DNSSEC
- Onderdeel van
- Lijsten & Verwijzingen
- Contact
- NORA Beheer
- nora@ictu.nl
- Status
- Actueel
- Status is afgeleid van Status bij Forum Standaardisatie (Verplicht (pas toe leg uit))
- Naam
- DNSSEC
- ID
DNSSEC
- Type
- Versie
- RFC 4033, RFC4034, RFC4035
- Wijzigingsdatum
- Laag Vijflaagsmodel
DNS is kwetsbaar waardoor een kwaadwillende een domeinnaam kan koppelen aan een ander IP-adres ("DNS spoofing"). Gebruikers kunnen hierdoor bijvoorbeeld worden misleid naar een frauduleuze website. Domain Name System Security Extensions (DNSSEC) lost dit op.
DNSSEC is een cryptografische beveiliging die een digitale handtekening toevoegt aan DNS-informatie. Op die manier wordt de integriteit van deze DNS-informatie beschermd. Aan de hand van de digitale handtekening kan een internetgebruiker (onderwater en volledig automatisch m.b.v. speciale software) controleren of een gegeven DNS-antwoord authentiek is en afkomstig is van de juiste bron. Zodoende is met grote waarschijnlijkheid vast te stellen dat het antwoord onderweg niet is gemanipuleerd.
Verplichte standaard bij het investeren in ICT-systemen die gebruik maken van een DNS, zoals een website.
Conformiteitstest:Signing ("Is een domein beveiligd met DNSSEC?"): DNSSEC Analyser (Verisign). Validation ("Controleert mijn provider de validiteit van de DNSSEC-handtekening?") geïntegreerd in internet.nl.- Nut: Met DNSSEC kan de ontvanger de echtheid van de domeinnaaminformatie (waaronder IP-adressen) controleren. Dit voorkomt bijvoorbeeld dat een aanvaller het IP-adres ongemerkt manipuleert (DNS-spoofing) en daarmee verstuurde e-mails omleidt naar een eigen mailserver of gebruikers misleidt naar een frauduleuze website.
- Werking: Een domeinnaamhouder kan met DNSSEC een digitale handtekening toevoegen aan DNS-informatie. Aan de hand van deze handtekening kan een internetgebruiker (onderwater en volledig automatisch m.b.v. speciale software) de inhoud en de ontvangen DNS-informatie valideren. Hierdoor is met grote waarschijnlijkheid vast te stellen dat het antwoord van de DNS onderweg niet is gemanipuleerd door derden.
- Status op lijst van Forum Standaardisatie: Verplicht (pas toe leg uit)
Waar toepasbaar
- Functioneel toepassingsgebied: DNSSEC moet worden toegepast op alle overheidsdomeinnamen én op DNS-resolvers die clients van overheidsorganisaties direct of indirect van DNS-antwoorden voorzien.
- Organisatorisch werkingsgebied: Overheden en instellingen uit de (semi-) publieke sector
Meer informatie
- https://www.forumstandaardisatie.nl/standaard/dnssec, https://www.dnssec.nl/home.html
- https://datatracker.ietf.org/doc/rfc4033, https://datatracker.ietf.org/doc/rfc4034, https://datatracker.ietf.org/doc/rfc4035, https://www.ncsc.nl/documenten/factsheets/2019/juni/01/factsheet-beveilig-verbindingen-van-mailserversSpecificatiedocumenten:
- RFC 2132
- RFC 4034
- RFC 4035
- Beheerorganisatie: IETF
Toepassing in voorzieningen en bouwstenen
| Voorziening | Toelichting | Oordeel | Relevantie | Volgens bron | Gepubliceerd op |
|---|---|---|---|---|---|
| BGT (Basisregistratie Grootschalige Topografie) BRK (Basisregistratie Kadaster) WOZ (Basisregistratie Waarde Onroerende Zaken) BAG (Basisregistratie Adressen en Gebouwen) BRT (Basisregistratie Topografie) | voldoet | van toepassing | Monitor Open Standaarden 2024 | 29 januari 2025 | |
