Vad är DNSSEC och varför spelar det roll?

Domännamnssystemet byggdes för att vara snabbt. Det byggdes inte för att vara säkert. När DNS utformades på 1980-talet planerade ingen för en värld där angripare skulle försöka förfalska DNS-svar för att leda dina besökare till falska webbplatser. DNSSEC, förkortning för DNS Security Extensions, skapades för att täppa till den luckan. Det lägger till digitala signaturer på DNS-poster så att varje svar som en DNS-server ger kan verifieras som äkta innan webbläsaren litar på det.

Vad är DNSSEC?

DNSSEC är en uppsättning säkerhetstillägg till DNS-protokollet. Det fungerar genom att en kryptografisk signatur kopplas till varje DNS-post för din domän. När en resolver slår upp din domän kontrollerar den om signaturen stämmer innan den accepterar svaret. Om signaturen saknas eller inte stämmer avvisas svaret. Det hindrar angripare från att föra in falska DNS-svar i systemet.

DNSSEC ändrar inte hur DNS fungerar. Uppslagningen går till på samma sätt. Din domän översätts fortfarande till en IP-adress via en kedja av DNS-servrar. Skillnaden är att varje steg i kedjan nu kan verifieras. Resolvern litar inte bara på svaret. Den kontrollerar en kryptografisk signatur för att bekräfta att svaret kom från en behörig källa och inte ändrades på vägen.

Vilket problem löser DNSSEC?

Utan DNSSEC godtas DNS-svar rakt av. Det finns inget inbyggt sätt att kontrollera om svaret kom från rätt server eller om det ändrades under överföringen. Det skapar en öppning för en särskild typ av attack som kallas DNS cache poisoning, även kallad DNS-förfalskning (DNS spoofing).

Vid en cache poisoning-attack skickar en angripare förfalskade DNS-svar till en resolver innan det legitima svaret hinner fram. Resolvern lagrar det falska svaret i sitt cacheminne och levererar det till alla som slår upp den domänen. Varje besökare som skriver din domän i webbläsaren skickas till en server som angriparen kontrollerar i stället för din riktiga webbplats.

Den falska webbplatsen kan se identisk ut med din. Besökare kan ange inloggningsuppgifter, betalningsuppgifter eller personuppgifter utan att förstå att de befinner sig på en helt annan server. Attacken är osynlig för besökaren eftersom URL:en i webbläsaren fortfarande visar ditt domännamn.

DNSSEC förhindrar det genom att göra förfalskade svar möjliga att upptäcka. Om signaturen inte stämmer avvisar resolvern svaret och besökaren skickas inte till ett falskt mål.

Hur fungerar DNSSEC?

DNSSEC använder ett system med publika och privata nycklar för att signera DNS-poster. Så här går processen till i stora drag.

När du aktiverar DNSSEC skapar din DNS-leverantör ett par kryptografiska nycklar för din domän. Den privata nyckeln används för att skapa en digital signatur för varje DNS-post. Den publika nyckeln publiceras som en DNS-post själv så att resolvers kan komma åt den.

När en resolver frågar efter din domän får den DNS-svaret tillsammans med signaturen. Resolvern använder sedan den publika nyckeln för att verifiera att signaturen stämmer med data i svaret. Om allt stämmer litar den på svaret. Om signaturen är ogiltig eller saknas behandlar resolvern svaret som otillförlitligt och för det inte vidare till webbläsaren.

Verifieringen bygger på en förtroendekedja. Din domäns publika nyckel refereras av en DS-post (Delegation Signer) i den överordnade zonen. Om din domän till exempel är dittvarumarke.com har .com-zonen en DS-post som pekar mot din domäns publika nyckel. Själva .com-zonen signeras och verifieras av rotzonen. Varje nivå i kedjan validerar nivån under sig, hela vägen från roten ner till just din domän.

Vad händer utan DNSSEC?

Utan DNSSEC är varje DNS-svar som din domän genererar osignerat. Resolvers accepterar det svar som kommer först, utan något sätt att bekräfta att det kom från en legitim källa. Det betyder att en väl placerad angripare kan smyga in förfalskade svar i systemet och omdirigera dina besökare utan att utlösa några larm.

För de flesta mindre webbplatser är risken för en riktad DNS-förfalskning låg. Angripare går oftast efter mål med högt värde som banker, e-postleverantörer och stora e-handelsplattformar. Men risken är inte noll. Offentliga wifi-nätverk, äventyrade routrar och sårbarheter i vissa resolverprogram kan alla skapa tillfällen för DNS-förfalskning i mindre skala.

Den praktiska effekten av att inte ha DNSSEC beror på din situation. Om du hanterar känsliga uppgifter, tar emot betalningar eller använder din webbplats som en primär kontaktpunkt med kunder är den extra verifieringen värd att ha.

Behöver du DNSSEC för din domän?

Det ärliga svaret är att det beror på. DNSSEC ger verkligt skydd, men det är inget krav för varje domän.

Du bör aktivera DNSSEC om din webbplats hanterar betalningar, samlar in känslig information eller ligger på en domän med hög synlighet. Myndighetswebbplatser, finansiella tjänster och vårdvarumärken har alla nytta av att ha DNSSEC aktivt. Om domänsäkerhet är en prioritet för ditt varumärke är DNSSEC ett lager till som är värt att lägga till.

