biedt betere DNS-beveiliging

11-11-08 Organisaties verwaarlozen DNS-infrastructuur

10-11-08 Nederland patcht slechter tegen Kaminsky-lek

05-09-08 Tsjechië stapt over op beveiligd DNS-protocol

02-09-08 SIDN: vanaf 2009 overstap naar DNSsec

26-08-08 Firefox beschermt tegen DNS-gat

22-08-08 Getronics: niets mis met Amsterdamse DNS

22-08-08 Aantal DNS-aanvallen neemt toe

18-08-08 Mailservers nog kwetsbaar voor DNS-lek

14-08-08 Getest: exploittool voor DNS-lek

13-08-08 DNS-lek ondermijnt vertrouwen in internet

Best Practices om laptop-data te beschermen