Verkkotunnusjärjestelmä (DNS) rakennettiin nopeaksi. Sitä ei rakennettu turvalliseksi. Kun DNS suunniteltiin 1980-luvulla, kukaan ei suunnitellut maailmaa, jossa hyökkääjät yrittäisivät väärentää DNS-vastauksia ohjatakseen kävijöitäsi väärennetyille verkkosivustoille. DNSSEC, lyhenne sanoista DNS Security Extensions, luotiin korjaamaan tuo aukko. Se lisää DNS-tietueisiin digitaaliset allekirjoitukset, jotta jokainen DNS-palvelimen antama vastaus voidaan varmistaa aidoksi ennen kuin selain luottaa siihen.
Mikä DNSSEC on?
DNSSEC on joukko DNS-protokollaan lisättyjä tietoturvalaajennuksia. Se toimii liittämällä kryptografisen allekirjoituksen jokaiseen verkkotunnuksesi DNS-tietueeseen. Kun resolveri hakee verkkotunnustasi, se tarkistaa, täsmääkö allekirjoitus, ennen kuin hyväksyy vastauksen. Jos allekirjoitus puuttuu tai ei täsmää, vastaus hylätään. Tämä estää hyökkääjiä syöttämästä väärennettyjä DNS-vastauksia järjestelmään.
DNSSEC ei muuta sitä, miten DNS toimii. Hakuprosessi on sama. Verkkotunnuksesi ratkeaa edelleen IP-osoitteeksi DNS-palvelinten ketjun kautta. Ero on siinä, että jokainen tämän ketjun vaihe voidaan nyt varmistaa. Resolveri ei vain luota vastaukseen. Se tarkistaa kryptografisen allekirjoituksen varmistaakseen, että vastaus tuli valtuutetusta lähteestä eikä sitä muutettu matkalla.
Minkä ongelman DNSSEC ratkaisee?
Ilman DNSSEC:ia DNS-vastaukset hyväksytään sellaisenaan. Sisäänrakennettua tapaa tarkistaa, tuliko vastaus oikealta palvelimelta tai muutettiinko sitä siirron aikana, ei ole. Tämä luo aukon tietyntyyppiselle hyökkäykselle, jota kutsutaan DNS-välimuistin myrkytykseksi, tunnetaan myös nimellä DNS-huijaus (DNS spoofing).
Välimuistin myrkytyshyökkäyksessä hyökkääjä lähettää väärennettyjä DNS-vastauksia resolverille ennen kuin oikea vastaus saapuu. Resolveri tallentaa väärän vastauksen välimuistiinsa ja tarjoaa sen jokaiselle, joka hakee kyseistä verkkotunnusta. Jokainen kävijä, joka kirjoittaa verkkotunnuksesi selaimeensa, ohjataan palvelimelle, jota hyökkääjä hallitsee, oikean verkkosivustosi sijaan.
Väärennetty sivusto voi näyttää identtiseltä omasi kanssa. Kävijät voivat syöttää kirjautumistunnuksia, maksutietoja tai henkilötietoja tajuamatta olevansa aivan eri palvelimella. Hyökkäys on kävijälle näkymätön, koska URL-osoite hänen selaimessaan näyttää edelleen verkkotunnuksesi.
DNSSEC estää tämän tekemällä väärennetyt vastaukset havaittaviksi. Jos allekirjoitus ei täsmää, resolveri hylkää vastauksen eikä kävijää ohjata väärennettyyn kohteeseen.
Miten DNSSEC toimii?
DNSSEC käyttää julkisten ja yksityisten avainten järjestelmää DNS-tietueiden allekirjoittamiseen. Näin prosessi toimii pääpiirteissään.
Kun otat DNSSEC:in käyttöön, DNS-palveluntarjoajasi luo verkkotunnuksellesi kryptografisen avainparin. Yksityistä avainta käytetään digitaalisen allekirjoituksen luomiseen jokaiselle DNS-tietueelle. Julkinen avain julkaistaan itse DNS-tietueena, jotta resolverit pääsevät siihen käsiksi.
Kun resolveri hakee verkkotunnustasi, se vastaanottaa DNS-vastauksen ja allekirjoituksen. Resolveri käyttää sitten julkista avainta varmistaakseen, että allekirjoitus täsmää vastauksen tietoihin. Jos kaikki täsmää, vastaukseen luotetaan. Jos allekirjoitus on virheellinen tai puuttuu, resolveri pitää vastausta epäluotettavana eikä välitä sitä selaimelle.
