Validatiefouten bij het inzetten van veiligheidsprotocol DNSSEC komen nauwelijks nog voor. Dat blijkt onder meer uit een recent afgesloten pilot van nl. domeinnaam registrar SIDN. Desondanks houden volgens SIDN grote service providers het gebruik van DNSSEC tegen.
Tussen 2013 en 2017 is het aantal fouten met een factor vijf teruggedrongen. Daarmee is de grootste drempel voor het invoeren van DNSSEC volgens SIDN verdwenen. De belangrijkste service providers – met name KPN en Ziggo - weigeren echter nog altijd om validatie van DNSSEC in te voeren. Nieuwe toepassingen op DNS/DNSSEC komen daardoor niet tot hun recht, aldus SIDN.
45% nl-sites heeft al veilig webadres
DNSSEC is een extra controle in het netwerk van de provider, om te zien of de identiteit van een website echt is. Zonder deze controle is er iets meer risico dat een internetter wordt doorgesluisd naar een vervalste website. Ongeveer 45 procent van de .nl-sites heeft al een veilig webadres, blijkt uit cijfers van beheerder SIDN.
De methode werkt echter alleen als zowel de site als de internet service provider die toepassen. Ondanks dat validatiefouten bij DNS (domain name system) al vanaf 2015 geen probleem meer zijn, gebruiken access providers dit oude probleem volgens SIDN nog steeds regelmatig als argument om validatie op hun resolvers niet in te hoeven schakelen. Een resolver is een computer die probeert via DNS een domeinnaam om te zetten in een IP-adres. Op dit moment behoren XS4All, BIT en Edutel tot de weinige access providers die wél validatie doen voor hun klanten.
Maatregelen tegen validatiefouten
De afgelopen twee jaar draaide SIDN een pilot met een DNSSEC -validerende DNS -dienst. Het primaire doel was om zelf informatie te verzamelen over problemen veroorzaakt door validatiefouten. Vijf jaar geleden vormde het aantal DNSSEC-configuratiefouten in de .nl zone een namelijk serieus probleem voor validerende resolvers, waarna SIDN diverse maatregelen heeft genomen om deze fouten terug te dringen.
Het tweede doel was om te onderzoeken of SIDN een dergelijke dienst misschien voor een breed publiek beschikbaar zou moeten maken. Met een validerende DNS service zou enerzijds het gat dat de access providers laten liggen worden gevuld. Anderzijds zou daarmee een niet-commerciële tegenhanger van Google's Public DNS beschikbaar komen. Belangrijke meerwaarde daarbij is dat de privacy van de gebruikers dan wél volledig wordt gewaarborgd.
Geen uitbouw pilot
Uit de in november 2017 afgesloten pilot bij OpenFiber blijkt enerzijds dat validatiefouten vrijwel niet meer voorkomen. Het zou nog gaan om 30 fouten per één miljoen validaties van domeinnamen. Een andere uitkomst van de pilot is dat deze validerende DNS service niet zal worden uitgebouwd tot een volledige publieke dienst. Deze pilot is succesvol afgerond en inmiddels gestopt, vertelt Sebastiaan Assink, key account manager bij SIDN.
