Sikrere norske domenenavn med DNSSEC

Transkript

1 UNINETT Norid AS NO-7465 Trondheim Besøksadresse: Abels gt. 5, Teknobyen Telefon: E-post: Desember 2016 Sikrere norske domenenavn med DNSSEC I takt med at internett blir en stadig mer kritisk del av samfunnets infrastruktur, blir det viktigere og viktigere å sikre at informasjon ikke forfalskes eller havner hos feil mottaker. DNSSEC er et viktig bidrag til sikrere kommunikasjon på nettet. Hvorfor er DNSSEC viktig? I dagens samfunn er internett en viktig plattform for verdiskaping. Totalt ble det omsatt for over åtte milliarder kroner via nettbutikker i Norge første halvår Fem prosent av alle norske domenenavn som har en nettside har en handlekurvfunksjon knyttet til siden 2, og for mange bedrifter er nettet den primære salgskanalen. Internett er også primær kanal for kommunikasjon mellom det offentlige og innbyggere og bedrifter, for eksempel for å rapportere inn selvangivelse og arbeidsgiveravgift, og for tilgang til offentlige tjenester. I alle disse tilfellene er det svært viktig at brukerne faktisk kommer til den nettsiden de mente å nå. 1

2 Domener og toppdomener Alle datamaskiner på internett har en egen IP-adresse, som består av en lang tallrekke. Domenenavnsystemet knytter unike domenenavn til IP-adressen. Eksempler på domenenavn mange bruker daglig: dagbladet.no, vg.no, google.com og facebook.com. Det siste leddet i domenenavnet «etternavnet» er toppdomenet som domenenavnet er registrert under. Det finnes to ulike typer, landkodetoppdomener (som.no eller.se) og generiske toppdomener (som.com eller.org). Du kan hente opp en nettside på ulike måter: Gjennom å klikke på en lenke, fra en app, via treff fra en søkemotor, eller ved å taste inn adressen i en nettleser. I alle disse tilfellene slår du opp et domenenavn. Oppslaget setter i gang et søk etter en IP-adresse som brukes til å kontakte den maskinen som driver den tjenesten brukeren ønsker tilgang til. Opprinnelig var ikke domenenavnsystemet laget slik at det sikret at svaret på et oppslag faktisk kom fra riktig kilde. Det betyr at det er mulig for en angriper å forfalske svar og sende en bruker til en annen IP-adresse enn den som egentlig er knyttet til domenet. For eksempel kan en bruker bli sendt til et nettside som ser ut som den nettbutikken hun eller han mente å gå til, men som er et nettsted som ligger på en maskin som kontrolleres av en svindler. Hva skjer bak kulissene når du slår opp et domene? Resolver 23 4 rot. no bokogbrus.no 2

3 Hvert domenenavn har et sett med maskiner som besvarer spørsmål om adresser under domenet. Disse maskinene kalles navnetjenere. Eksempel: Du skriver adressen i adressefeltet i nettleseren din. 1. En liten programsnutt i datamaskinen din tar kontakt med en egen datamaskin som er satt opp for å behandle oppslag i domenenavnsystemet, en såkalt rekursiv resolver. Denne maskinen drives ofte av internettleverandøren. 2. Den rekursive resolveren får i oppdrag å finne IP-adressen til Den sender spørsmålet videre til en av navnetjenerne for det øverste nivået i domene navnsystemet (kalt roten). Rotnavnetjenerne kjenner bare til nivået under seg i hierarkiet, og sender derfor tilbake en liste over navnetjenerne for toppdomenet.no. 3. Resolveren sender spørsmålet på nytt til en av navnetjenerne for.no. Disse kjenner også bare til nivået under seg, og sender tilbake en liste over navnetjenerne for bokogbrus.no. 4. Resolveren gjentar spørsmålet til en av navnetjenerne for bokogbrus.no, som svarer tilbake med IP-adressen for 5. Resolveren sender IP-adressen til din datamaskin. Når nettleseren får adressen, kan den ta kontakt med webtjeneren som befinner seg på adressen og laste ned de nettsidene du har bedt om. Resolveren aksepterer i utgangspunktet det første svaret den får, uten å sjekke at det kommer fra riktig kilde. DNSSEC (DNS Security Extensions) er en sikkerhetsmekanisme som tilbyr en løsning på dette problemet. Når et domene er sikret med DNSSEC, vil alle svar på domeneoppslag være signert kryptografisk. Dette gjør det mulig å kontrollere både at svaret kommer fra riktig kilde og at det ikke er endret underveis. Signaturen lages ved hjelp av en privat nøkkel som bare den som driver domenenavnet har tilgang til. Signaturen kontrolleres ved at maskinen som slår opp i domenenavnsystemet henter en offentlig nøkkel for domenet. Deretter kombinerer den nøkkel og signatur for å kontrollere svaret. Takket være hierarkiet i domenenavnsystemet, kan ikke en svindler komme med falske nøkler i tillegg til falske svar. Den offentlige nøkkelen til et domene er en del av en ubrutt kjede av nøkler som går god for hverandre, helt opp til det øverste nivået. For at DNSSEC skal fungere, må alle ledd være sikret med DNSSEC. En kjede er bare så sterk som det svakeste leddet. DNSSEC løser problemet med falske svar på oppslag. Det er imidlertid viktig å være klar over at DNSSEC er en liten brikke i et stort puslespill av sikkerhetstiltak som skal til for at vi skal være trygge på nettet. DNSSEC sikrer at vi kommer til den adressen vi vil nå, ikke at innholdet på siden er trygt. 3

