Google DNS ondersteunt DNSSEC validatie
Om internetgebruikers tegen bepaalde online aanvallen te beschermen heeft Google DNSSEC validatie aan de publieke DNS dienst toegevoegd. Het Domain Name System (DNS) is vergelijkbaar met het telefoonboek en vertaalt domeinnamen naar IP-adressen. De meeste internetgebruikers gebruiken de DNS-servers van hun internetprovider.
Het is ook mogelijk om de DNS-servers van een andere partij te gebruiken. Google is één van de partijen die een publieke DNS aanbiedt. De beveiliging van DNS laat volgens de zoekgigant nogal te wensen over. Daardoor is het mogelijk om DNS-gebaseerde aanvallen uit te voeren, waardoor internetgebruikers op andere websites uitkomen dan ze normaal hadden moeten krijgen.
DNSSEC
De meest voorkomende DNS-aanval is 'DNS cache poisoning'. Hierbij wordt geprobeerd de cache van de DNS-dienst te vervuilen, zodat die een ander IP-adres aan gebruikers teruggeeft, die dan bijvoorbeeld worden doorgestuurd naar websites van de aanvallers. Om dit soort aanvallen tegen te gaan moet de authenticiteit van een DNS respons worden gecontroleerd.
DNSSEC lost dit probleem op door DNS responses via digitale handtekeningen en 'public key cryptography' te authenticeren. Elke DNS zone beschikt over een verzameling van privé en publieke sleutels, en voor elk DNS record wordt via de privésleutel een unieke digitale handtekening gegenereerd.
De bijbehorende publieke sleutel wordt vervolgens via een speciale, vertrouwde keten geauthenticeerd. Aangezien de handtekeningen lastig zijn te vervalsen, zullen DNS-servers geen valse DNS responses meer accepteren, waardoor DNS cache poisoning wordt voorkomen.
Op dit moment zou de publieke Google DNS dagelijks 130 miljard DNS queries van meer dan 70 miljoen unieke IP-adressen verwerken. Bij slechts 7% is DNSSEC ingeschakeld. Google stelt dan ook dat DNSSEC nog een lange weg heeft te gaan en dat het belangrijk is dat ook andere partijen zich hiermee gaan bemoeien.
Niet dat ze dat niet sowieso al zouden weten. Bijvoorbeeld, deze site waar je nu naar kijkt gebruikt zowel DoubleClick (van Google) als Google Analytics.
Er zijn tal van manieren waarop Google weet welke websites je bezoekt. Dus Google DNS niet gebruiken, zal je daar niet voor kunnen behoeden. Wat te denken van de vele links naar de in https://developers.google.com/speed/libraries/devguide, genoemde JavaScript libraries die je op webpagina's tegenkomt, om maar eens wat te noemen.
@Marcelvb: klopt, Google doet alleen DNSSEC als de client daar expliciet om vraagt d.m.v. het zetten van de AD-vlag, of het DO-bitje. Dat is meestal niet de default-instelling bij stub-resolvers.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
