10.1.2020

Käyttääkö organisaatiosi .fi-päätteistä verkkotunnusta ja siihen liitettyjä sähköpostiosoitteita? Sitten olette onnekkaita. Suomen ohella vain muutamassa maassa verkkoliikenteen turvallisuuteen on panostettu yhtä paljon. Traficomin vertailu paljasti, että jo lähes 90% fi.-verkkotunnusten välittäjistä ja hostaajista hyödyntää verkkoliikenteen suojaamisessa DNSSEC-tietoturvalaajennusta.

Lyhenne tulee nimestä Domain Name System Security Extensions. DNSSEC on tietoruvaratkaisu, joka suojaa nimipalvelinta kyberhyökkäyksiltä. Se varmistaa myös verkkosivuja hostaavan palvelimen luotettavuuden ja palvelimella olevan verkko-osoiteen aitouden. Käytännössä DNSSEC tarkistaa, että nimipalvelukyselyihin saadut vastaukset tulevat oikealta, luotettavaksi todetulta lähettäjältä eikä vastaustietoja ole muokattu. DNSSEC:n avulla nimipalvelikyselyt palautuvat digitaalisesti allekirjoitettuina.

Olet ehkä joskus joutunut tilanteeseen, jossa halusit tietylle .fi-päätteiselle sivulle, mutta sivuille ohjautumisen sijaan olet saanut varoitusikkunan: ”lähettäjän digitaalista allekirjoitusta ei pystytä varmentamaan”. Joitakin vuosia sitten, ennen GDPR:n asettamaa SSL /TLS-salausvaatimusta, tilanne oli melko yleinen.

DNSSEC-ratkaisu takaa, että pääset juuri sille verkkosivulle, jolle aioit. Kun kirjoitat mobiiliselaimesi osoiteriville rekisteröidyn .fi-päätteisen osoitteen, päädyt varmasti halutulle sivulle. Muiden verkkopäätteiden osalta tilanne ei ole yhtä varma. Verkkorikolliset hyödyntävät muun muassa näppäilyvirheitä ja ison / pienen -kirjaimen eroja ohjatakseen uhrin tietojenkalastelu- tai muulle haittasivulle.

DNSSEC todentaa sekä nimipalvelimen että sähköpostin lähettäjän. Virallisia .fi-päätteisiä sähköpostiviestejä voi siis huoletta klikata – olettaen, että lähettäjä on huolehtinut muusta tietoturvasta. DNSSEC-ratkaisu ei yksin autuaaksi tee. Vastuu tietoturvasta on luonnollisesti myös verkkosivujen haltijoilla ja verkkoa käyttävillä. Traficom neuvoo pitämään ajan tasalla, mm.:

• laitteiden käyttöjärjestelmät
• palomuurin
• virustorjuntaohjelmat
• muiden ohjelmien tietoturvapäivitykset

Internetissä tieto liikkuu data-, eli numeerisina paketteina, ja internetin toiminta on riippuvainen verkkotunnusjärjestelmä DNS:stä (Domain Name System). Jokainen vierailtu verkkosivu, jokainen lähetetty sähköposti, jokainen sosiaalisesta mediasta haettu kuva käyttää DNS:ää kääntäessä ihmisystävälliset verkkotunnukset, kuten minunyritys.fi, numeeriseen muotoon. Palvelimet, reitittimet ja muut verkkolaitteet tarvitsevat tätä tietoa liikenteen reitittämiseen Internetin kautta oikeaan määränpäähän.

Määränpää on nimipalvelin. Nimipalvelussa jokaisella verkkotunnuksella on oma, ainutlaatuinen IP-osoite. Esimerkiksi kuvitteellisen minunyritys.fi todellinen sijainti on IP-osoitteessa 92.287.239.35, vaikka verkossa se näkyy minunyritys.fi -sivustona.

Käytännössä DNSSEC vahvistaa verkkotunnusjärjestelmässä tapahtuvaa aitouden todennusta käyttämällä julkisen avaimen salaukseen perustuvia digitaalisia allekirjoituksia. Jotta DNSSEC-lisäturva on mahdollinen, verkkopalvelujen tarjoajien täytyy kytkeä toiminto resolverinimipalvelimissaan päälle.

Liikenne- ja viestintävirasto mahdollisti ilmaisen DNSSEC:in käytön fi-juurinimipalvelussa vuonna 2011. Siitä lähtien verkkotunnusvälittäjät ovat voineet hyödyntää tekniikkaa asiakkaiden nimipalvelimien turvaamiseen. DNSSEC on suomalaisille verkkotunnusvälittäjille ilmainen. Traficom tarjoaa ohjeet käyttöönottoon.

Laajempaa statistiikkaa ja kartta DNSSEC-tietoturvalaajenusta käyttävistä maista löytyy täältä.