Registrar / hosted DNS starten voor professionals

[LeonM]

Beste mede Tweakers,


Ik speel met het idee om een nieuwe domain registrar en DNS service provider te starten, gericht aan professionals en enterprise klanten, met focus om security en support.

Nou weet ik dat er al tal van hosting providers bestaan, en dat die deze diensten tegen stuntprijzen (soms zelfs gratis) aanbieden. Maar ik merk dat ik mij steeds meer en meer stoor aan de mate van onprofessionaliteit van de gemiddelde nederlandse registrar. Denk hierbij aan zaken als:

• Geen goede authenticatie methoden (2FA, authenticators, yubikey, etc) voor de beheeromgeving (denk aan de recente Fox-IT hack).
• Geen mogelijkheid tot upstream verwerking van DS records.
• Geen inzicht in de DNSSEC private key, en waar/hoe deze is opgeslagen (HSM? Plain text in een database?).
• Gebrek aan DNS features (bijvoorbeeld CAA, SSHFP, IPSECKEY records).
• Gebrek aan configureerbaarheid (bijvoorbeeld TTL of prioriteit van MX records).
• Geen optie tot private key beheer in een HSM.
• Slechte/gebrekkige/geen validatie van WHOIS gegevens.
• Slechte interface voor beheer.
• Vreemde limitaties (bijvoorbeeld maximaal 2 NS records, maximaal 10 records totaal, geen DNSSEC).
• Geen support voor domain transfers met behoud van DNSSEC (vaak wordt DNSSEC uitgeschakeld ten tijde van de transferperiode).
• Geen volautomatische zelf service systemen (maw: je hebt een medewerker nodig om bepaalde zaken te regelen).
• Downtime van de beheer interface en/of DNS servers (vrij recentelijk nog bij een DDoS van mijndomein).
• Laks / totaal gebrek aan security beleid bij de helpdesk, social engineering is te makkelijk.

Mijn gevoel is dat DNS services veelal als bijzaak zijn opgezet door de 'klassieke' hostingbedrijven en daarna te weinig aandacht hebben gekregen. Echter zijn de mogelijkheden van DNS steeds verder uitgebreid en is security in de laatste jaren ook steeds belangrijker geworden. Veel registrars / DNS service providers laten hier steken vallen in mijn ogen. DNS is een single point of failure, als een aanvaller toegang krijgt tot je DNS beheer kunnen ze MITM uitvoeren en zelfs certificaten kopen voor jouw domain (wederom, zie de Fox-IT hack)

Dus, ik wil een nieuwe domain registrar en DNS service provider opzetten, gericht aan professionals en enterprise klanten, met focus om security en support. Een aantal zaken die ik hierbij tenminste wil verbeteren t.o.v. de huidige aanbieders:

Voor de domain registrar:

• Volledige controle over de NS en DS records voor gebruik van eigen nameservers (of bijv Google Cloud DNS, Amazon Route 53)
• Ondersteuning verhuizen van domein met behoud van DNSSEC
• Validatie en beheer (waar toegestaan) van WHOIS data
• Mogelijkheid tot registrar locking, waar mogelijk
• Toegang via API

Voor de hosted DNS services:

• Volledige configureerbaarheid (alle record types en velden)
• Optie tot eigen beheer van de DNSSEC private key
• Optie (of altijd?) tot het opslaan van de DNSSEC private key in een HSM
• Account beheer (meerdere beheerders) en roles (bijvoorbeeld: alleen beheer van mail gerelateerde records)
• Mogelijkheid tot DNSSEC key-rotation wanneer jij dat wilt
• Toegang via API

En overige zaken zoals:

• Default 2FA en support van authenticators (Yubikey, Google authenticator, Ubiqu) voor de beheer paginas
• Een goede beheer UI
• Mogelijkheid tot facturatie via UBL
• Mogelijkheid tot SLA, 24/365 support voor enterprise klanten
• Volledige transparantie m.b.t security incidents, audits en post-mortems

Omdat dit de core business zal zijn (ik ben niet van plan hosting of andere diensten aan te bieden) en vanwege de extra security maatregelen (HSM's voornamelijk) zal de prijs voor deze services hoger uitkomen dan die bij de gemiddelde hoster (die verkopen tegen inkoopprijs of zelfs met verlies). Hiervoor krijg je dus wel service en security terug.


Wat ik probeer te onderzoeken:

• Of hier behoefte aan is
• Zijn jullie als professional / enterprise bereid hiertoe te betalen
• Welke features vinden jullie belangrijk?
• Mis ik nog bepaalde features?

Graag hoor ik jullie gedachten hierover

[Verwijderd]

Akamai heeft dit volgens mij al.

[LeonM]

Verwijderd schreef op dinsdag 26 december 2017 @ 23:16:
Akamai heeft dit volgens mij al.

Ik heb hun website bekeken, ze bieden voor zover ik zie 2 DNS gerelateerde producten:
- Fast DNS, een cloud based DNS resolver (ik vermoed zoiets als Google Cloud DNS of Amazon Route 53)
- AkamaiX, een on-premise closed source software pakket

In de product briefs van beide producten zie ik niks terug over de punten die ik in de opening post heb genoemd, behalve "24/7 availability" (really!?) en "DDoS protection".

Ik kan ook niks vinden over hun rol als registrar (ze zullen het ongetwijfeld kunnen aanbieden aan hun klanten, maar dan zijn ze gewoon reseller).

Bovendien is zo een beetje elke call to action op hun website 'neem contact op met ons sales team', wat een van mijn grootste ergernissen benadrukt:

LeonM schreef op dinsdag 26 december 2017 @ 23:13:
Geen volautomatische zelf service systemen (maw: je hebt een medewerker nodig om bepaalde zaken te regelen).

[rens-br]

@LeonM dit topic ziet er meer als uit een marktonderzoek en dat zul je dan toch echt op een andere plek moeten doen.

Hier komt dus een slotje op.