4 Norge i verdenstoppen med å sikre domenenavnsystemet Norid ser på DNSSEC som en viktig sikkerhetskomponent i domenenavnsystemet, og mener teknologien bør være en standardleveranse for norske domenenavn. Norid introduserte DNSSEC som en infrastrukturoppgradering, og det var ingen forutsetning at en domeneabonnent verken kjente til teknologien eller aktivt bestilte den for å få denne sikkerhetsoppgraderingen for sitt domene. En slik tilnærming til DNSSEC krevde imidlertid at teknologien var moden og at domeneforhandlerne (registrarene) gjorde en innsats. Norid kunne legge til rette for å ta DNSSEC i bruk, men det var forhandlerne som måtte gjøre jobben med å signere og vedlikeholde domenene for sine kunder. Noen viktige DNSSEC-milepæler 2007:.se er det første toppdomenet i verden som åpner for å ta i bruk DNSSEC til å sikre sine domener. Fordi det øverste nivået i domenenavnsystemet ikke er sikret, må.se lage en midlertidig løsning for å kompensere for dette. 2010: Det øverste nivået i domenenavnsystemet sikres med DNSSEC. 2014: Støtte for teknologien er utbredt i de mest brukte programvarene for oppslag i domenenavnsystemet. DNSSEC tas i bruk for norske domenenavn. Til tross for at teknologien er avansert og at det er lite slingringsmonn for feil, var mange av forhandlerne kjapt på banen. I mai 2015, et halvt år etter at Norid introduserte teknologien, var det norske toppdomenet i verdenstoppen i andelen sikrede domener, og der har vi ligget siden 3. Per 1. desember 2016 er no-domener signert med DNSSEC 4, noe som utgjør 58,2 prosent av alle domener under.no. Tre andre europeiske landkodetoppdomener utmerker seg med en høy andel signerte domener 5 : Tsjekkia (.cz) med 49,9 prosent 6, Sverige (.se) med 46,7 prosent 7 og Nederland (.nl) med 45,5 prosent 8. Domener som er sikret med DNSSEC 30. november Jan-14 Jan-15 Jan-16 European cctld Median 4

5 Selv om.no har en svært høy andel sikrede domener totalt, er det store forskjeller på graden av sikring hos de ulike domeneforhandlerne. Per desember 2016 tilbyr 66 av i alt 345 forhandlere som selger norske domenenavn sikring med DNSSEC. Bare 14 av disse har signert mer enn ti prosent av domeneporteføljen sin. Flertallet av de domenene som er sikret sorterer dermed under et fåtall forhandlere. Fordeling av signerte.no-domener på forhandlerne Domeneshop AS (63,1 %) One.com A/S (11,2 %) Uniweb AS (8,6 %) Digital Garden AS (6,8 %) Pro ISP AS (4,5 %) Syse AS (3,1 %) ISPHuset Nordic AS (1,0 %) Active Data Norge Avd Synnes (0,3 % TDC AS (0,2 %) ) Domenia Norge AS (0,1 %) Andre (1,2 %) Viktige domener fortsatt ikke signert Når mer enn halvparten av alle norske domenenavn er sikret med DNSSEC, viser det at teknologien har blitt en del av standardleveransen her i landet. Likevel er bare tolv prosent av de femti mest brukte norske domenene 9 signert, og ingen av de ti mest brukte. Noen viktige DNSSEC-milepæler 1. google.no Ikke signert ikke signert 2. finn.no Ikke signert ikke signert 3. vg.no Ikke signert ikke signert 4. nrk.no Ikke signert ikke signert 5. dagbladet.no Ikke signert ikke signert 6. yr.no Ikke signert ikke signert 7. aftenposten.no Ikke signert ikke signert 8. tv2.no Ikke signert ikke signert 9. feide.no Ikke signert ikke signert 10. dnb.no Ikke signert ikke signert (Kilde: alexa.com, Norid) 5

