--- title: "Cache poisoning (DNS spoofing): wat het is en hoe het werkt" description: "Cache poisoning is een aanval waarbij iemand een vervalst DNS-antwoord in de cache van een resolver krijgt." canonical: https://www.keurigonline.nl/begrippenlijst/cache-poisoning last_modified: 2025-12-18 --- [Terug naar begrippenlijst](https://www.keurigonline.nl/begrippenlijst) # Cache poisoning Cache poisoning is een aanval waarbij iemand een vervalst DNS-antwoord in de cache van een resolver krijgt. Cache poisoning, ook wel DNS spoofing genoemd, is een aanval waarbij iemand een vals DNS-antwoord in de cache van een resolver krijgt. Gebruikers van die resolver komen daarna op een verkeerd IP-adres uit, ook al typen ze de juiste domeinnaam. Zo kunnen ze bijvoorbeeld op een nagemaakte inlogpagina belanden. De aanval maakt gebruik van de manier waarop DNS werkt. Een resolver stelt zijn vragen meestal via UDP en accepteert het eerste antwoord dat bij de vraag lijkt te passen. Een aanvaller probeert daarom een vervalst antwoord eerder af te leveren dan de echte nameserver, en moet daarvoor onder meer het transactienummer van 16 bits raden. Lukt dat, dan bewaart de resolver het valse antwoord zo lang als de TTL aangeeft en geeft hij het aan iedereen die erom vraagt. In 2008 liet Dan Kaminsky zien dat zo'n aanval veel sneller kon slagen dan gedacht. Resolvers kiezen sindsdien voor elke vraag ook een willekeurige bronpoort, wat het raden veel moeilijker maakt. Echt oplossen doet alleen DNSSEC: daarmee onderteken je je DNS-records, zodat een controlerende resolver een vervalst antwoord herkent en weigert. Voor je eigen domein is DNSSEC dus de beste bescherming. Wil je DNSSEC aan- of uitzetten voor een domein bij KeurigOnline, mail dan de helpdesk met je domeinnaam. Met de websitetest van Internet.nl controleer je daarna of je domein ondertekend is. ## Geschiedenis Dat DNS-caches te vervalsen zijn, was in de jaren negentig al bekend. In juli 2008 maakte het CERT/CC een [kwetsbaarheid in vrijwel alle DNS-software](https://www.kb.cert.org/vuls/id/800113) bekend, ontdekt door [Dan Kaminsky](https://en.wikipedia.org/wiki/Dan_Kaminsky). Leveranciers brachten tegelijk updates uit met willekeurige bronpoorten, een idee van Daniel J. Bernstein. Belangrijke mijlpalen: - **2005:** DNSSEC in zijn huidige vorm vastgelegd in RFC 4033 tot 4035 - **2008:** Kaminsky-aanval openbaar op 8 juli (CVE-2008-1447) - **2009:** [RFC 5452](https://datatracker.ietf.org/doc/html/rfc5452), onder meer van de Nederlander Bert Hubert, beschrijft maatregelen tegen vervalste antwoorden - **2010:** de DNS-rootzone wordt op 15 juli met DNSSEC ondertekend - **2020:** [SAD DNS](https://www.saddns.net/) laat zien dat bronpoorten via een zijkanaal toch te achterhalen zijn ## Bronnen 1. **CERT/CC (2008)** - [VU#800113: Multiple DNS implementations vulnerable to cache poisoning](https://www.kb.cert.org/vuls/id/800113) 2. **IETF (2009)** - [RFC 5452: Measures for Making DNS More Resilient against Forged Answers](https://datatracker.ietf.org/doc/html/rfc5452) 3. **Cloudflare** - [What is DNS cache poisoning? \| DNS spoofing](https://www.cloudflare.com/learning/dns/dns-cache-poisoning/) 4. **SIDN** - [DNSSEC](https://www.sidn.nl/en/modern-internet-standards/dnssec) 5. **Wikipedia** - [DNS spoofing](https://en.wikipedia.org/wiki/DNS_spoofing) ## Gerelateerde artikelen E-mail 22 jun 2026 [Eigen mailserver versus hosting: voor- en nadelen 2026](https://www.keurigonline.nl/blog/eigen-mailserver-versus-hosting) 1. **MTA-STS:** dwingt TLS af voor inkomende SMTP-verbindingen. Slechts 6% van de Nederlandse domeinen heeft dit actief.[\[11\]](https://www.zivver.com/nl/blog/gebruik-van-standaarden-voor-e-mailbeveiliging-in-nederland-september-2025-slechts-14-dane-6-mta-sts) 2. **TLS:** versleuteling op alle verbindingen, zowel inkomend als uitgaand. 3. **DNSSEC:** beschermt je DNS-records tegen manipulatie via cache poisoning. Al actief op ruim 53% van de .nl-zone.[\[12\]](https://www.sidn.nl/nieuws-en-blogs/mooie-resultaten-dankzij-registrar-scorecard) 4. **PTR-record (reverse DNS):** de hostnaam van je mailserver-IP moet overeenkomen met het A-record of MX-record. Essentieel voor acceptatie door Microsoft. DNS 17 dec 2025 [10 beste DNS test tools in 2026](https://www.keurigonline.nl/blog/beste-dns-test-tools-2026) - Dagelijks troubleshooting → simpele lookup volstaat ### Moet ik DNSSEC activeren voor mijn domein? Voor **zakelijke websites en e-commerce** is DNSSEC sterk aanbevolen. - **Beschermt tegen:** DNS-spoofing en cache poisoning aanvallen - **SIDN:** Ondersteunt DNSSEC voor alle .nl domeinen - **Activatie:** Meeste Nederlandse providers bieden one-click activatie - **Testen:** Gebruik DNSViz of Verisign DNSSEC Debugger DNS 10 dec 2025 [DNS problemen oplossen: de complete gids voor debugging](https://www.keurigonline.nl/blog/dns-problemen-oplossen) - **Na DNS wijzigingen** — Je wilt direct testen of de nieuwe records werken - **Verouderde records** — Je client heeft nog een oud (fout) IP-adres in cache - **Beveiligingsredenen** — DNS cache poisoning kan gecorrigeerd worden door de cache te legen - **Debugging** — Je wilt zeker weten dat je een "verse" lookup doet ### DNS cache legen op Windows Open een Command Prompt als Administrator en voer uit: