Wanneer iemand je website bezoekt of e-mail naar je organisatie stuurt, wordt via DNS opgezocht welke server bij de domeinnaam hoort. DNSSEC (Domain Name System Security Extensions) helpt een validerende DNS-resolver om cryptografisch te controleren of DNS-antwoorden authentiek zijn en niet ongemerkt zijn aangepast.
Hoe werkt DNSSEC?
Een ondertekende DNS-zone publiceert onder meer DNSKEY-sleutels en RRSIG-handtekeningen. Via een DS-record bij de bovenliggende DNS-zone wordt een chain of trust naar je domein gelegd. Een resolver die DNSSEC controleert, kan die keten gebruiken om DNS-antwoorden te valideren.
Een correct gepubliceerde sleutel is één onderdeel. De keten van de bovenliggende zone naar de handtekeningen moet ook werken. Een verkeerde DS na een wisseling van DNS-provider kan daarom zelfs tot DNS-resolutiefouten leiden bij validerende resolvers.
Wat beschermt DNSSEC wel en niet?
DNSSEC beschermt de authenticiteit en integriteit van DNS-antwoorden bij validerende resolvers. Het versleutelt het DNS-verkeer op zichzelf niet, beschermt je website niet tegen kwetsbare software en vervangt HTTPS/TLS niet.
Praktijk: DNS-provider wijzigen
Je organisatie verhuist de DNS naar een nieuwe provider. De nameservers worden aangepast, maar de oude DS-verwijzing blijft bij de registrar staan. DNSSEC-validatie kan daardoor falen. Een domeinscan die de werkelijke validatie uitvoert, signaleert het probleem beter dan uitsluitend kijken of er DNSSEC-records bestaan.
Wat controleert Kynexis Domeinmonitoring?
De monitor controleert, waar technisch betrouwbaar uitvoerbaar, of de publieke DNS-resolutie via validerende resolvers een geldige DNSSEC-keten laat zien. Een losse DNSKEY- of DS-record zonder volledige validatie wordt niet als sluitend bewijs beoordeeld.
Daarnaast kunnen changes in nameservers, DNS-records en route-afhankelijkheden zichtbaar worden. Voor een goed totaalbeeld koppelen we technische uitkomsten aan de verantwoordelijkheid van je registrar, DNS-provider en IT-beheerder.
Wat kun je zelf doen?
Controleer bij je registrar of DNSSEC op de juiste manier is geactiveerd. Maak vóór wijzigingen in DS-records een changeplan, zodat je website en e-mail bereikbaar blijven. Gebruik een onafhankelijke validatietest, bijvoorbeeld Internet.nl, voor een aanvullende controle.
Samenvatting
DNSSEC is een waardevolle beveiliging van de DNS-vertrouwensketen. Bij migraties en sleutelwisselingen verdient de onderlinge samenhang van DS, DNSKEY en RRSIG bijzondere aandacht. Domeinmonitoring · Wat zijn nameservers? · Wat is RPKI?.