- Door
- Randy ten Have
- geplaatst op
- 15 december 2008 08:01 uur
Vrijdagmorgen tijdens de SIDN relatiedag heb ik de lezing van Esther Makaay, Service Architect bij de SIDN, gevolgd over het al dan niet invoeren van DNSSEC op het .nl-domein. De DNS infrastructuur is inmiddels even oud als het Internet: 25 jaar. En al die tijd zijn er weinig veranderingen gekomen. Wel zijn er in die tijd veel kwetsbaarheden aan het licht gekomen. Een van de grootste daarvan is het Kaminsky lek, dat enkele maanden terug bekend gemaakt werd.
Met het Kaminsky lek is het mogelijk een recursive DNS server te vervuilen, opdat deze een verkeerd IP-adres geeft als antwoord. Met een 100TX verbinding vanuit het datacentrum zouden kwaadwillenden tussen de 3 en 90 seconden nodig hebben om bijvoorbeeld de DNS server van je provider een ander IP-adres dan 89.18.174.28 (2001:968:182::60 voor de IPv6 gebruikers) terug te laten geven en zo al het verkeer om te leiden tot een andere website. Voor ISPam.nl niet zo’n ramp, maar voor een site van bijvoorbeeld een bancaire instelling wel.
Er is eigenlijk maar een goede oplossing om de DNS infrastructuur te beveiligen: DNSSEC. Met deze uitbreiding op de bestaande DNS infrastructuur, wordt de zonefile bij de update voorzien van een key. Computers kunnen dus altijd nagaan of het antwoord wat een DNS server geeft correct is. Het opzetten van een dergelijk systeem is echter niet zo moeilijk. De SIDN onderzoekt momenteel de mogelijkheden ervan en gaat kijken of DNSSEC een goede uitbreiding zou zijn van de huidige infrastructuur.
Immers, DNS is overal. Bellen via SIP, even een e-mail sturen, betalen bij een webwinkel of je bankzaken online regelen. Een veilige infrastructuur is daarbij zeer belangrijk, temeer omdat de DNS de hele basis vormt van het Internet. Momenteel is er echter maar 1 oplossing: patchen. Alternatieven zijn nog niet klaar, DNSSEC is niet ‘zo even’ in te voeren en TLS-opties pakken slechts een deel van het probleem aan.
Waarom morgen geen DNSSEC?
Deze vraag is makkelijk te beantwoorden. DNS is overal. Ook in de DSL-routers bij eindgebruikers. Het is belangrijk, dat er dus duidelijke afspraken gemaakt worden bij de invoering. Of die invoering voor het .nl-domein komt is daarom ook nog n iet zeker. De SIDN wil eerst alle voor- en nadelen bezoek en de haalbaarheid onderzoeken. Invoering van DNSSEC in Zweden leidde al eens tot het ‘Gavle incident’, waarbij 2/3 van de Zweedse bevolking delen van het Internet niet konden bereiken.