| BGT (Basisregistratie Grootschalige Topografie) BRK (Basisregistratie Kadaster) WOZ (Basisregistratie Waarde Onroerende Zaken) BAG (Basisregistratie Adressen en Gebouwen) | De website www.kadaster.nl ondersteunt DNSSEC (zie: https://internet.nl/domain/www.kadaster.nl/). | voldoet | van toepassing | Monitor Open Standaarden 2019 | 27 maart 2020 |
| BRO (Basisregistratie Ondergrond) | voldoet | van toepassing | Monitor Open Standaarden 2024 | 29 januari 2025 | |
| BRV (Basisregistratie Voertuigen) | voldoet | van toepassing | Monitor Open Standaarden 2024 | 29 januari 2025 | |
| Berichtenbox voor bedrijven | Gevalideerd | voldoet | van toepassing | Monitor Open Standaarden 2024 | 29 januari 2025 |
| DigiD | DNSSEC is doorgevoerd in de domeinen (DNS-zone) van DigiD en operationeel. Ook de mailservers voldoen aan de standaard | voldoet | van toepassing | Monitor Open Standaarden 2024 | 29 januari 2025 |
| DigiD Machtigen | Het domein machtigen.digid.nl voldoet aan DNSSEC. | voldoet | van toepassing | Monitor Open Standaarden 2024 | 29 januari 2025 |
| DigiInkoop | DigiInkoop voldoet aan DNSSEC (zie: https://internet.nl/mail/digiinkoop.nl/). | voldoet | van toepassing | Monitor Open Standaarden 2022 | 18 november 2022 |
| Digilevering | voldoet | van toepassing | Monitor Open Standaarden 2024 | 29 januari 2025 | |
| Digimelding | Voldoet | voldoet | van toepassing | Monitor Open Standaarden 2024 | 29 januari 2025 |
| Diginetwerk | De RijksDNS ondersteunt DNSSEC. De (Rijks)overheid organisaties die gebruikmaken van Diginetwerk zijn zelf verantwoordelijk voor de inrichting en gebruik van DNSSEC. | voldoet | van toepassing | Monitor Open Standaarden 2024 | 29 januari 2025 |
| Digipoort | DigiPoort is DNSSEC-compliant, zie bron. | voldoet | van toepassing | Monitor Open Standaarden 2024 | 29 januari 2025 |
| HR (Basisregistratie Handelsregister) | Het feit dat één mailserverdomein onveilig is, omdat deze niet ondertekend is met DNSSEC, wordt veroorzaakt door dat dit een Microsoft mailserver betreft. Microsoft ondersteunt DNSSEC al wel voor outbound emailverkeer maar nog niet voor inbound. Deze functionaliteit komt wel binnenkort beschikbaar maar de uitrol is vertraagd. Zie update van Microsoft van april 2024: We regretfully must delay the public preview for Inbound SMTP DANE with DNSSEC from March to May 2024 due to necessary security investments that were identified as part of a Private Preview. This extension allows us the opportunity to further enhance our service’s security measures, ensuring we meet the highest standards for our users. We appreciate your understanding and patience as we make these improvements. | gepland | van toepassing | Monitor Open Standaarden 2024 | 29 januari 2025 |
| MijnOverheid | MijnOverheid voldoet aan DNSSEC. | voldoet | van toepassing | Monitor Open Standaarden 2024 | 29 januari 2025 |
| Ondernemersplein | Dat een mailserverdomein onveilig is, door het ontbreken van DNSSEC-ondertekening, is bekend en dit wordt naar verwachting in Q3 2024 opgepakt. | gepland | van toepassing | Monitor Open Standaarden 2024 | 29 januari 2025 |
| Rijksoverheid.nl e-mail | Rijksoverheid.nl is ondertekend met DNSSEC (zie: https://internet.nl/mail/www.rijksoverheid.nl/). DPC biedt DNSSEC ook aan al haar klanten die domeinen via haar registrar-functie afnemen (zie: https://internet.nl/mail/rijksoverheid.nl/). | voldoet | van toepassing | Monitor Open Standaarden 2022 | 18 november 2022 |
| Samenwerkende catalogi | voldoet | van toepassing | Monitor Open Standaarden 2024 | 29 januari 2025 | |
