Extra bescherming NL-domeinen wegens DNS-kaping
Vanwege een recent incident waarbij aanvallers de DNS van een hostingbedrijf wisten te kapen waardoor duizenden domeinnamen naar malware wezen, heeft de Stichting Internet Domeinregistratie Nederland (SIDN), de instantie die .nl-domeinnamen uitgeeft, extra beveiligingsmaatregelen geïntroduceerd.
Het Domain Name System (DNS) vertaalt onder andere domeinnamen naar IP-adressen. Aanvallers die de DNS-instellingen van een domeinnaam kunnen wijzigen, kunnen bijvoorbeeld een ander IP-adres opgeven. Om dit soort ongewenste aanpassingen tegen te gaan biedt SIDN een dienst aan genaamd ".nl Control".
Hierdoor worden wijzigingen niet geautomatiseerd verwerkt, maar pas nadat de domeinnaamhouder expliciet akkoord hiervoor gegeven heeft. Zodra SIDN een wijziging ontvangt, neemt zij telefonisch contact op met de domeinnaamhouder en vraagt schriftelijk akkoord voor de wijziging. Pas dan wordt de wijziging doorgevoerd.
Glue records
Deze dienst is nu uitgebreid met zogeheten glue records. Glue records verschaffen informatie over een name server, zoals het IP-adres en de verantwoordelijke registrar. Zonder een glue record zou het niet mogelijk zijn voor een name server om informatie op te vragen over de name server zelf en de domeinen die hij bedient.
Het is nu ook mogelijk om ongewenste aanpassingen van glue records via .nl Control te voorkomen. "Naar aanleiding van recente DNS-serverhacks is een groeiende vraag ontstaan naar de mogelijkheid om wijzigingen van glue records te beschermen", aldus Michiel Henneke van SIDN.
Heb je daarvan voorbeelden?
Zijn de SIDN-helpdeskmedewerkers erin getraind om alléén eenrichtingsverkeer toe te passen en inkomende telefoontjes met wijzigingsverzoeken te weigeren?
Wat als ik als kwaadwillende SIDN opbel nog voordat SIDN de klant belt, onder het motto van pro-actief zijn en het initiatief neem zogenaamd omdat ik het zekere voor het onzekere wil nemen, ''want het gaat immers om de digitale veiligheid van mijn bedrijf'', zo de helpdeskmedewerker inpak, (misschien nog wat social engineering toepas hier en daar), ik de wijziging zo telefonisch bevestig, een standaard A4-tje opstel met ''hierbij bevestig ik de wijziging, met vriendelijke groet Klant X''. Eigenlijk dus hetzelfde als wat via de e-mail is gebeurd, maar dan telefonisch.
Voilà: Wijziging zowel telefonisch als schriftelijk bevestigd.
Het gaat hier om het beschermen van domeinen van/bij bonafide providers die gehacked zouden kunnen worden waarbij de wijziging met alle normale credentials van de provider bij SIDN doorgevoerd wordt.
Hoe wou je leden selecteren op 'kan misschien wel eens gehacked worden' ?
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
