Meer over dns

De kern van het beveiligingssysteem op internet is dat een eindgebruiker kan nagaan of de website, bijvoorbeeld van een bank of overheidsdienst, ook daadwerkelijk die website is en niet die van iemand anders. De browser controleert daartoe een certificaat dat tijdens het opzetten van een beveiligde verbinding door de server waarop de site draait, wordt afgegeven. Het certificaat – een versleutelde en getekende serie gegevens – heeft de exploitant van de website gekocht bij een CA (certificatie-autoriteit) die de betrouwbaarheid van de aanvrager heeft gecontroleerd. De browser analyseert het certificaat en zoekt in een lijst op of het certificaat van een vertrouwde CA komt. Browserproducenten houden die lijst actueel.

De introductie van een veilige verwijsindex op internet (DNSSEC) verloopt moeizaam. Bedrijven, overheden en instellingen zijn aan zet om hun klanten, toeleveranciers en werknemers een betere beveiliging te kunnen garanderen. Sinds juli is de basis (root) van het internet voorzien van DNSSEC-beveiliging en de beheerder van het .nl-topdomein volgde eind augustus met het ‘ondertekenen’ van de .nl-zone.

Het grote adresboek van internet is oud, krakkemikkig en kwetsbaar voor cyber­terreur. Verbetering van dit Domain Name System (DNS) komt eraan, maar mogelijk te laat. Bij de beheerder van het .nl-topdomein, SIDN, vrezen de technici een grote aanval en de noodzaak vervolgens allerlei maatregelen veel te snel in te moeten voeren.

Bijna elke transactie op internet begint met DNS. Het Domein Naam Systeem is echter zo lek als een mandje. Met DNSSEC moet de veiligheid op internet terugkeren. Een belangrijke stap wordt binnen het jaar gezet. Er moeten nog een paar hobbels worden genomen, zeggen Olaf Kolkman en Chris Buijs, maar het is belangrijk de IT-infrastructuur alvast klaar te maken.

De kern van het internet moet op de schop en dat brengt grote risico’s met zich mee voor het functioneren van het web. De basis voor de verwijsindex, de ‘root’ van het Domain Name System (DNS) waardoor internetpagina’s te vinden zijn met hun domeinnaam, moet worden uitgebreid en voorbereid op snellere wijzigingen.

Deze maand beginnen de werkzaam­heden aan het beveiligen van het .edu-domein met DNSSEC, de beveiligde vorm van de index die websites op internet vindbaar maakt.

Een langdurige KPN-storing zorgde onlangs weer voor veel overlast: sommige sites waren urenlang niet bereikbaar, terwijl internetbellen evenmin lukte. Gebruikers van het OpenDNS-verwijs-systeem hadden echter nergens last van. De DNS-storing van KPN trof hen niet.

Veel bedrijven blijken laks bij het onderhoud van hun eigen Domain Name System-servers. Daardoor geven zij phishers ruim baan. Wereldwijd is meer dan 40 procent van de DNS-servers voor iedereen benaderbaar, terwijl een veilige installatie zijn DNS-diensten alleen beschikbaar stelt voor een selecte groep.