Registrar Scorecard H2 2018

Maat: px

Weergave met pagina beginnen:

Download "Registrar Scorecard H2 2018"

Hanne de Coninck
5 jaren geleden
Aantal bezoeken:

2 Registrar Scorecard H Webinar 3 juli 2018

Agenda 16:00 16:05 Welkom Michiel Henneke (marketingmanager SIDN)

(relatiebeheerder) 16:10 16:25 Nieuwe dashboard + nieuwe incentive

e-mailstandaarden Marco Davids (technisch adviseur SIDN) 16:40 16.

3 Agenda 16:00 16:05 Welkom Michiel Henneke (marketingmanager SIDN) 16:05 16:10 Resultaten incentives Sebastiaan Assink (relatiebeheerder) 16:10 16:25 Nieuwe dashboard + nieuwe incentive Sebastiaan Assink & Michiel Henneke 16:15 16:40 Moderne standaarden Marco Davids (technisch adviseur SIDN) 16: Budgetverdeling Sebastiaan Assink 16:45 17:00 Uitloop + mogelijkheid tot stellen van vragen

4 Resultaten incentives Sebastiaan Assink

5 Resultaten incentives Incentives Start bij start Eind 2017 Huidige stand DPO: Actief gebruik Netto groei start medio ,1% 1% 22,6% 0,85% 21,4% 0,3% DNSSEC start medio ,32% ,27% ,16% IPV6 start medio ,7% ,8%% ,38% Datakwaliteit Adres Tel Start medio %* 80,9% 84% 84,8% 80,7% 84,9% 85,9%

6 Nieuwe dashboard, nieuwe incentive Sebastiaan Assink & Michiel Henneke

7 Informatieve meters (1) Datakwaliteit blijft beschikbaar op dashboard Maximale score zichtbaar

8 Informatieve meters (2) Nieuwe abuse-meter beschikbaar

9 Incentive overzicht H Duurzame Portfolio Optimalisatie, DPO (ongewijzigd) Let op: vergeet niet only aan te leveren! IPV6 (ongewijzigd) DNSSEC, de incentive wordt verlaagd. Komende tijd onderzoek naar incentive op validatie DNSSEC Datakwaliteit komt te vervallen, maar ge-update informatie blijft beschikbaar op dashboard Nieuwe incentive: veilige standaarden, DMARC, SPF, DKIM en starttls

10 IPv6 uitkering Uitkering op domeinnamen waarvan nameserver, webserver en/of server via (IPv4 en) IPv6 te bereiken zijn Basisprincipe: alles wat via v4 werkt, moet ook via v6 werken. En er moet minstens íets actiefs gebeuren op de domeinnaam: web of . Minimaal twee nameservers via Ipv6 bereikbaar. Als webserver via v4 bereikbaar is, moet v6 ook bereikbaar zijn. Als server via v4 bereikbaar is, moet v6 ook bereikbaar zijn. Is v4 niet bereikbaar, dan hoeft v6 ook niet bereikbaar te zijn. Hierbij geldt dat wel minstens één van beide (web of ) moet werken.

11 IPv6 rekenmethodiek rekenmethodiek conform DNSSEC rekenmethodiek Per (via IPv6 bereikbare) domeinnaam: 0,10 Registrar IPv6 d.o.b. uitkering Registrar * 0,10 = 2.000,- Registrar * 0,10= 500,-

12 DNSSEC incentive DNSSEC percentages 49,45% ( ) van de actieve domeinnamen heeft DNSSEC 49,59% ( ) van de webshops, forum, blog en business websites heeft DNSSEC 40,6% (80.199) van de webshops gebruikt DNSSEC 52,15% van de gehele.nl-zone heeft DNSSEC De verwachting is dat de groei niet gaat toenemen met de huidige incentive; in H samen met registrars en andere partijen onderzoeken hoe we validatie verder kunnen stimuleren Vanaf 2019 maken we mogelijk extra budget beschikbaar DNSEC validatie Huidige DNSSEC-incentive verlaagd

13 Moderne standaarden Marco Davids

16 Klassieke SMTP is kwetsbaar Plain text, dus gemakkelijk mee te lezen Geen afzender-validatie, dus gemakkelijk als ander voor te doen Geen inhoud-validatie, dus gemakkelijk te manipuleren Geen verzender-validatie, iedereen kan zich als verzender voordoen

17 Gevolgen Heel veel spam ( 50-98% ) Phishing (= geld stelen ) Malware ( = ergernis en andere ellende ) Ransomware ( = is geld aftroggelen )

18 Recent voorbeeld

19 Recent voorbeeld

20 Antwoord: DKIM, DMARC en SPF en STARTTLS Mailflow:

21 Aanpak: SPF, DKIM, DMARC, STARTTLS

22 SPF (Sender Policy Framework) Werking: Het SPF-record is een TXT-record in het DNS In het SPF-record staat aangegeven welke systemen mail mogen sturen voor het betreffende domein:

23 SPF (Sender Policy Framework) Mailflow: SPF

24 SPF (Sender Policy Framework) Voordelen: Minder valse mail Betere controle over mailstromen, betere reputatie Aandachtspunt: Forwarding kan problemen geven (vandaar softfail )

25 DKIM (DomainKeys Identified Mail) Werking: In het DNS staat een publieke sleutel (TXT-record) Verzendende MTA beschikt over een private sleutel Verzendende MTA voegt DKIM-header toe aan uitgaande s Ontv. MTA kan deze header controleren m.b.v. publieke sleutel DKIM is een authenticatie techniek die de ontvanger toestaat om te verifiëren of de echt verstuurd (en dus geautoriseerd) is door de eigenaar van het domein. En of deze in oorspronkelijke staat aankomt.

