Kan digitaal Nederland tegen een stootje?

Inzicht in de digitale infrastructuur

De Nederlandse samenleving is enorm afhankelijk van de digitale infrastructuur, en die afhankelijkheid wordt alleen maar groter. Zo laat het CBS zien dat in 2024 96,0% van de mensen in Nederland dagelijks het internet gebruikt, 10% meer dan 4 jaar geleden. Dat het hier niet alleen maar gaat om het bekijken van kattenplaatjes laat een ander cijfer zien: 92,2% heeft in de afgelopen 3 maanden minimaal 1 keer het internet gebruikt om online te bankieren. Gegeven het belang van de internetinfrastructuur voor de samenleving is het belangrijk dat deze infrastructuur een hoge beschikbaarheid heeft.

Het probleem dat wij zien is dat we als internetgemeenschap nog onvoldoende empirisch inzicht hebben in de weerbaarheid van het internet in Nederland. Wat we bijvoorbeeld wel weten is hoe redundant overheden in verschillende landen hun servers voor het Domain Name System (DNS) hebben uitgevoerd, maar nog niet welke weerbaarheidsmaatregelen organisaties in andere (vitale) sectoren nemen voor hun DNS-servers en hoe dat zit voor de hele .nl-zone. Dit is belangrijk, omdat we bijna alle onlinediensten die we dagelijks gebruiken benaderen via een domeinnaam. Onbeschikbare DNS-servers hebben dus directe gevolgen voor bijvoorbeeld het versturen en ontvangen van e-mail en de bereikbaarheid van de website.

Het doel van ons onderzoek is dat inzicht te verhogen, specifiek vanuit ons perspectief als technisch expert op het gebied van het DNS en andere core-internetinfrastructuur. We zien ons werk als een eerste stap naar het ontwikkelen van een verzameling methodes om doorlopende geautomatiseerde weerbaarheidsanalyses voor de digitale infrastructuur in Nederland uit te voeren.

Maatregelen voor de beschikbaarheid van DNS-servers

De DNS-community heeft een breed scala aan technieken ontwikkeld om de beschikbaarheid van DNS-servers te maximaliseren. We noemen er hier 3 die bewezen zeer effectief zijn om de weerbaarheid te verhogen en labelen ze A, B en C:

• Maatregel A DNS-servers moeten in verschillende netwerken staan. Dit voorkomt dat een dienst onbeschikbaar raakt door een storing bij 1 netwerk. Zo raakten in 2021 alle DNS-servers van Facebook onbeschikbaar omdat ze in hetzelfde netwerk stonden, dat onbereikbaar werd door een BGP-storing. Als de DNS-servers in andere netwerken hadden gestaan, dan waren in ieder geval de DNS-servers in de andere netwerken nog bereikbaar geweest in dit scenario.

• Maatregel B De DNS-servers van 1 domeinnaam moeten IP-adressen hebben die uit meer dan 1 IP-prefix komen. Als 2 servers zich in dezelfde IP-prefix bevinden, dan duidt dat er vaak op dat ze infrastructuur delen. Als de 2 servers bijvoorbeeld in hetzelfde datacentrum hangen, dan kan een stroomstoring ertoe leiden dat beide alsnog offline gaan. Verder kan een BGP-hijack op die specifieke IP-prefix er ook voor zorgen dat beide DNS-servers niet meer bereikbaar zijn.

• Maatregel C DNS-servers moeten idealiter gebruikmaken van anycast, waarmee ze op verschillende plekken op het internet via hetzelfde IP-adres kunnen worden benaderd. Hierdoor is de dienst bijvoorbeeld beter bestand tegen DDoS-aanvallen en locatiegebonden storingen.

In de rest van dit artikel onderzoeken in hoeverre organisaties in Nederland gebruikmaken van deze 3 maatregelen. Andere maatregelen laten we buiten beschouwing, zoals het opvangen van DDoS-aanvallen (bijvoorbeeld via de NaWas) of het beveiligen van netwerken tegen zogenoemde routing hijacks. We gebruiken hierna de vakterm Autonoom Systeem (AS) in plaats van netwerk.

