Merendeel van Nederlandse domeinen en internetters gebruikt DNSSEC-beveiliging
Verdere groei van DNSSEC echter gestagneerd
DNSSEC wordt in Nederland al op grote schaal gebruikt: bijna 60 procent van alle .nl-domeinen is met DNSSEC beveiligd. Grofweg 60 procent van alle binnenkomende queries op de autoritatieve nameservers voor .nl is afkomstig van validerende resolvers (wereldwijd). En ongeveer 60 procent van de Nederlandse internetters maakt gebruik van een validerende resolver.
Het slechte nieuws is dat de verdere groei al een paar jaar stilstaat: Het aandeel beveiligde domeinnamen groeide de afgelopen 4 jaar met maar 1 à 2 procentpunt per jaar. En waar KPN 2 jaar geleden begon met validatie voor zijn klanten, ondersteunt VodafoneZiggo deze beveiligingstechnologie nog steeds niet. Internationaal gezien zijn er vooral heel veel topleveldomeinen die DNSSEC wel ondersteunen, maar waarvan het aandeel ondertekende domeinnamen daarbinnen verwaarloosbaar is bij gebrek aan stimulering.
In dit artikel bespreken we de stand van zaken wat betreft de adoptie van DNSSEC, zowel voor de ondertekening als validatie, en zowel voor Nederland als internationaal.
DNSSEC-ondertekening in Nederland
Nederland is wereldwijd nog steeds een van de koplopers als het gaat om de ondertekening van domeinnamen: inmiddels is bijna 60 procent van alle .nl-domeinen met DNSSEC beveiligd (situatie december 2022). Hoewel het aandeel beveiligde domeinnamen nog steeds doorstijgt, gaat dit inmiddels wel tergend langzaam: de afgelopen 4 jaar zaten we op een groei van 1 à 2 procentpunt per jaar.
SIDN stimuleert de adoptie van DNSSEC middels een financiële incentive-regeling. Deze is voor registrars onderdeel van de Registrar Scorecard (RSC). Door registrars een korting te geven op domeinen die DNSSEC toepassen, proberen we omslagpunten in investeringen in DNSEC dichterbij te brengen. Inmiddels wordt de DNSSEC-incentive afgebouwd, om daarna te worden vervangen door een bredere regeling. Vanaf deze zomer is een minimum percentage aan DNSSEC-ondertekende .nl-domeinnamen voor registrars randvoorwaarde om überhaupt in aanmerking te komen voor de andere incentives (voor veilige e-mail, IPv6 en actief gebruik).
DNSSEC-validatie in Nederland
Op dit moment is grofweg 60 procent van alle binnenkomende queries op de autoritatieve nameservers voor .nl afkomstig van validerende resolvers (situatie december 2022). Let op dat het hier niet gaat om (alleen) de Nederlandse resolvers maar om resolvers wereldwijd. De meeste van die queries zijn afkomstig van de grote cloud-leveranciers: Google, Microsoft, Amazon en Cloudflare. Vandaar ook dat de meeste queries afkomstig zijn van resolvers in de VS (ruim 25 procent), en slechts 10 procent van resolvers in Nederland zelf.
KPN wel, Ziggo niet
Wat betreft de validatie liepen we in Nederland lange tijd achter op de rest van de wereld. Specifiek voor de Nederlandse internetgebruikers was het probleem dat de twee grootste Nederlandse accessproviders, KPN en Ziggo, beide geen validatie op hun DNS-servers ondersteunden. In 2020 heeft KPN (eindelijk) validatie aangezet voor zijn KPN/Telfort-klanten. VodafoneZiggo ondersteunt echter nog steeds geen validatie. Daarmee maakt nu ongeveer 60 procent van de Nederlandse internetgebruikers gebruik van een validerende resolver.
DNSSEC-ondertekening wereldwijd
Zo (relatief) goed als het inmiddels gaat met de adoptie van DNSSEC in Nederland, zo slecht gaat het met de adoptie van DNSSEC wereldwijd. Vooral de toepassing van DNSSEC binnen de topleveldomeinen (dat wil zeggen: de ondertekening van domeinnamen) blijft wereldwijd gezien sterk achter.
De ondersteuning van DNSSEC is door ICANN verplicht gesteld vanaf 1 januari 2014, wat betekent dat in ieder geval alle nieuwe gTLD's deze beveiligingstechnologie ondersteunen.
