Tsjechië stapt over op beveiligd DNS-protocol

Een ernstig lek in DNS lijkt als gunstig bijeffect te hebben dat een aantal domeinen versneld overstapt op DNSsec. In juli werd bekend dat .org DNSsec gaat ondersteunen, in augustus volgde .gov en per 1 september is ook het .cz-domein (Tsjechië) overstag. Wereldwijd ondersteunen zeven domeinen DNSsec.

De beheerder van het .cz-domein is per 1 september overgestapt op DNSsec (domain name system security extensions), een protocol dat backwards compatible is met internetfundament DNS, maar daarnaast authenticatie en databescherming biedt.

In juli werd bekend dat .org overstapt op DNSsec. In augustus volgde .gov. Wereldwijd ondersteunen nu zeven domeinen het beveiligde internetprotocol: Brazilië (.br), Bulgarije (.bg), -.gov, -.org, Tsjechië (.cz), Puerto Rico (.pr) en Zweden (.se).

SIDN, de organisatie die het .nl-domein beheert, verwacht in 2009 te starten met het implementeren van DNSsec.

Internetgemeenschap moet overtuigd

Providers, registrars (die domeinnamen registreren) en domeineigenaren kunnen pas van DNSsec gebruik maken als de zone waartoe ze behoren (zoals bijvoorbeeld .nl) is voorbereid op DNSsec.

Sceptici beweren dat het nooit kan lukken om het hele internet op DNSsec te laten overschakelen. Bert Hubert, de ontwikkelaar van PowerDNS, zei hierover eerder tegen Computable: "DNSsec vereist dat netwerkbeheerders regelmatig nieuwe sleutels creëren. Die eis is weinig realistisch. Netwerkbeheerders zijn gewend dat DNS gewoon werkt. Los daarvan: je zou de hele internetgemeenschap moeten overtuigen van het gebruik van een nieuw protocol. Maar het is net als bij breedbeeld-televisie: dat heeft alleen zin wanneer iedereen overstapt."

Ernstig lek in DNS

Het superbeveiligde DNSsec-protocol kan voorkomen dat internetcriminelen gebruikers ongemerkt omleiden naar nepsites. De kans dat dat laatste gebeurt is groter geworden nadat Dan Kaminsky begin juli wereldkundig maakte dat er een ernstig lek zit in het DNS-protocol. Dat lek maakt het mogelijk de cache van recursieve name servers te vervuilen. Dat zijn adresboeken die kopieën bewaren van ip-adressen van website en mailadressen. Ook na het installeren van een patch voor het ‘Kaminskylek' kunnen kwaadwillenden binnen tien uur een name server overnemen en vervuilen met nepadressen. Dat kan allerlei consequenties hebben: niet alleen kan mail worden afgevangen, maar zelfs SSL-certificaten voor internetbankiersites kunnen in theorie via dit lek vervalsd worden.

Meer weten over DNSsec

http://www.dnssec.net/ is een algemene portal waarin naar verschillende sites met tutorials, tools en technologie wordt verwezen.
http://www.dnssec-deployment.org/ is een site met achtergronden, nieuws en links.

security / Nieuws

Tsjechië stapt over op beveiligd DNS-protocol

Internetgemeenschap moet overtuigd

Microsoft Security Report 2008: dreigingen en trends

Top 5 strategieën voor moderne security-bedreigingen

Computable Events Security

Orange Business Services Secure My Device

Transparante systeemtoegang voor 17.000 UWV-medewerkers

Lege stoelen bij Pinewood

Ik ben een hotfix back-patcher