Uw DNS beveiligen: waarom en hoe
Voor elk bezoek aan een website raadpleegt uw apparaat een adresboek: de DNS. Een resolver kiezen die gevaarlijke domeinen filtert en de verzoeken versleutelt, is een van de eenvoudigste beschermingen om in te stellen.
Redactieteam van Kayzen Security4 min leestijd
De DNS in twee zinnen
Wanneer u de naam van een website intypt, vraagt uw computer aan een server, de DNS-resolver, het bijbehorende IP-adres. Standaard is die resolver vaak die van uw internetprovider, en het verkeer verloopt onversleuteld.
Omdat deze stap aan elke verbinding voorafgaat, is het een ideaal controlepunt: een resolver die phishing- of malwaredomeinen kent, kan de verbinding verhinderen nog voor ze tot stand komt.
Wat DNS-filtering blokkeert, en wat niet
Een filterende resolver vergelijkt elk opgevraagd domein met dreigingslijsten die voortdurend worden bijgewerkt. Als het domein als gevaarlijk bekendstaat, stuurt hij een blokkeringsantwoord of een verklarende pagina terug.
- Hij blokkeert: reeds geregistreerde phishingdomeinen, bekende commandoservers van malware, de categorieën die u kiest (bijvoorbeeld inhoud voor volwassenen in een gezin).
- Hij blokkeert niet: een pas aangemaakte valse site die nog niet op de lijsten staat, een kwaadaardig bestand op een USB-stick, oplichting per telefoon.
- Hij kan worden omzeild: een ervaren gebruiker kan van resolver veranderen, tenzij het apparaat beheerd wordt en de instelling vergrendeld is.
Verzoeken versleutelen: DoH en DoT
Twee openbare standaarden versleutelen het verkeer met de resolver: DNS over HTTPS (RFC 8484) en DNS over TLS (RFC 7858). Op openbare wifi voorkomen ze dat een derde de opgevraagde sites ziet of de antwoorden vervalst.
Recente systemen (Windows 11, macOS, iOS, Android) en de belangrijkste browsers kunnen een versleutelde resolver gebruiken. Let op: een browser die op zijn eigen resolver is ingesteld, negeert de filtering die op het systeem is geconfigureerd.
Een beschermende DNS instellen: de stappen
- Gezin: stel een filterende resolver in op uw modem als dat kan, of op elk apparaat (instelling ‘Privé-DNS’ op Android, configuratieprofiel op iPhone en Mac).
- Micro-onderneming: kies liever een centraal beheerde oplossing die hetzelfde beleid op alle werkplekken toepast, ook buiten kantoor, en die pogingen tot omzeiling meldt.
- Controleer het resultaat: een testdomein van uw resolver moet geblokkeerd worden; de gewone sites moeten normaal werken.
- Documenteer de keuze (welke resolver, welke categorieën geblokkeerd): informeer in een bedrijf de werknemers, want filtering valt onder het IT-reglement.
Vragen over privacy
De resolver ziet de lijst van geraadpleegde domeinen. Kies een dienst die zijn bewaarbeleid voor logbestanden, zijn locatie en zijn verwerkers publiceert. In een bedrijf moeten de filtering en de logbestanden het arbeidsrecht en de AVG respecteren: voorafgaande informatie van de werknemers, beperkte bewaartermijn, beperkte toegang.
Officiële bronnen
- ANSSI (nieuw tabblad) — Agence nationale de la sécurité des systèmes d'information — guides et publications
- IETF (nieuw tabblad) — RFC 8484 — DNS Queries over HTTPS (DoH)
- IETF (nieuw tabblad) — RFC 7858 — DNS over Transport Layer Security (DoT)
- CNIL (nieuw tabblad) — Commission nationale de l'informatique et des libertés
De genoemde bronnen worden door hun auteurs in hun oorspronkelijke taal gepubliceerd. Kayzen is niet verbonden aan een van deze organisaties.
Deze gids is informatief en algemeen. Hij vervangt geen juridisch advies en geen tussenkomst van een professional in IT-beveiliging.