Nieuws
image

Google DNS ondersteunt DNSSEC validatie

dinsdag 19 maart 2013, 17:31 door Redactie, 7 reacties

Om internetgebruikers tegen bepaalde online aanvallen te beschermen heeft Google DNSSEC validatie aan de publieke DNS dienst toegevoegd. Het Domain Name System (DNS) is vergelijkbaar met het telefoonboek en vertaalt domeinnamen naar IP-adressen. De meeste internetgebruikers gebruiken de DNS-servers van hun internetprovider.

Het is ook mogelijk om de DNS-servers van een andere partij te gebruiken. Google is één van de partijen die een publieke DNS aanbiedt. De beveiliging van DNS laat volgens de zoekgigant nogal te wensen over. Daardoor is het mogelijk om DNS-gebaseerde aanvallen uit te voeren, waardoor internetgebruikers op andere websites uitkomen dan ze normaal hadden moeten krijgen.

DNSSEC
De meest voorkomende DNS-aanval is 'DNS cache poisoning'. Hierbij wordt geprobeerd de cache van de DNS-dienst te vervuilen, zodat die een ander IP-adres aan gebruikers teruggeeft, die dan bijvoorbeeld worden doorgestuurd naar websites van de aanvallers. Om dit soort aanvallen tegen te gaan moet de authenticiteit van een DNS respons worden gecontroleerd.

DNSSEC lost dit probleem op door DNS responses via digitale handtekeningen en 'public key cryptography' te authenticeren. Elke DNS zone beschikt over een verzameling van privé en publieke sleutels, en voor elk DNS record wordt via de privésleutel een unieke digitale handtekening gegenereerd.

De bijbehorende publieke sleutel wordt vervolgens via een speciale, vertrouwde keten geauthenticeerd. Aangezien de handtekeningen lastig zijn te vervalsen, zullen DNS-servers geen valse DNS responses meer accepteren, waardoor DNS cache poisoning wordt voorkomen.

Op dit moment zou de publieke Google DNS dagelijks 130 miljard DNS queries van meer dan 70 miljoen unieke IP-adressen verwerken. Bij slechts 7% is DNSSEC ingeschakeld. Google stelt dan ook dat DNSSEC nog een lange weg heeft te gaan en dat het belangrijk is dat ook andere partijen zich hiermee gaan bemoeien.

Reacties (7)
19-03-2013, 21:41 door Whoops
Nadeel: Bij gebruik van Google DNS weet Google precies welke websites je bezoekt...
19-03-2013, 22:40 door Anoniem
@Whoops
Niet dat ze dat niet sowieso al zouden weten. Bijvoorbeeld, deze site waar je nu naar kijkt gebruikt zowel DoubleClick (van Google) als Google Analytics.
19-03-2013, 23:56 door Anoniem
Door Whoops: Nadeel: Bij gebruik van Google DNS weet Google precies welke websites je bezoekt...
Weet Google dat sowieso al niet? Je vindt bijna geen websites meer zonder iets als googleanalytics of van die andere spyware. Dus of je nu 8.8.8.8 als dns instelt of niet, Googel weet toch wel waar je gaat.
20-03-2013, 01:03 door marcelvb
Mooi dat ze DNSSEC gebruiken. Zojuist geprobeerd, maar lijkt (nog) niet te werken.
20-03-2013, 02:02 door Anoniem
Zijn er ook nog alternatieven en hoe moet ik de zaak instellen, en waarin resulteert het precies?
20-03-2013, 08:48 door Anoniem
@Whoops:
Er zijn tal van manieren waarop Google weet welke websites je bezoekt. Dus Google DNS niet gebruiken, zal je daar niet voor kunnen behoeden. Wat te denken van de vele links naar de in https://developers.google.com/speed/libraries/devguide, genoemde JavaScript libraries die je op webpagina's tegenkomt, om maar eens wat te noemen.

@Marcelvb: klopt, Google doet alleen DNSSEC als de client daar expliciet om vraagt d.m.v. het zetten van de AD-vlag, of het DO-bitje. Dat is meestal niet de default-instelling bij stub-resolvers.
20-03-2013, 09:31 door Anoniem
Zo te zien valideren ze wel, maar alleen als je aangeeft dat je DNSSEC ondersteunt. Dus ze volgen de standaard niet volledig (de standaard is backwards compatible en zou ook voor oude clients een fout moeten geven bij een bogus signature)
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.

Zoeken
search