6 Vi ser at det offentlige henger etter når det gjelder sine domener. Under halvparten (46,3 prosent 10 ) av domenene som er registrert av offentlig forvaltning er signert med DNSSEC. Det er alvorlig at ingen av de offentlige kategoridomenene (stat.no, dep.no, kommune.no, herad. no) eller kategoridomenet til Forsvaret (mil.no) har tatt den nye teknologien i bruk. Det betyr at domener som sorterer under et av disse kategoridomenene, for eksempel nsm.stat.no, ikke kan velge økt sikkerhet med DNSSEC fordi et av leddene i kjeden over dem ikke er sikret. Når dette skrives, er det akkurat avklart at Norid skal overta driften av kategoridomenene kommune.no og herad.no fra KS. Dermed vil alle norske kommuner om kort tid få mulighet til å sikre sine domener med DNSSEC. Langt fremme også på validering Den høye andelen DNSSEC-sikrede norske domener betyr at det er svært mange domeneoppslag som resulterer i signerte svar. For at dette skal sikre den enkelte bruker, må imidlertid maskinen som henter svaret på domeneoppslaget, sjekke (validere) det slik at svar med falske eller mangelfulle signaturer forkastes. Dette gjøres av spesielle maskiner rekursive resolvere som ofte drives av internettleverandører, hostingleverandører og tjenesteansvarlige i bedriftsinterne nett. For å kunne utnytte potensialet i DNSSEC, må dermed så mange som mulig av disse sikre sine brukere ved å slå på validering. Graden av validering i Norge har økt sterkt etter at DNSSEC ble lansert for norske domener i Per 5. desember 2016 valideres om lag 72 prosent av domeneoppslagene i Norge 11. Valideringsgraden for.no er høy på verdensbasis 12, men samtidig lavere enn for eksempel Sverige med 77 prosent og Island med 73 prosent. DNSSEC valideringsgrad per land i prosent Kilde: apnic.net, data fra 5. desember

7 Den høye valideringsgraden i Norge skyldes blant annet at store aktører som Telenor Norge, Altibox og Get, som til sammen dekker en relativt stor kundemasse, har slått på validering. Det er imidlertid fortsatt flere av de store internettleverandørene, som Nextgentel og Broadnet, der domeneoppslagene ikke valideres. Nasjonal kommunikasjonsmyndighet er opptatt av å sikre at brukere av elektronisk kommunikasjon tilgang til robuste, sikre og pålitelige elektroniske kommunikasjonsnett. Validering av DNS-svar er ett av flere virkemidler for å avverge at brukere og systemer blir ledet til feil nettadresser, for eksempel ved at en svindler forfalsker svar på domeneoppslag. De fleste større toppdomener i verden har innført DNSSEC, og ICANN stiller nå krav om at alle nye generiske toppdomener skal sikres. Det er i denne sammenheng veldig gledelig at.no leder an og ligger helt i verdenstoppen for innføring av DNSSEC. Dette vil bidra ytterligere til å styrke tilliten til.no som et nasjonalt toppdomene som er verdensledende på sikkerhet og stabilitet. DNSSEC og fremtiden hva kan bygges på en sikker infrastruktur? Den direkte effekten av DNSSEC er å sikre brukerne mot at domenenavnsystemet gir falske svar, men et sikkert domenenavnsystem fungerer også som en grunnmur som det kan bygges helt ny sikkerhetsfunksjonalitet på. Vi er vant med at vi kan bruke e-post trygt, også på flyplasser, nettkaféer og i gjestenett, fordi maskinene våre utveksler data med e-posttjeneren over en sikker, kryptert forbindelse som ingen mellommenn kan lytte på eller endre. På samme måte ser vi etter den grønne hengelåsen og HTTPS før vi overfører data som kredittkortnummer, brukernavn og passord til en nettside vi besøker. For at disse oppkoblingene skal være sikre, må maskinen vår autentisere at den snakker med riktig tjeneste, og utveksle den nødvendige kryptografiske informasjonen. Autentiseringen skjer stort sett ved bruk av sertifikater som er godkjent av autoriserte sertifikatutstedere. Problemet er at det er svært mange autoriserte sertifikatutstedere, og at de tilbyr varierende sikkerhetsnivå. Problemet er at det er svært mange autoriserte sertifikatutstedere, og at de tilbyr varierende sikkerhetsnivå. Samtidig har det manglet gode mekanismer for å fortelle brukerne hvilken utsteder som har lov til å lage sertifikater for en gitt tjeneste, eller hvilket sertifikat eller nøkkel den aktuelle tjenesten bruker. Google er en av aktørene som har opplevd problemer med dette. Det har vært flere tilfeller der det har blitt utstedt sertifikater for Googles domener som ikke har vært godkjent av Google 13. Slike uautoriserte sertifikater gjør det mulig for noen å kapre eller avlytte trafikk til tjenesten. Domenenavnsystemet tilbyr en mulig løsning på dette. Systemets hovedoppgave er å besvare hvilke IP-adresser en tjeneste under et domene har, men systemet kan også gi enkelte typer tilleggsinformasjon, som for eksempel hvilken sertifikatutsteder som har lov til å gi ut sertifikater for en tjeneste 14. Sikring med DNSSEC gjør at brukerens maskin kan stole på denne informasjonen istedenfor å måtte godta alle autoriserte sertifikatutstedere. 7