Tämä varmennus toimii luottamusketjun kautta. Verkkotunnuksesi julkiseen avaimeen viitataan DS (Delegation Signer) -tietueella ylätason vyöhykkeessä. Esimerkiksi jos verkkotunnuksesi on yourbrand.com, .com-vyöhykkeessä on DS-tietue, joka osoittaa verkkotunnuksesi julkiseen avaimeen. .com-vyöhyke itse on allekirjoitettu ja varmennettu juurivyöhykkeellä. Jokainen ketjun taso validoi alapuolisen tason, aina juuresta alas sinun verkkotunnukseesi asti.
Mitä tapahtuu ilman DNSSEC:ia?
Ilman DNSSEC:ia jokainen verkkotunnuksesi tuottama DNS-vastaus on allekirjoittamaton. Resolverit hyväksyvät minkä tahansa ensimmäisenä saapuvan vastauksen ilman keinoa varmistaa, että se tuli luotettavasta lähteestä. Tämä tarkoittaa, että hyvin sijoittunut hyökkääjä voi lipsauttaa väärennettyjä vastauksia järjestelmään ja ohjata kävijäsi muualle laukaisematta mitään hälytyksiä.
Useimmille pienille verkkosivustoille kohdennetun DNS-myrkytyshyökkäyksen riski on pieni. Hyökkääjät tavoittelevat yleensä arvokkaita kohteita kuten pankkeja, sähköpostipalveluntarjoajia ja suuria verkkokauppa-alustoja. Mutta riski ei ole nolla. Julkiset Wi-Fi-verkot, vaarantuneet reitittimet ja tiettyjen resolveriohjelmistojen haavoittuvuudet voivat kaikki luoda mahdollisuuksia DNS-huijaukselle pienemmässä mittakaavassa.
DNSSEC:in puuttumisen käytännön vaikutus riippuu tilanteestasi. Jos käsittelet arkaluonteisia tietoja, otat vastaan maksuja tai luotat verkkosivustoosi ensisijaisena asiakaskontaktina, lisävarmennus kannattaa ottaa.
Tarvitsetko DNSSEC:in verkkotunnukselle?
Rehellinen vastaus on, että se riippuu. DNSSEC lisää todellista suojaa, mutta se ei ole vaatimus jokaiselle verkkotunnukselle.
DNSSEC kannattaa ottaa käyttöön, jos sivustosi käsittelee maksuja, kerää arkaluonteisia tietoja tai toimii verkkotunnuksella, jolla on suuri näkyvyys. Viranomaisten verkkosivustot, rahoituspalvelut ja terveydenhuollon brändit hyötyvät kaikki aktiivisesta DNSSEC:ista. Jos verkkotunnuksen tietoturva on brändillesi prioriteetti, DNSSEC on yksi lisäkerros, jonka lisääminen kannattaa.
Et ehkä tarvitse sitä heti, jos ylläpidät pienempää informatiivista sivustoa ilman kirjautumistoimintoja ja rekisteröijäsi ei vielä tue DNSSEC:ia tai veloittaa siitä erikseen. Monet verkkosivustot toimivat ilman sitä ja pärjäävät hyvin. SSL salaa jo yhteyden kävijän ja palvelimesi välillä, mikä suojaa siirrettävää dataa. DNSSEC ratkaisee eri ongelman, nimittäin itse DNS-haun eheyden.
Jos rekisteröijäsi tukee sitä ja käyttöönotto on suoraviivaista, sen päälle kytkemisessä on hyvin vähän haittaa. Sen lisäämä suoja on todellinen, vaikka sen käsittelemä riski ei koske jokaista verkkotunnusta yhtä lailla.
Miten DNSSEC otetaan käyttöön?
DNSSEC:in käyttöönotto vaatii toimia kahdessa paikassa. Ensimmäinen on DNS-palveluntarjoajasi, jossa verkkotunnuksesi DNS-tietueet ovat. Toinen on verkkotunnusrekisteröijäsi, jossa verkkotunnuksesi on rekisteröity.
Yleiset vaiheet näyttävät tältä.
- Kirjaudu DNS-palveluntarjoajallesi ja ota DNSSEC käyttöön verkkotunnuksellesi. Tämä luo kryptografiset avaimet ja aloittaa DNS-tietueidesi allekirjoittamisen.
- Kopioi DS-tietue, jonka DNS-palveluntarjoajasi antaa. Tämä tietue sisältää viittauksen verkkotunnuksesi julkiseen avaimeen.