Du behöver kanske inte det direkt om du driver en mindre informationssajt utan inloggning och din registrator ännu inte stödjer DNSSEC eller tar extra betalt för det. Många webbplatser fungerar utan det och går bra. SSL krypterar redan anslutningen mellan besökaren och din server, vilket skyddar data under överföring. DNSSEC löser ett annat problem, nämligen integriteten i själva DNS-uppslagningen.

Om din registrator stödjer det och installationen är enkel finns det väldigt lite nackdelar med att slå på det. Skyddet är verkligt, även om risken det hanterar inte gäller varje domän lika mycket.

Hur aktiverar du DNSSEC?

Att aktivera DNSSEC kräver åtgärder på två ställen. Det första är din DNS-leverantör, där din domäns DNS-poster finns. Det andra är din domänregistrator, där din domän är registrerad.

De allmänna stegen ser ut så här.

1. Logga in hos din DNS-leverantör och aktivera DNSSEC för din domän. Då skapas de kryptografiska nycklarna och signeringen av dina DNS-poster startar.
2. Kopiera DS-posten som din DNS-leverantör ger dig. Posten innehåller en referens till din domäns publika nyckel.
3. Logga in hos din domänregistrator och lägg till DS-posten i din domäns inställningar. Det kopplar din domäns DNSSEC-nycklar till den överordnade zonen.
4. Vänta tills ändringen har spridits. Som vid varje ändring av DNS-poster kan det ta några timmar innan den nya DS-posten har spridits över internet.
5. Testa din installation med ett verktyg för DNSSEC-validering online för att bekräfta att allt fungerar.

Om din registrator och din DNS-leverantör är samma företag är processen enklare. Vissa leverantörer sköter båda stegen från en och samma översikt. Andra kräver att du kopierar poster mellan två separata konton.

Det vanligaste misstaget vid installationen är att DS-posten anges fel. Dubbelkolla nyckeltaggen (key tag), algoritmnumret, digesttypen och digestvärdet innan du sparar. En felaktig siffra i något av de fälten bryter förtroendekedjan och kan göra din domän onåbar tills felet är rättat.

Vad gör DNSSEC inte?

DNSSEC löser ett enda specifikt problem: att verifiera att DNS-svar är äkta. Det är viktigt att förstå vad som ligger utanför dess område.

DNSSEC krypterar inte dina DNS-frågor. Innehållet i varje DNS-uppslagning är fortfarande synligt för alla som övervakar nätverket. Om sekretessen för DNS-frågor är viktig för dig är det ett separat problem som löses av DNS över HTTPS (DoH) eller DNS över TLS (DoT), inte av DNSSEC.

DNSSEC krypterar inte trafiken mellan besökaren och din webbplats. Det är uppgiften för ett SSL-certifikat, som skapar en krypterad anslutning över HTTPS. DNSSEC och SSL skyddar olika saker i olika skeden av anslutningen.

DNSSEC förhindrar inte alla typer av attacker mot din domän. Det hindrar inte någon från att stjäla dina inloggningsuppgifter till registratorn och flytta din domän. Det skyddar inte mot nätfiskemejl som utger sig för att vara ditt varumärke. Och det blockerar inte DDoS-attacker mot dina DNS-servrar. För de hoten behöver du separata skydd som tvåfaktorsautentisering, domänlåsning och skydd mot DDoS.

Hur skiljer sig DNSSEC från SSL?

DNSSEC och SSL är båda säkerhetslager, men de skyddar olika delar av anslutningen mellan en besökare och din webbplats.

SSL (och dess efterföljare TLS) krypterar datan som flödar mellan besökarens webbläsare och din webbserver. När anslutningen väl är upprättad är allt som besökaren skickar och tar emot skyddat mot avlyssning. SSL verifierar också att servern som besökaren pratar med har ett giltigt certifikat för din domän.

DNSSEC skyddar steget som sker innan SSL kommer in. När en besökare skriver din domän slår webbläsaren först upp IP-adressen via DNS. DNSSEC ser till att uppslagningen ger rätt IP-adress. Utan det kan en angripare omdirigera besökaren till en helt annan server, en som till och med kan ha ett eget SSL-certifikat för en domän som liknar din.

Båda lagren fyller en funktion. SSL skyddar samtalet. DNSSEC skyddar riktningen som besökaren tar för att starta samtalet. När du använder båda får dina besökare den starkaste försäkran om att de är på din riktiga webbplats och att deras data är säker.

Så hanterar WEMASY DNSSEC

WEMASY hanterar DNS för varje domän som är kopplad till plattformen. När du bygger din webbplats på WEMASY hanteras din domäns DNS via WEMASYs infrastruktur, som omfattar SSL-certifikat, hantering av namnservrar och konfiguration av DNS-poster. Om din domän och din registrator stödjer DNSSEC kan du aktivera det genom att lägga till DS-posten hos din registrator och peka den mot WEMASYs DNS. För information om vad som ingår i varje paket, se priserna.

Sammanfattning av modul 6

Det här kapitlet avslutar modulen om domänsäkerhet. I de tidigare kapitlen har du fått hela bilden. Du har lärt dig vad domänsäkerhet innebär, hur domänlåsning, integritetsskydd och uppmärksamhet på förnyelse håller din domän under din kontroll, och vilka specifika hot som kapning, spekulation och bluffar med förnyelse som riktar sig mot domänägare. DNSSEC lägger till det sista lagret genom att skydda själva DNS-uppslagningen, steget som kopplar ditt domännamn till din faktiska webbplats. Med alla de här skydden på plats är din domän täckt från registrering till uppslagning.

Vanliga frågor om DNSSEC