DNSSEC

DNSSEC er en udvidelse på DNS protokollen, der gør brug af domænenavne mere sikker. DNSSEC beskytter DNS mod uønsket manipulation og skal danne grundlag for yderligere sikkerhedsforanstaltninger, som for eksempel DANE.

Hvad er DNS

Domænenavnssystemets (DNS) opgave er at omdanne domænenavne til IP-adresser (og omvendt), det er derfor en slags internetadressebog. Kunder dør navigere til for eksempel www.ditdomain.dk, konsulterer en navne-server, der derefter lokaliserer den IP-adresse, der er knyttet til URL'en, og videresender den til klienten. Også e-mail og andre internetprotokoller bruger dette system.

Hvad er DNSSEC

Det oprindelige DNS-system var beregnet som et simpelt distributionssystem og indeholdt næsten ingen sikkerhedsforanstaltninger. DNSSEC er et sæt udvidelser, der tilføjer et sikkerhedslag til den oprindelige DNS. Alle domænenavne kan forsynes med denne ekstra sikkerhed via parten, som domænet er registreret af (registratoren). Kunder som understøtter denne udvidelse modtager fra navne-serveren adresse-information forsynet med en digital signatur. Dette forhindrer påvirkning af trafikken mellem IP adressen og domænenavnet.

Hvordan fungerer det

DNSSEC står for Domain Name System Security Extensions. Protokollen tilføjer en offentlig nøgle til de oplysninger, der returneres fra navneserveren til klienten. Registraren af domænet placerer den offentlige nøgle i domænet et niveau højere i DNS-hierarkiet. For .nl-domæner er disse SIDN's navneservere, der tjener som et såkaldt "tillidsanker". Klienten anvender tillidsankeren for at verificere, at den offentlige nøgle, der sendes med oplysningerne fra navneserveren, faktisk er den samme som den offentlige nøgle, hvorved domænet er kendt af tillidsankeren. På den måde opbygges en såkaldt kæde af tillid over forskellige niveauer af DNS-hierarkiet.

DNSSEC gør det muligt for klienten at kontrollere oprindelsen af DNS-dataen, modtage en bekræftet returmeddelelse, hvis verifikationen afslører, at de offentlige nøgler ikke matcher og verificerer integriteten af de data. Dette gør det muligt at kontrollere, om de overførte oplysninger er blevet ændret af tredjepart.

Servere og klienter, der bruger DNSSEC, kan samarbejde med systemer, der endnu ikke har denne udvidelse, men i disse tilfælde er DNS oplysningerne ikke krypteret.