DNSSEC

Staat voor "Domain Name System Security Extensions". Het is een uitbreiding van het standaarddomeinnaamsysteem (DNS), dat domeinnamen vertaalt naar IP-adressen. DNSSEC verbetert de beveiliging door de authenticiteit van de DNS-gegevens te controleren.

Het oorspronkelijke domeinnaamsysteem werd in de jaren tachtig ontwikkeld met minimale beveiliging. Wanneer een host bijvoorbeeld een IP-adres opvraagt bij een naamserver met een standaard-DNS-query, gaat deze ervan uit dat de naamserver geldig is. Een naamserver kan zich echter voordoen als een andere server door het IP-adres ervan te spoofen (of vervalsen). Een valse naamserver zou domeinnamen mogelijk kunnen doorsturen naar de verkeerde websites.

DNSSEC biedt extra beveiliging door authenticatie met een digitale handtekening te vereisen. Elke query en reactie wordt "ondertekend" met een openbaar/privésleutelpaar. De privésleutel wordt door de host gegenereerd en de openbare sleutel wordt gegenereerd door een DNS-zone, of een groep vertrouwde servers. Deze servers vormen een vertrouwensketen waarin ze elkaars openbare sleutels valideren. Elke DNSSEC-compatibele naamserver slaat zijn openbare sleutel op in een gehashte "DNSKEY" DNS-record.

DNSSEC inschakelen

Hoewel DNSSEC niet vereist is voor webservers of mailservers, raden veel webhosts het aan. Om DNSSEC te configureren, moet je een naamserver gebruiken die dit ondersteunt, zoals PowerDNS of Knot DNS. Vervolgens moet je DNSSEC op je server inschakelen en het configureren in de interface van het configuratiescherm.

Als je een openbare naamserver gebruikt, kan het activeren van DNSSEC zo eenvoudig zijn als klikken op "DNSSEC inschakelen". Als je een aangepaste naamserver gebruikt, moet je mogelijk handmatig een of meer delegation signer-records (DS-records) maken. Nadat je DNSSEC hebt ingeschakeld, kan het enkele uren duren voordat het actief wordt, omdat de server de DS-records moet valideren met andere servers binnen de DNS-zone.