DNSSEC forklart: hva det er og når du bør bruke det

DNSSEC beskytter domenet ditt mot å bli kapret på veien til brukerne dine. I denne guiden får du DNSSEC forklart på enkelt norsk, og en konkret vurdering av når du bør slå det på. Vi går også gjennom hvordan du aktiverer det hos Feno.

Kort oppsummert: DNSSEC (Domain Name System Security Extensions) signerer DNS-informasjonen din digitalt, slik at ingen kan forfalske den. Du bør bruke det hvis du driver e-post, nettbutikk eller har et merkenavn som kan misbrukes. Hos Feno aktiverer du det i kontrollpanelet uten ekstra kostnad.

DNSSEC forklart: hva det egentlig er

DNSSEC står for Domain Name System Security Extensions og er en utvidelse av DNS, systemet som oversetter et domenenavn som feno.no til en IP-adresse når noen skriver adressen inn i nettleseren.

Kort definert: DNSSEC er en sikkerhetsstandard som signerer DNS-opplysningene til et domene. Da får den besøkende en garanti for at svaret kommer fra den rette kilden, og ikke en forfalsket kopi.

Uten DNSSEC kan en angriper i verste fall blande seg inn i trafikken og sende brukerne dine til en falsk nettside, uten at noen får feilmelding. Det er slik angripere stjeler passord og kortinformasjon uten å bryte seg inn på selve nettsiden din. Når du vurderer domene sikkerhet, bør DNSSEC derfor være blant de første tiltakene.

Hvordan fungerer DNSSEC?

For å forstå DNSSEC må du først kjenne til DNS. Når noen skriver inn domenet ditt, spør nettleseren hvilken IP-adresse som hører til navnet. Svaret hentes via et hierarki av tjenere, helt fra rotnivået og ned til din egen sonefil.

Hva betyr signering av sone?

Når et domene signeres, krypteres ikke innholdet, men hver del av sonefilen får en digital signatur. Signaturen lages med en privat nøkkel som bare du eller domeneforhandleren din har, og verifiseres med en offentlig nøkkel som alle kan lese.

DNS-systemet er et tillitshierarki. På toppen står rotnivået, så toppnivådomenene som .no, og nederst ditt eget domene. For at signaturen din skal være troverdig, må den forankres oppover i kjeden. Det gjøres med en såkalt DS-record, som publiseres i den overordnede sonen.

Tillitskjeden og DS-recorden

En DS-record er et digitalt fingeravtrykk av nøkkelen til domenet ditt. For .no-domener legges den i sonen til det norske toppnivådomenet, som driftes av Norid, og det gjøres gjennom domeneforhandleren din.

Når en DNS-tjener mottar et svar, verifiserer den signaturen oppover i kjeden. Stemmer alt, kommer svaret fra rett kilde. Stemmer ikke signaturen, kastes svaret, og brukeren får aldri se den falske siden.

Når bør du bruke DNSSEC på domenet ditt?

DNSSEC betyr mest der konsekvensene av et angrep er alvorlige. Her er situasjonene der det virkelig teller.

Du sender og mottar e-post på domenet

Har du e-postadresser som post@domenet.ditt, kan en angriper i teorien omdirigere e-posttjenesten og lese meldingene dine. Svake DNS-oppsett er en klassisk inngangsport for e-postsvindel. DNSSEC gjør den typen angrep betydelig vanskeligere.

Du har nettbutikk eller innlogging

Har du en nettbutikk eller et system med pålogging, er DNSSEC lett å forsvare. Det beskytter ikke passord i seg selv, men sørger for at brukerne faktisk havner hos deg før de skriver inn noe som helst.

Du har et merkenavn som er lett å utnytte

Er domenet ditt kjent og trafikkert, er det et attraktivt mål. Et angrep treffer da ikke bare deg, men alle som stoler på navnet ditt. DNSSEC er en rimelig måte å gjøre merkevaren din vanskeligere å misbruke på.

Når det betyr mindre

Har du bare en statisk nettside uten pålogging eller e-post, er risikoen lavere. Da er DNSSEC fortsatt fint å ha, men ikke kritisk. Offentlig sektor har hatt DNSSEC som anbefalt standard siden 2015, og norske .no-domener er blant de mest signerte i verden.

Slik aktiverer du DNSSEC

Hos Feno finner du DNSSEC under DNS-innstillingene i kontrollpanelet. Signering og publisering av DS-recorden håndteres automatisk, så du slipper å forholde deg til nøkler manuelt. Slik går du fram:

1. Logg inn i kontrollpanelet på feno.no og åpne domenet du vil sikre.
2. Aktiver DNSSEC i DNS-innstillingene. Sonefilen din signeres, og DS-recorden klargjøres.
3. Bekreft aktiveringen. DS-recorden publiseres i Norid sin sone. Det kan ta noen timer før kjeden er verifisert i alle ledd.
4. Test oppsettet med en gratis DNSSEC-sjekker, for eksempel Verisign sin analysator, for å bekrefte at alt er i orden.

I overgangen fungerer nettsiden og e-posten din som normalt. Aktiveringen krever altså ingen nedetid.

• Behold samme DNS-leverandør når DNSSEC er på. En endring av navneservere krever at DS-recorden følger med.
• Slå av DNSSEC før du flytter domenet til en annen leverandør. Ellers kan domenet bli utilgjengelig for brukerne dine.
• Forny domenet i tide. Et utgått domene mister signeringen, og navnet kan utnyttes av andre.

Hva DNSSEC ikke beskytter mot

DNSSEC er en viktig brikke, men ingen full løsning. Den krypterer ikke trafikken. For det trenger du HTTPS, altså SSL-sertifikat, som sikrer selve forbindelsen mellom nettleseren og tjeneren.

DNSSEC stopper heller ikke angrep mot selve nettserveren din, eller svindel med navn som ligner på ditt. Registreres det et domene som ligner på merkevaren din, er overvåking og rask handling det som gjelder.

Vanlige spørsmål om DNSSEC

Koster DNSSEC noe ekstra?

Nei. DNSSEC er en standardfunksjon hos de fleste norske registrarer. Hos Feno følger det med i prisen for .no-domener, som starter på 99 kroner per år, og det er ingen skjulte gebyrer.

Gjør DNSSEC nettsiden min tregere?

Nei. Verifiseringen skjer på DNS-nivå og tar mikrosekunder. Responstiden til DNS-tjeneren din og TTL-verdiene (time to live, altså hvor lenge svar mellomlagres) betyr langt mer for hastigheten enn DNSSEC gjør.

Kan jeg slå av DNSSEC igjen?

Ja, når som helst. Da fjernes DS-recorden fra Norid sin sone, og domenet fungerer som før uten signaturbeskyttelse. Pass bare på rekkefølgen om du bytter leverandør, for en feil kan gjøre domenet utilgjengelig.

Bør domenet ditt få DNSSEC nå?

Hvis du driver e-post, har innlogging eller behandler betalinger, er svaret ja. DNSSEC gjør domenet ditt vanskeligere å kapre, koster ingenting og krever minimal innsats når forhandleren din håndterer detaljene.

Har du domenet hos en forhandler som ikke støtter DNSSEC, kan det være på tide å flytte det. Hos Feno får du norske .no-domener fra 99 kroner per år med DNSSEC, et enkelt kontrollpanel og varsling ved utløp. Sjekk domenet ditt hos Feno i dag.