Domännamnssystemet, DNS, översätter ett namn som exempel.se till den tekniska adress som webbläsare, e-postservrar och andra tjänster behöver. Om ett DNS-svar manipuleras kan trafik i värsta fall styras mot fel system. DNSSEC är utvecklat för att göra just den delen av infrastrukturen mer motståndskraftig.

Internetstiftelsen beskriver DNSSEC som en funktion där DNS-poster signeras med kryptografiska nycklar. Syftet är att mottagaren ska kunna verifiera att svaret kommer från rätt källa och inte har ändrats under överföringen.

Vad DNSSEC faktiskt skyddar

DNSSEC ger autenticitet och integritet för signerad DNS-data. En validerande resolver kan kontrollera signaturkedjan från toppdomänen ner till den aktuella domänen. Det gör det betydligt svårare att lyckas med attacker där falska DNS-svar försöker ersätta de riktiga.

För företag är det relevant eftersom samma domän ofta används för webb, e-post, API:er, inloggning och andra affärskritiska tjänster. Ett fel eller en manipulation i DNS-lagret kan därför påverka flera system samtidigt.

Vad DNSSEC inte ersätter

DNSSEC krypterar inte webbtrafiken. HTTPS och TLS behövs fortfarande för att skydda kommunikationen mellan användare och webbserver. DNSSEC ersätter inte heller MFA, e-postautentisering, brandväggar, säkra lösenord eller övervakning.

Det är därför bäst att se DNSSEC som ett lager i en större säkerhetsmodell, inte som ett komplett skydd för domänen.

Införandet kräver ordning på nycklar och DS-poster

När en domän signeras publiceras kryptografiska signaturer i DNS-zonen. För att kedjan ska kunna verifieras behöver rätt DS-post finnas hos registry eller registrar. Om nycklar roteras men DS-informationen inte följer med kan domänen bli svår eller omöjlig att slå upp för användare som validerar DNSSEC.

Internetstiftelsen har stöd för automatiserad DNSSEC för .se och .nu genom CDS. Där kan DNS-operatören publicera en CDS-post som används för att uppdatera DS-informationen i toppdomänen enligt en kontrollerad process.

Praktisk checklista för företag

  • Kontrollera vem som är registrar och vem som faktiskt driver DNS-zonen.
  • Verifiera att DNS-leverantören stöder DNSSEC och säker nyckelrotation.
  • Aktivera signering och kontrollera att DS-posten publiceras korrekt.
  • Testa domänen med en oberoende DNSSEC-validerare.
  • Dokumentera ansvar för nyckelbyte, DNS-flytt och incidenthantering.
  • Planera DNSSEC-flytten samtidigt som en eventuell DNS- eller registrar-migrering.

Var extra försiktig vid leverantörsbyte

Den största operativa risken uppstår ofta när DNS flyttas mellan leverantörer. Gamla och nya nycklar, namnservrar och DS-poster måste ändras i rätt ordning. Ett säkert arbetssätt är att dokumentera nuläget, sänka relevanta TTL-värden i god tid och följa leverantörernas rekommenderade rotationsprocess.

DNSSEC är alltså en relativt liten teknisk komponent med stor betydelse för domänens tillitskedja. För företag som redan arbetar strukturerat med HTTPS, e-postsäkerhet och identitetsskydd är det ett naturligt nästa lager att kontrollera.

Källor

Internetstiftelsen: DNSSEC förklarat
>Internetstiftelsen: Automatiserad DNSSEC