Det mellemled i DNS, som ingen rigtig taler om

Når folk diskuterer DNS-sikkerhed, handler det som regel om DNSSEC eller krypterede forespørgsler til rekursive resolvere. Men der er et andet led i kæden, der ofte bliver overset: forbindelsen mellem din resolver og de autoritative navneservere. Det er her, trafikken stadig kører ukrypteret.

OARC-møderne har sat fokus på netop dette. Selvom brugernes forespørgsler er beskyttet med DoH eller DoT, sendes de bagvedliggende kald til autoritative servere stadig i klartekst. Det betyder, at den del af DNS-kæden, der faktisk henter dine data, er åben for aflytning.

Hvorfor det har betydning for din opsætning

En angriber med adgang til netværket kan opsnappe disse forespørgsler og sende falske svar tilbage. Det åbner døren til flere konkrete trusler:

• Spoofing, hvor trafik omdirigeres, før den når din resolver
• Lækage af information om din domænestruktur og forespørgselsmønstre
• Cache poisoning, der påvirker mange brugere på én gang
• Rekognoscering til DDoS-angreb

For virksomheder, der hoster hos NameOcean, er DNS bogstaveligt talt indgangen til jeres tjenester. Hvis nogen kan manipulere de svar, rammer det både tilgængelighed og tillid.

Nye krypteringsmuligheder på vej

Branchen arbejder med flere løsninger til at kryptere netop dette led:

DoT til autoritative forespørgsler – TLS-kryptering mellem resolver og autoritative servere, tilpasset de høje krav til volumen og hastighed.

DoH til autoritative opslag – Baseret på HTTP/2 eller HTTP/3, som mange allerede kender fra webtrafik.

Ydeevne vs. sikkerhed – Kryptering koster både tid og regnekraft. OARC-debatten har især handlet om, hvorvidt gevinsten er stor nok til at retfærdiggøre omkostningerne på store resolvere.

Udfordringen ligger i koordineringen

I modsætning til kryptering på klientsiden kræver dette samarbejde på flere niveauer:

• Operatører af autoritative navneservere
• Operatører af rekursive resolvere
• Registrarer og hosting-udbydere som NameOcean
• Den øvrige DNS-infrastruktur

Ingen kan løse det alene. Det kræver, at alle led i kæden understøtter teknologien.

Hvad du kan gøre nu

Hvis du bruger NameOcean til dine domæner, er her nogle konkrete skridt:

1. Følg med i udviklingen – krypteret DNS-transport kommer, og det bliver standard
2. Hold øje med dine DNS-logs for uregelmæssigheder
3. Overvej DNSSEC som en midlertidig beskyttelse
4. Aktivér logning, så du kan opdage mistænkelig aktivitet

Hvad sker der fremover?

OARC viser, at fællesskabet tager problemet alvorligt. Spørgsmålet er ikke længere om krypteret kommunikation mellem resolvere og autoritative servere bliver normen, men snarere hvornår og hvordan.

Overgangen kommer sandsynligvis til at ske gradvist. Store udbydere implementerer først, og så følger resten med, når ydeevnen er optimeret.

Hos NameOcean følger vi med i den udvikling. Vores tilgang handler om at tage højde for nye sikkerhedskrav, før de bliver kritiske – så din infrastruktur er klar, uden at du selv skal tænke på det.

Kort sagt

Krypteret DNS mellem resolvere og autoritative servere er næste skridt i beskyttelsen af domæneinfrastruktur. Det er ikke synligt for brugerne, men det er afgørende for, at dine domæner forbliver sikre og pålidelige.

De diskussioner, der foregår nu, former den DNS, du kommer til at stole på fremover. Det er værd at holde øje med.