Spook DNS records of ‘dangling DNS records’
Een spook DNS record is een technisch probleem waarbij een nameserver verwijst naar een domein dat niet langer geregistreerd is. Dat klinkt misschien abstract, maar het kan ernstige gevolgen hebben voor de veiligheid van je domeinnaam.
De DNS-instellingen lijken dus nog te functioneren, maar in werkelijkheid verwijzen ze naar domeinen (nameserver records) die niet meer bestaan. Ze vormen een risico omdat iemand anders die domeinen kan registreren en zo controle kan krijgen over jouw domeinnaam. In technische termen heet dat ‘dangling DNS records’.
Technisch perspectief toegelicht
In het domain name system delegeren nameserver-records de verantwoordelijkheid voor een domein of subdomein aan een specifieke nameserver. Deze records zijn meestal te vinden in het DNS-zonebestand en volgen een formaat zoals: dnsbelgium.be IN NS ns1.notregistered83u48.net.
Deze regel vertelt resolvers dat DNS-verzoeken voor dnsbelgium.be moeten worden doorgestuurd naar ns1.notregistered83u48.net.
Als notregistered83u48.net niet geregistreerd is, ontstaat er een beveiligingsrisico. Een aanvaller zou notregistered83u48.net kunnen registreren en ns1.notregistered83u48.net configureren dat het naar zijn eigen infrastructuur wijst. Op die manier kan hij DNS-antwoorden voor dnsbelgium.be onderscheppen, wijzigen of vervalsen.
Wat kan er misgaan?
Als iemand controle krijgt over een nameserver die aan jouw domeinnaam gekoppeld is, kan die persoon:
- Verkeer omleiden naar een valse website.
- Phishing of malware verspreiden via jouw domeinnaam.
- E-mails onderscheppen die naar jouw domein worden gestuurd.
- Reputatieschade veroorzaken voor jou of je organisatie.
Het is alsof je een wegwijzer plaatst naar een locatie, maar iemand anders neemt de bestemming over en verandert die in iets gevaarlijks - zonder dat jij het merkt.
Hoe ontstaan 'dangling DNS records'?
Dangling DNS records ontstaan vaak wanneer:
- Een nameserver record verwijst naar een domein dat intussen verlopen is. Als dit domein opnieuw wordt geregistreerd door een derde partij, kunnen zij mogelijk controle krijgen over je (sub)domeinnaam.
- Een domeinnaam niet (langer) actief gebruikt wordt waar nog steeds name servers aan gekoppeld zijn.
- Er bij het opzeggen van een domeinnaam geen grondige opruiming gebeurt van alle verwijzingen naar dit opgezegde domein.
💡 Ons advies: koppel geen name servers aan een domeinnaam die je niet actief beheert of gebruikt.
Hoe verhinder je dangling DNS records?
Afhankelijk van je situatie zijn er twee mogelijke acties:
- Je gebruikt je domeinnaam nog actief
Neem contact op met je hostingpartij of registrar en vraag om veilige en actuele nameserverinstellingen. Zo blijft je domeinnaam correct en veilig verbonden met je website of e-mail. - Je gebruikt je domeinnaam niet meer actief
Vraag om de huidige nameserverinstellingen te verwijderen. Je behoudt de domeinnaam, maar het risico op misbruik verdwijnt. Op onze website lees je ook hoe je op een veilige manier afscheid neemt van een domeinnaam.
Veelgestelde vragen
-
Als wij een kwetsbaarheid opmerken, ontvang je een e-mail met uitleg en instructies. Je kan ook zelf je nameserverinstellingen controleren via je registrar of hostingpartij.
-
Een domeinnaam is het adres van je website (zoals voorbeeld.be). Een nameserver is een soort telefoonboek dat vertelt waar je domeinnaam naartoe moet verwijzen. Als de nameserver verwijst naar een domein dat niet meer bestaat, ontstaat er een risico.
-
Ja, indirect. Als een frauduleuze partij controle krijgt over een nameserver die aan jouw domeinnaam gekoppeld is, kan die het verkeer omleiden of zelfs e-mails onderscheppen. De functies van je domeinnaam worden in dat geval overgenomen.
-
Ja. Ook als je je domeinnaam niet actief gebruikt, kunnen verouderde DNS-instellingen een risico vormen. Vraag je registrar om de nameserverinstellingen te verwijderen.
-
Laat je domeinnaam niet zomaar vervallen. Volg onze tips om op een veilige manier afscheid te nemen van je domeinnaam.
-
Wij beheren alle .be-domeinnamen en voeren regelmatig controles uit op kwetsbaarheden. We informeren jou en je registrar, maar de aanpassing zelf moet gebeuren via je hostingpartij of registrar.
-
Vanaf eind augustus brengen we dit probleem mogelijk breder onder de aandacht via onze website en de pers. We geven je nu de kans om actie te ondernemen vóór deze informatie publiek wordt.
Heb je verder nog vragen, dan staat onze supportdienst voor je klaar: support@dnsbelgium.be.
Zo werken het Domain Name System en DNS-records
-
Zo werken het Domain Name System en DNS-records
Het Domain Name System (DNS) is een cruciaal onderdeel van het internet. Het zorgt ervoor dat we om een website te bezoeken geen IP-adres hoeven te onthouden.