Gebruikte meetmethode en datasets

Voor onze metingen nemen we de domeinnamen van 700 organisaties onder de loep en kijken we welke van de 3 maatregelen de organisaties hebben genomen om de beschikbaarheid van de publieke DNS-servers, mailservers en webservers te verhogen die aan domeinnamen van de organisaties gekoppeld zijn. Een vergelijkbare analyse doen we met alle 6.2 miljoen domeinnamen onder het .nl-topleveldomein.

Om een brede weerspiegeling van digitaal Nederland te bereiken maken we voor onze metingen gebruik van 5 datasets:

• .nl-zonefile Als operator van het .nl-topleveldomein heeft SIDN een overzicht van alle .nl-domeinnamen. De .nl-domeinnamen waaraan nameservers gekoppeld zijn staan in een zogenaamde zonefile, die SIDN beheert. De zonefile is alleen beschikbaar voor SIDN en onze onderzoekspartners.

• EW-magazine Top 500 Voor een overzicht van Nederlandse bedrijven en organisaties maken we gebruik van de Top 500 van bedrijven samengesteld door EW-magazine.

• CrUX-lijst De Chrome User Experience Report (CrUX) van Google verzamelt websites die vaak worden bezocht door gebruikers van hun Google Chrome-browser om websites een populariteitsrating te geven. CrUX onderscheidt 6 categorieën: de top 1.000, 5.000, 10.000, 50.000, 100.000 en 500.000 van meest populaire websites.

• Webregister overheidswebsites Zoals in ons onderzoek van 2022 hebben we gebruikgemaakt van het publieke websiteregister van de Rijksoverheid om domeinnamen van de (Rijks)overheid in kaart te brengen.

• Eigen lijsten Tot slot hebben we zelf verschillende lijsten gemaakt van organisaties in bepaalde sectoren met grote maatschappelijke relevantie, bijvoorbeeld banken en onderwijsinstellingen.

Een beperking van onze meetmethode is dat we alle domeinnamen van een organisatie als even belangrijk beschouwen. We meten bijvoorbeeld niet of een domeinnaam leidt naar een inlogportal waarvan de onbeschikbaarheid een direct effect zou hebben op websitebezoekers en bedrijfsprocessen. Individuele organisaties kunnen dit beter inschatten dan wij, al zouden we enkele heuristieken toe kunnen passen, zoals de aan- of afwezigheid van een loginvenster. Dit is een mogelijk onderwerp van toekomstig werk.

Resultaat 1: veel .nl-domeinnaambeheerders nemen beschikbaarheidsmaatregelen, maar het kan nog beter

In figuur 1 laten we zien voor hoeveel .nl-domeinnamen binnen elk van de 6 CrUX- categorieën gebruik wordt gemaakt van 1 of meer van de 3 maatregelen om de beschikbaarheid van hun DNS-servers te verhogen. Alle .nl-domeinnamen die niet in de CrUX-lijst staan tellen we bij de laatste groep (500.000+).

Figuur 1: Aantal genomen maatregelen om de weerbaarheid van de DNS-servers van .nl-domeinnamen te verhogen, gesorteerd naar populariteit.

We zien dat voor populairdere websites met .nl-domeinnamen meer maatregelen worden genomen om de weerbaarheid te verhogen. Voor meer dan 70% van de 1.000 meest populaire domeinnamen zijn bijvoorbeeld 2 of meer maatregelen getroffen, maar dit aandeel wordt minder naarmate de populariteit afneemt.

Opvallend is dat domeinnamen die helemaal niet voorkomen in de CrUX-lijst relatief goed scoren. Dat klinkt paradoxaal, maar is te verklaren door de hoge concentratie van domeinnamen bij een paar DNS-dienstverleners die vaak gebruikmaken van anycast (figuur 2).

Figuur 2: Genomen maatregelen gesorteerd naar populariteit (IPv4).