26 DKIM (DomainKeys Identified Mail) Mailflow: DKIM

27 DKIM (DomainKeys Identified Mail)

28 DKIM (DomainKeys Identified Mail) Voordelen: Verminderde kans op spoofing Verminderde kans op onderweg muteren van Betere reputatie Aandachtspunten: Grotere beheerlast Toevoegingen door bijvoorbeeld mailinglists gooien roet in het eten

29 DMARC (Domain-based Message Authentication, Reporting and Conformance) Werking: Het DMARC-record is een TXT-record in het DNS In het DMARC-record staat een policy aangegeven domein:

30 DMARC (Domain-based Message Authentication, Reporting and Conformance) Mailflow: DMARC

31 DMARC (Domain-based Message Authentication, Reporting and Conformance) Voordelen: Invloed op foute mail (weigeren, of in spamfolder bijv.) Identifier alignment Feedback-rapporten Betere reputatie Aandachtspunten: Grotere beheerlast (met name rapporten) Ontvangende kant kan overrulen Privacy-issue in het ruf-rapport

32 STARTTLS Werking: Ontvangende MTA geeft aan deze mogelijkheid te ondersteunen Verzendende MTS vraagt vervolgens om deze mogelijkheid Verkeer zal via TLS worden versleuteld

33 STARTTLS Mailflow:

34 STARTTLS Voordeel: verkeer is versleuteld, dus moeilijker af te luisteren Tekortkoming: Is opportunistic (oplossing: DANE, RFC7672 en/of MTA-STS Check de nieuwe factsheet van het NCSC over DANE+STARTTLS.

35 In combinatie met elkaar

36 In combinatie met elkaar Leestip:

37 In combinatie met elkaar (nog eens) Bron:

of mail hoeven te ontvangen In dat geval ook Null MX -record toevoegen (RFC7505)

38 En als ik nooit mail? DKIM/DMARC/SPF-settings zijn ook nuttig voor domeinnamen die nooit zullen mailen of mail hoeven te ontvangen In dat geval ook Null MX -record toevoegen (RFC7505) MX 0. TXT "v=spf1 -all TXT "v=dkim1; p=" TXT "v=dmarc1; p=reject"

39 Samenvattend Klassieke is een probleem Er zijn nieuwe standaarden die hier een oplossing bieden. Deze standaarden zijn volwassen genoeg voor deployment Ze worden (m.u.v. DANE) dan ook al grootschalig toegepast Maar nog meer is altijd beter Samen kunnen we veiliger maken!

40 Bedankt voor de aandacht! Check het op:

41 Budgetverdeling Sebastiaan Assink

42 Veilige meetmethodiek (1) StartTLS: MX-record: eerst ontdubbelen op IP-adres Check of StartTLS wordt ondersteund Per mailserver resultaat opslaan, voorkomen van onnodig verkeer en blacklisting SPF: TXT-record van de apex opvragen, 7 scenario s mogelijk: 0: none; geen SPF 1: pass; accepteert altijd alle 2: fail; harde fail, accepteert het bericht niet als verzender niet in de lijst staat 3: soft fail; accepteert het bericht, maar markeert dit als verdacht 4: neutral; accepteert het bericht, maar valideert het bericht niet 5: permanent error: fout 6: temporary error: fout

43 Veilige meetmethodiek (2) DKIM: controle op de (onbekende) selector Voorbeeld: $eenlabel._domainkey.example.nl Empty non-terminal (_domainkey) aanwezig (NO DATA): dan aanname dat DKIM er is Indien niet aanwezig (NX DOMAIN): dan aanname dat er geen DKIM is DMARC: controle op _dmarc.example.nl Eenvoudig te meten Let op: heb je SPF all ingesteld? Dan moet je p=reject of p=quarantaine. DKIM in dat geval niet noodzakelijk Syntactisch juist, policy juist? Dan een incentive

44 Veilige meetmethodiek (3) Starten met STARTTLS en DMARC (ongeacht policy) We willen daarna doorgroeien naar een strakkere policy voor DMARC We belonen op DMARC en niet specifiek op DKIM en SPF omdat deze twee randvoorwaardelijk zijn voor een goede DMARC implementatie Zie voor uitgebreide uitleg Vergeet je niet aan te melden voor de SIDN Academy: beveiliging

45 Financieel overzicht incentives H Duurzame portfolio-optimalisatie (DPO) Incentive per domein 0,05 (max ,- per registrar) IPv6 Incentive per domein 0,10 DNSSEC Incentive per domein Volgt binnenkort beveiliging StartTLS 0,02 DMARC (vooralsnog ongeacht policy) 0,08 Incentive per halfjaar, uitbetaling in januari 2019

46 Minimale duur per incentive Incentives H H H H H DPO DNSSEC IPV6 onderzoek naar incentive op dnssec validatie Veilige

47 Zijn er nog vragen?

48 Dank voor jullie aandacht!

Vergelijkbare documenten

Moderne standaarden Veiliger

Moderne standaarden Veiliger Moderne E-mailstandaarden Veiliger e-mail Marco Davids RealHosting Partner Event 11 oktober 2018 http://www.internetlivestats.com/one-second/#email-band Klassieke SMTP is kwetsbaar Plain text, dus gemakkelijk