8 Denne muligheten er særlig aktuell i Norge, siden vi både ligger langt fremme når det gjelder utbredelse av DNSSEC, og at internett i stor grad brukes til samfunnsviktige tjenester. Det offentlige har et stort antall nettbaserte tjenester for kommunikasjon med innbyggerne. Så langt er det bare rundt ni prosent 15 av disse nettstedene som bruker HTTPS, men Nasjonal sikkerhetsmyndighet anbefaler at alle sikres på denne måten, og at det brukes sertifikater fra utstedere som er underlagt norsk lov 16. Behovet for at offentlige nettsteder på en sikker måte kan kommunisere hvilke sertifikatutstedere de bruker, er dermed i høyeste grad til stede. I fremtiden kan distribusjon av sikker informasjon om tjenester via domenenavnsystemet også åpne for sertifikatbruk for tjenester som i dag ikke har dette alternativet, som for eksempel e-post. Programvare for e-postkontor som tar dette i bruk er allerede satt i produksjon. Fra teori til praksis noen verktøy for å sjekke egen DNSSEC-sikring Sjekk om et norsk domene er sikret med DNSSEC. Skriv inn domenet og se om DNSSEC-testen nederst blir grønn. Grått resultat betyr at det ikke er sikret. Finn en domeneforhandler som kan sikre dine domener med DNSSEC. Velg at bare forhandlere som tilbyr DNSSEC skal vises. Sjekk om dine domeneoppslag valideres.

9 Kilder: 1 Kilde: 2 Kilde: Norid. Analyse av innhold under.no-domener (utført av Dataprovider, september 2016) 3 Kilde: CENTR, og (sammenlikningen gjøres mellom toppdomener med mer enn tusen domenenavn) 4 Kilde: (tall fra 1. desember 2016) 5 Kilde: CENTR 6 (tall fra 2. desember 2016) 7 Kilde: og (tall fra 1. desember 2016) 8 Kilde: (tall fra 1. desember 2016) 9 Kilde: (data fra 5. desember 2016) 10 Kilde: Norid. Tall fra 2. desember Offentlig forvaltning er i dette tilfellet definert som organisasjoner med følgende organisasjonsformer i Enhetsregisteret: statsforetak, fylkeskommune, kommunalt foretak, staten, fylkeskommunalt foretak, organisasjonsledd, interkommunalt selskap, kommune, annet foretak iflg. særskilt lov, eller kirkelig fellesråd. En liknende analyse ble gjort av NRK i mars 2016: no/dokumentar/offentlige-nettsteder-bakpa-ogsa-innen-andre-sikkerhetsstandarder Kilde: (data hentet 5. desember 2016) 12 Kilde: (data hentet 5. desember 2016) 13 Kilde: og og 14 Kilde: Les mer om denne bruken av DNSSEC: 15 Kilde: (anbefaling 12. mai 2016) 7