- Kirjaudu verkkotunnusrekisteröijällesi ja lisää DS-tietue verkkotunnuksesi asetuksiin. Tämä yhdistää verkkotunnuksesi DNSSEC-avaimet ylätason vyöhykkeeseen.
- Odota leviämistä. Kuten mikä tahansa DNS-tietueen muutos, uuden DS-tietueen leviäminen internetiin voi kestää muutaman tunnin.
- Testaa järjestelysi verkossa toimivalla DNSSEC-validointityökalulla varmistaaksesi, että kaikki toimii.
Jos rekisteröijäsi ja DNS-palveluntarjoajasi ovat sama yritys, prosessi on yksinkertaisempi. Jotkin palveluntarjoajat hoitavat molemmat vaiheet yhdestä hallintapaneelista. Toiset vaativat tietueiden kopioimista kahden erillisen tilin välillä.
Yleisin virhe käyttöönoton aikana on DS-tietueen virheellinen syöttäminen. Tarkista avaintunniste, algoritmin numero, tiivistetyyppi ja tiivistearvo kahdesti ennen tallentamista. Väärä numero missä tahansa näistä kentistä rikkoo luottamusketjun ja voi tehdä verkkotunnuksestasi tavoittamattoman, kunnes virhe korjataan.
Mitä DNSSEC ei tee?
DNSSEC ratkaisee yhden tietyn ongelman: DNS-vastausten aitouden varmistamisen. On tärkeää ymmärtää, mikä jää sen ulkopuolelle.
DNSSEC ei salaa DNS-hakujasi. Jokaisen DNS-haun sisältö on edelleen näkyvissä jokaiselle verkkoa seuraavalle. Jos DNS-hakujen yksityisyys on sinulle tärkeää, se on erillinen ongelma, jonka ratkaisevat DNS over HTTPS (DoH) tai DNS over TLS (DoT), ei DNSSEC.
DNSSEC ei salaa liikennettä kävijän ja verkkosivustosi välillä. Se on SSL-varmenteen tehtävä, joka luo salatun yhteyden HTTPS:n yli. DNSSEC ja SSL suojaavat eri asioita yhteyden eri vaiheissa.
DNSSEC ei estä kaikkia verkkotunnukseesi kohdistuvia hyökkäystyyppejä. Se ei estä jotakuta varastamasta rekisteröijäsi kirjautumistunnuksia ja siirtämästä verkkotunnustasi. Se ei suojaa brändiäsi jäljitteleviltä tietojenkalastelusähköposteilta. Eikä se estä DNS-palvelimiisi kohdistuvia DDoS-hyökkäyksiä. Näitä uhkia vastaan tarvitset erillisiä suojauksia kuten kaksivaiheisen tunnistautumisen, verkkotunnuksen lukituksen ja DDoS-suojan.
Miten DNSSEC eroaa SSL:stä?
DNSSEC ja SSL ovat molemmat tietoturvakerroksia, mutta ne suojaavat eri osia kävijän ja verkkosivustosi välisestä yhteydestä.
SSL (ja sen seuraaja TLS) salaa datan, joka kulkee kävijän selaimen ja web-palvelimesi välillä. Kun yhteys on muodostettu, kaikki kävijän lähettämä ja vastaanottama on suojattu salakuuntelulta. SSL varmistaa myös, että palvelimella, jonka kanssa kävijä keskustelee, on voimassa oleva varmenne verkkotunnuksellesi.
DNSSEC suojaa vaiheen, joka tapahtuu ennen kuin SSL astuu kuvaan. Kun kävijä kirjoittaa verkkotunnuksesi, selain hakee ensin IP-osoitteen DNS:n kautta. DNSSEC varmistaa, että haku palauttaa oikean IP-osoitteen. Ilman sitä hyökkääjä voisi ohjata kävijän aivan eri palvelimelle, jolla voisi olla jopa oma SSL-varmenne samannäköiselle verkkotunnukselle.
Molemmilla kerroksilla on tehtävänsä. SSL suojaa keskustelun. DNSSEC suojaa suunnan, jonka kävijä ottaa keskustelun aloittamiseksi. Molempien käyttö antaa kävijöillesi vahvimman vakuutuksen siitä, että he ovat oikealla sivustollasi ja että heidän tietonsa ovat turvassa.
