Sikkerhedssystemet DNSSEC kan i stor stil udrydde DNS-spoofing som angrebsvektor for cyberkriminelle og dermed gøre det mere sikkert at være internetbrugere og sværere at være it-kriminel.
Men systemet er implementeret på under én procent af de danske .dk-domæner, viser tal fra DK-Hostmaster. Nærmere bestemt er 10.000 danske domæner beskyttet af systemet - ud af 1,3 millioner mulige domæner.
»Når det ikke er mere udbredt, så betyder det, at DNS er et stort mål for angreb,« fortæller Erwin Lansing, der er sikkerhedschef og teknisk konsulent for DK-Hostmaster.
DNSSEC står for Domain Name System Security Extensions.DNSSEC
Systemet har til formål at autentificere kilden til DNS-data og betragtes generelt som en kritisk komponent i indsatsen for at sikre det fundamentalt usikre DNS-system.
DK-Hostmaster fik i 2010 signeret dk-domænet med DNSSEC.
Sessioner fra netbanken
DNS-hierakiet starter ved det, man kalder roden, som drives af ICANN. Når man beder en browser om at tilgå Version2.dk, starter browseren med at spørge roden, hvem der har ansvar for .dk-domænerne.
Roden henviser i dette tilfælde til DK-Hostmaster.
Herefter spørges DK-Hostmaster, hvem der har ansvar for Version2, hvor den danske internetmyndighed henviser til Version2’s navneservere, som så igen oplyser, hvilken IP-adresse webserveren kan findes på.
Men uden sikkerhedssystemet DNSSEC er der ingen sikkerhed bag de spørgsmål og svar, der sendes til og fra browseren.
»Vi har for eksempel set, at hackere overtager en router og derfra sender forkerte svar til et phishing-site eller stjæler sessioner i din kontakt med netbanken,« fortæller Erwin Lansing.
Kryptografisk signatur
DNSSEC tilføjer en kryptografisk signatur til hvert svar i DNS-processen, som hver for sig igen signeres af niveauet ovenover i hierarkiet.
Det vil sige, at det svar, man får fra Version2, kan kontrolleres hos DK-Hostmaster, og DK-Hostmasters svar kan kontrolleres hos ICANN.
I eksemplet med den inficerede router kan man få et svar, der henviser til et phishing-site.
»I det tilfælde vil signaturen ikke passe, med de oplysninger vi har, og din browser vil afvise at gå ind på phishing-sitet,« forklarer Erwin Lansing.
»Med DNSSEC beskytter du dine brugere, så de er sikre på at komme på din side, og ikke en angrebsside fra Kina eller et andet sted,« fortsætter han.
Catch 22
DK-Hostmaster arbejder sammen med tilsvarende organisationer i andre lande på at udbrede kendskabet til og brugen af DNSSEC. Udfordringen er, at de fleste almindelige brugere ikke ved, hvad DNS er, hvad DNSSEC er, og hvorfor det er vigtigt, siger Erwin Lansing.
»De køber et domæne, og så køber de noget hosting. De ved ikke, at der findes en sikkerhedsløsning, som de fleste hostingudbydere ikke tilbyder. Og hostingudbyderne tilbyder det ikke, fordi de siger, at det ikke bliver efterspurgt. Så det er lidt en catch 22-situation,« siger han og tilføjer:
»Det er den cirkel, vi gerne vil bryde.«
Den danske internetadministrator har talt med en række udbydere - uden at der er sket meget endnu, erkender Erwin Lansing. Typisk hænger velvilligheden tæt sammen med pengepungen.
»Det, vi ser fra andre lande, er, at det eneste, der virker, er en rabat på domæne-registreringen. Altså hvis de kan få rabat på de måske 50.000 domæner, de har, som slutter med .dk, så vil de lige pludselig gerne gøre det.«
Kommer i klumper
Der findes en del open-source software, der kan hentes gratis. Så det koster primært tid at få etableret DNSSEC, forklarer sikkerhedschefen, der vurderer, at det er svært at lave en prognose for udbredelsen af sikkerhedssystemet.
»Det kommer i store skridt. Man får en hostingudbyder til at signere, og så stiger tallet med x tusind. Det er ikke nogen lige kurve, som man kan forudsige,« siger Erwin Lansing.
Det er typisk internetudbyderne, der tjekker, om signaturen er til stede. Her er Danmark godt med: To af de tre største ISP’er i Danmark understøtter DNSSEC.
»Det betyder, at vi faktisk ligger i top-5 i verden over, hvor mange opslag der kontrolleres efter DNSSEC,« siger Erwin Lansing.
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