| Standard Business Reporting (SBR) | De website van SBR (http://www.sbr-nl.nl) Voldoet zowel op het web als het maildomein aan DNSSEC. | voldoet | van toepassing | Monitor Open Standaarden 2019 | 27 maart 2020 |
| Stelselcatalogus | voldoet | van toepassing | Monitor Open Standaarden 2024 | 29 januari 2025 | |
| WOZ Waardeloket | WOZ-Waardeloket is DNSSEC-compliant. | voldoet | van toepassing | Monitor Open Standaarden 2024 | 29 januari 2025 |
| Website RDW.nl | De niet-gevoelige (technische) gegevens uit de BRV zijn te bevragen via www.rdw.nl. Alle .nl rdw domeinen zijn gesigned met DNSSEC. De diensten op (voertuig)gegevens draaien als microservices in de Azure cloud en het is bekend dat hierop geen DNSSEC en daarmee ook DANE mogelijk is. Inmiddels is Microsoft bezig om hier invulling aan te geven: Microsoft 365 Roadmap. | voldoet deels | van toepassing | Monitor Open Standaarden 2022 | 18 november 2022 |
| Beheervoorziening BSN BRP-V (BRP Verstrekkingsvoorziening) | De Beheervoorziening BSN en de BRP-V zijn DNSSEC-compliant. | voldoet | van toepassing | Monitor Open Standaarden 2024 | 29 januari 2025 |
| Doc-Direkt | voldoet | van toepassing | Monitor Open Standaarden 2024 | 29 januari 2025 | |
| DWR (Digitale Werkomgeving Rijksdienst) | DNSSEC is geïmplementeerd en alle domeinnamen die bij SSC-ICT in het ODC gehost worden voldoen aan DNSSEC. DNSSEC is echter nog niet beschikbaar bij al de cloudleveranciers; hier kan DNSSEC dus nog niet geïmplementeerd worden. | voldoet deels | van toepassing | Monitor Open Standaarden 2024 | 29 januari 2025 |
| ODC-Noord | ODC-Noord heeft sinds het onderzoek uit 2015 een eigen DNS ingericht, die DNSSEC gebruikt. | voldoet | van toepassing | Monitor Open Standaarden 2019 | 27 maart 2020 |
| Overheid.nl | voldoet | van toepassing | Monitor Open Standaarden 2024 | 29 januari 2025 | |
| P-Direkt | Op de Haagse ring maakt het netwerk van SSC-ICT, waar P-Direkt gebruik van maakt, geen gebruik van DNSSEC.
Ook hier geldt dat P-Direkt een afnemer is van een Rijksbrede dienstverlening en het initiatief voor het implementeren van DNSSEC bij de SSC-ICT ligt. DNSSEC is nog niet geïmplementeerd binnen SSC-ICT en dus ook niet op het P-Direkt Self Service portaal. Op de externe website www.p-direkt.nl is DNSSEC wel geïmplementeerd. | voldoet niet | van toepassing | Monitor Open Standaarden 2019 | 27 maart 2020 |
| PDOK | PDOK is DNSSEC-compliant. | voldoet | van toepassing | Monitor Open Standaarden 2024 | 29 januari 2025 |
| PKIoverheid | PKIoverheid maakt gebruik van DNSSEC. | voldoet | van toepassing | Monitor Open Standaarden 2024 | 29 januari 2025 |
| Rijksoverheid.nl | voldoet | van toepassing | Monitor Open Standaarden 2024 | 29 januari 2025 | |
| Rijkspas | Rijkspas communiceert momenteel nog niet via het publieke internet. De verbinding die daarvoor voorzien is, maakt wel gebruik van DNSSEC.
Voor communicatie binnen de Rijksoverheid wordt momenteel gebruik gemaakt van de Haagse Ring. Deze ondersteunt nog geen DNSSEC. De planning van 2017 is niet gehaald en is afhankelijk van de verhuizing naar het nieuwe data center. De verhuizing stond gepland voor Q1 2019 en staat nu gepland voor Q3 2019. | gepland | van toepassing | Monitor Open Standaarden 2019 | 27 maart 2020 |
| Rijksportaal | RFC4033, RFC4034 en RFC4035 zijn toegepast. | voldoet | van toepassing | Monitor Open Standaarden 2024 | 29 januari 2025 |
| TenderNed | voldoet | van toepassing | Monitor Open Standaarden 2024 | 29 januari 2025 | |
| ... meer resultaten | |||||
11 februari 2014 14:43:31
22 juli 2021 15:15:37
10
