DNSSEC
Wat doet DNSSEC?
DNSSEC is een uitbreiding op DNS die DNS-antwoorden voorziet van een digitale handtekening. Daarmee kan een resolver controleren of een antwoord echt van de beheerder van het domein komt en niet onderweg is aangepast.
Zonder DNSSEC kan een aanvaller een resolver proberen te misleiden met een vals antwoord. Zo kunnen bezoekers naar een nepsite worden gestuurd zonder dat ze het merken. Dat heet DNS-vervalsing of DNS-spoofing. DNSSEC maakt dat veel moeilijker, omdat een vervalst antwoord zonder geldige handtekening wordt geweigerd.
DNSSEC versleutelt het verkeer niet. Wie meekijkt, kan nog steeds zien welke domeinnamen worden opgevraagd. Het gaat om echtheid, niet om geheimhouding. Voor dat laatste zie je het artikel over DNS over HTTPS.
Hoe werkt de handtekening?
De beheerder van een zone ondertekent de DNS-records met een sleutel. De publieke sleutel wordt via een koppeling in de laag erboven vastgelegd, zodat er een keten van vertrouwen ontstaat van de root tot het eigen domein. Een resolver die DNSSEC ondersteunt, controleert die keten. Voor .nl-domeinen ligt die bovenste laag bij SIDN.
Voor jou als domeinhouder betekent dit vooral dat je DNSSEC meestal aan of uit kunt zetten bij je hoster of registrar. Daarbij moeten de gegevens bij de hoster en in de bovenliggende laag kloppen. Klopt dat niet, dan kan het domein voor sommige bezoekers onbereikbaar worden, terwijl het voor anderen gewoon werkt.
Wat zijn de risico's en grenzen?
- Een verkeerde configuratie kan een domein onbereikbaar maken voor bezoekers met een DNSSEC-resolver.
- Bij een verhuizing naar een andere hoster of andere nameservers moet je DNSSEC bewust meenemen, anders blijft een oude handtekening hangen.
- DNSSEC beschermt niet tegen een gekaapt account bij je registrar of tegen een gehackte webserver.
Een DNSSEC-storing kan bezoekers een SERVFAIL-melding geven. Wat die meldingen betekenen, lees je bij DNS-foutmeldingen. Vraag je hoster hoe DNSSEC wordt ingesteld en of het voor jouw domein wordt ondersteund.
Veelgestelde vragen
Moet ik DNSSEC activeren voor mijn website?
Het is geen vereiste om een website te laten werken, maar het is wel een zinvolle extra controle op DNS-antwoorden. Let vooral op de kans op storing bij een verkeerde instelling. Overweeg het als je hoster het goed ondersteunt en je weet hoe je het bij een domeinverhuizing meeneemt. Twijfel je, vraag dan je hoster om advies.
Is DNSSEC hetzelfde als DNS over HTTPS?
Nee. DNSSEC controleert of een DNS-antwoord echt is door er een digitale handtekening bij te zetten. DNS over HTTPS versleutelt het verkeer tussen jouw apparaat en de resolver, zodat niemand onderweg kan meelezen. Ze lossen verschillende problemen op en kunnen prima naast elkaar bestaan.