Op dit moment wordt DNSSEC (ondertekening) door ruim 90 procent van alle ccTLD's ondersteund (situatie december 2022). Opvallende uitzondering is Turkije. Op het kaartje hieronder kun je zien dat het vooral ccTLD's in de Balkan, Afrika, het Midden-Oosten en Centraal-Azië zijn die DNSSEC nog niet ondersteunen.
DNSSEC-gebruik binnen de TLD's
De toepassing van DNSSEC binnen de TLD's wisselt enorm en is sterk afhankelijk van:
een financiële incentive-regeling van de betreffende registry
voor ccTLD's: het aantal grote access providers binnen de betreffende regio en hun beleid
overheidsbeleid met betrekking tot moderne internet-beveiligingsstandaarden
in het algemeen en DNSSEC in het bijzonder
Onderstaande grafiek laat de ontwikkeling van DNSSEC in de best presterende Europese ccTLD's zien (situatie augustus 2022). Naast de Nederlandse .nl-zone doen ook Tsjechië (.cz), Noorwegen (.no) en Zweden (.se) het goed, met een adoptiegraad die boven de 50 procent ligt (net als het hier ook populaire .nu-domein). Snelle stijgers zijn Zwitserland (.ch) en Denemarken (.dk).
Financiële incentive
SIDN heeft de afgelopen jaren een belangrijke bijdrage geleverd aan de ontwikkeling van de DNSSEC-standaard, net als de Zweedse registry Internetstiftelsen en de Tsjechische registry CZ.NIC. Daarnaast ondersteunde SIDN direct of indirect de ontwikkeling en deployment van DNS(SEC)-software: veelgebruikte pakketten als PowerDNS [1, 2], Unbound, NSD en OpenDNSSEC worden allemaal in Nederland ontwikkeld.
CZ.NIC doet vergelijkbare dingen met de ontwikkeling van Knot DNS, Knot Resolver en de DNSSEC/TLSA Validator (die laatste wordt niet langer onderhouden).
Maar belangrijkste: naast SIDN hebben ook de Zweedse, Tsjechische en Noorse registry’s een financiële incentive-regeling (en de .nu-zone wordt beheerd door de Zweedse registry).
Hoe belangrijk een actieve rol van de registry en een incentive voor de adoptie van DNSSEC zijn, kun je zien aan de "toepassing" ervan in de internationale gTLD's .com, .net, .org en .info: in deze (en vele andere) zones is het gebruik van DNSSEC verwaarloosbaar.
DNSSEC-validatie wereldwijd
Wereldwijd zit het aandeel internetgebruikers dat gebruik maakt van een validerende resolver op dit moment rond de 30 procent (situatie december 2022). Na een stagnatie in de COVID-jaren is de adoptie over het afgelopen jaar wel weer met grofweg 5 procentpunt gestegen.
Voor Europa ligt het gebruik van DNSSEC-validatie nu op ruim 40 procent. Ook daar zie je een toegenomen groei over het afgelopen jaar.
Nederland en de landen om ons heen
Met een adoptiegraad van ongeveer 60 procent zit Nederland ook voor wat betreft DNSSEC-validatie eindelijk op het niveau van de landen om ons heen. De Scandinavische landen doen het een stuk beter; de Zuid-Europese landen en GB/IE een heel stuk slechter.
Landcode | Percentage (%) |
|---|---|
FI | 95 |
CZ | 89 |
DK | 89 |
SE | 88 |
NO | 87 |
LU | 81 |
CH | 69 |
DE | 67 |
NL | 59 |
BE | 49 |
PL | 48 |
IE | 42 |
PT | 39 |
FR | 34 |
IT | 25 |
ES | 18 |
GB | 10 |
Niet onveilig maar wel kwetsbaar
Hoewel het originele DNS-systeem op dit moment niet onveilig is, is het weldegelijk kwetsbaar. DNS is een van de oudste internetprotocollen die we nog steeds gebruiken. De beveiliging ervan is desondanks pas relatief laat ontwikkeld.
Aanvalsmethoden [1] waren niet makkelijk uit te voeren en/of konden relatief makkelijk gepareerd worden, waarmee dergelijke aanvallen in de praktijk zeldzaam waren. Na lange tijd relatieve rust aan het DNS-front, zijn de afgelopen jaren echter nieuwe aanvalsmethoden [1, 2] gepubliceerd.
De beste verdediging tegen deze 'cache poisoning'-aanvallen is DNSSEC. Maar dan moeten we deze beveiligingstechnologie wel met z’n allen gaan gebruiken.