Figuur 2 laat zien dat voor populaire domeinnamen minder vaak gebruikgemaakt wordt van meerdere DNS-dienstverleners (maatregel A). Minder dan 30% van de 1.000 meest populaire domeinnamen maakt gebruik van deze maatregel. Aan de andere kant maken deze dienstverleners relatief vaak gebruik van anycast (maatregel C) om de weerbaarheid van hun DNS-servers te verhogen. Tegelijkertijd wordt het hoge aantal minder populaire domeinnamen met DNS-servers in 2 of meer AS’en sterk beïnvloed door DNS-servers die in AS’en staan die door dezelfde aanbieder worden beheerd. Het goede nieuws is dat de DNS-servers van .nl-domeinnamen voor een groot deel verspreid zijn over verschillende IP-prefixen, bijna onafhankelijk van hun populariteit (maatregel B).

Resultaat 2: weerbaarheid van de grootste Nederlandse bedrijven

Grote Nederlandse bedrijven hebben niet automatisch een website die op de CrUX-lijst staat, maar de onbeschikbaarheid van hun domeinnamen kan hele bedrijfsprocessen verstoren, bijvoorbeeld van e-mailcommunicatie.

Figuur 3 laat zien welke maatregelen de 500 grootste bedrijven gebruiken om de weerbaarheid van hun domeinnamen te verhogen. Statistieken over de genomen maatregelen voor DNS-servers bereikbaar via IPv6 staan in de bijlage.

Figuur 3: Genomen maatregelen om de weerbaarheid van de domeinnamen van de 500 grootste bedrijven van Nederland te verhogen (IPv4).

Hier valt op dat voor de DNS-servers van minder dan 50% van de domeinnamen meer dan 1 maatregelen is genomen – significant minder dan voor de meest populaire domeinnamen op de CrUX-lijst. Een verklaring zou kunnen zijn dat populaire domeinnamen op de CrUX-lijst vaak verwijzen naar onlinediensten, bijvoorbeeld een webshop. Voor dit soort diensten is het mogelijk meer van belang om 100% online te zijn dan voor bijvoorbeeld een tuinbouwer op de Elsevier Top 500, waarvan de website ‘slechts’ een visitekaartje is.

Resultaat 3: de weerbaarheid van sectoren varieert

We onderzochten ook de weerbaarheid van domeinnamen binnen bepaalde maatschappelijk relevante sectoren. Figuren 4 en 5 laten bijvoorbeeld de domeinnamen van ziekenhuizen en domeinnamen van de (Rijks)overheid zien. Statistieken over andere sectoren (banken, onderwijs en transport) lichten we toe in de bijlage.

Figuur 4: Genomen maatregelen om de weerbaarheid van de domeinnamen van ziekenhuizen te verhogen (IPv4).

In figuur 4 zien we dat maar iets meer dan 40% van de domeinnamen van ziekenhuizen gebruikmaakt van DNS-servers waarvoor 2 of meer maatregelen genomen zijn. Voor geen van hun DNS-servers wordt gebruikgemaakt van anycast.

Hier tegenover staan de domeinnamen van de (Rijks)overheid waarvan meer dan 70% gebruikmaakt van DNS-servers waarvoor 2 of meer maatregelen genomen zijn (figuur 5). Hier valt vooral op dat veel domeinnamen gebruikmaken van DNS-servers die verspreid staan over 2 of meer AS’en.

Figuur 5: Genomen maatregelen om de weerbaarheid van de domeinnamen van de overheid te verhogen (IPv4).

Ons beeld: een mixed bag

In deze eerste studie hebben we de weerbaarheid van digitaal Nederland empirisch in kaart gebracht op basis van metingen. Organisaties in Nederland lijken veelal actief aandacht te besteden aan maatregelen die de weerbaarheid van hun DNS-servers verhogen, maar we lieten ook zien dat eigenaren van domeinnamen vaak meer kunnen doen, bijvoorbeeld in de ziekenhuissector. Hoewel wij met onze meetstudie maar een klein deel van digitaal Nederland onderzochten (DNS-services) hopen we dat het een bijdrage levert aan het verhogen van de weerbaarheid ervan.

Test jezelf!

Wil je zelf testen hoe weerbaar de (DNS-)infrastructuur van jouw organisatie is? Download dan onze commandlinetool. Het is op dit moment nog wat technisch, dus vraag eventueel een IT-collega om hulp.

Tot slot horen we graag wat je van ons werk vindt. Bij brede interesse overwegen we om onze testtool gemakkelijker in gebruik te maken.