Miten WEMASY hoitaa DNSSEC:in
WEMASY hoitaa DNS:n jokaiselle alustaansa yhdistetylle verkkotunnukselle. Kun rakennat sivustosi WEMASY:llä, verkkotunnuksesi DNS hoidetaan WEMASY:n infrastruktuurin kautta, joka sisältää SSL-varmenteet, nimipalvelinten hallinnan ja DNS-tietueiden määrityksen. Jos verkkotunnuksesi ja rekisteröijäsi tukevat DNSSEC:ia, voit ottaa sen käyttöön lisäämällä DS-tietueen rekisteröijälläsi ja osoittamalla sen WEMASY:n DNS:ään. Tiedot siitä, mitä kukin paketti sisältää, löydät hintasivulta.
Moduulin 6 yhteenveto
Tämä luku päättää verkkotunnusten tietoturvamoduulin. Aiemmissa luvuissa kävit läpi kokonaiskuvan. Opit, mitä verkkotunnuksen tietoturva tarkoittaa, miten verkkotunnuksen lukitus, tietosuoja ja uusimistietoisuus pitävät verkkotunnuksesi hallinnassasi, ja erityiset uhat kuten kaappaus, kaappailu ja uusimishuijaukset, jotka kohdistuvat verkkotunnusten omistajiin. DNSSEC lisää viimeisen kerroksen suojaamalla itse DNS-hakua, yhtä vaihetta, joka yhdistää verkkotunnuksesi nimen varsinaiseen verkkosivustoosi. Kaikkien näiden suojausten ollessa käytössä verkkotunnuksesi on katettu rekisteröinnistä ratkaisuun asti.
Usein kysytyt kysymykset DNSSEC:ista
Voiko DNSSEC rikkoa verkkosivustoni, jos se on määritetty väärin?
Voi. Jos rekisteröijäsi DS-tietue ei vastaa DNS-palveluntarjoajasi avaimia, DNSSEC:ia validoivat resolverit hylkäävät verkkotunnuksesi DNS-vastaukset kokonaan. Tämä voi tehdä verkkosivustostasi tavoittamattoman kävijöille, joiden resolverit valvovat DNSSEC-validointia. Testaa järjestelysi aina DNSSEC-validointityökalulla käyttöönoton jälkeen ja pidä avaimesi synkronoituina, jos vaihdat joskus DNS-palveluntarjoajaa. WEMASY:n sivustonrakentajassa voit määrittää tämän suoraan sivustollasi.
Hidastaako DNSSEC verkkosivustoani?
Vaikutus nopeuteen on vähäinen. DNSSEC lisää DNS-vastauksiin pienen määrän ylimääräistä dataa allekirjoitusten vuoksi, ja resolverit suorittavat ylimääräisen varmennusvaiheen. Käytännössä tämä lisää DNS-hakuun vain muutaman millisekunnin. Kävijät eivät huomaa eroa sivun latausajassa.
Tukevatko kaikki rekisteröijät DNSSEC:ia?
Eivät kaikki. Useimmat suuret rekisteröijät tukevat DNSSEC:ia, mutta jotkin pienemmät tai edulliset rekisteröijät eivät vielä tarjoa sitä. Ennen kuin yrität ottaa DNSSEC:in käyttöön, tarkista rekisteröijäsi dokumentaatio tai tukisivu varmistaaksesi, että he sallivat DS-tietueiden lisäämisen. Jos eivät, sinun on ehkä siirrettävä verkkotunnuksesi rekisteröijälle, joka sallii.
Mitä DNSSEC:ille tapahtuu, jos vaihdan DNS-palveluntarjoajaa?
Jos vaihdat DNS-palveluntarjoajaa, sinun on päivitettävä DNSSEC-määrityksesi. Uusi palveluntarjoaja luo uudet avaimet, ja sinun on korvattava rekisteröijälläsi oleva DS-tietue uudella. Siirtymän aikana on ajanjakso, jolloin vanha DS-tietue ei enää vastaa uusia avaimia. Suunnittele vaihto huolellisesti. Poista vanha DS-tietue ensin, odota leviämistä, siirrä DNS, ota DNSSEC käyttöön uudella palveluntarjoajalla ja lisää sitten uusi DS-tietue.
Onko DNSSEC sama asia kuin DNS over HTTPS?
Ei. Ne ratkaisevat eri ongelmia. DNSSEC varmistaa, että DNS-vastaus on aito eikä sitä ole peukaloitu. DNS over HTTPS (DoH) salaa itse DNS-kyselyn, jotta kukaan verkkoasi seuraava ei näe, mitä verkkotunnuksia haet. DNSSEC suojaa eheyttä. DoH suojaa yksityisyyttä. Niitä voi käyttää yhdessä, mutta toinen ei korvaa toista.