câble ethernet

Les extensions de sécurité du système de noms de domaine (DNSSEC) sont une technologie de sécurité qui aidera à corriger l’un des points faibles d’Internet. Nous avons de la chance que SOPA n’ait pas réussi, car SOPA aurait rendu le DNSSEC illégal.

DNSSEC ajoute une sécurité critique à un endroit où Internet n’en a pas vraiment. Le système de noms de domaine (DNS) fonctionne bien, mais il n’y a aucune vérification à aucun moment du processus, ce qui laisse des trous ouverts pour les attaquants.

L’état actuel des affaires

Nous avons expliqué le fonctionnement du DNS dans le passé. En bref, chaque fois que vous vous connectez à un nom de domaine comme «google.com» ou «howtogeek.com», votre ordinateur contacte son serveur DNS et recherche l’adresse IP associée pour ce nom de domaine. Votre ordinateur se connecte ensuite à cette adresse IP.

Il est important de noter qu’aucun processus de vérification n’est impliqué dans une recherche DNS. Votre ordinateur demande à son serveur DNS l’adresse associée à un site Web, le serveur DNS répond avec une adresse IP et votre ordinateur dit «ok!» et se connecte avec bonheur à ce site Web. Votre ordinateur ne s’arrête pas pour vérifier s’il s’agit d’une réponse valide.

Il est possible pour les attaquants de rediriger ces requêtes DNS ou de configurer des serveurs DNS malveillants conçus pour renvoyer de mauvaises réponses. Par exemple, si vous êtes connecté à un réseau Wi-Fi public et que vous essayez de vous connecter à howtogeek.com, un serveur DNS malveillant sur ce réseau Wi-Fi public pourrait renvoyer une adresse IP entièrement différente. L’adresse IP peut vous mener à un site Web de phishing. Votre navigateur Web n’a aucun moyen réel de vérifier si une adresse IP est réellement associée à howtogeek.com; il lui suffit de faire confiance à la réponse qu’il reçoit du serveur DNS.

Le cryptage HTTPS fournit une certaine vérification. Par exemple, supposons que vous essayez de vous connecter au site Web de votre banque et que vous voyez HTTPS et l’icône de verrouillage dans votre barre d’adresse. Vous savez qu’une autorité de certification a vérifié que le site Web appartient à votre banque.

Si vous avez accédé au site Web de votre banque à partir d’un point d’accès compromis et que le serveur DNS a renvoyé l’adresse d’un site de phishing imposteur, le site de phishing ne pourrait pas afficher ce cryptage HTTPS. Cependant, le site de phishing peut choisir d’utiliser du HTTP simple au lieu du HTTPS, pariant que la plupart des utilisateurs ne remarqueraient pas la différence et saisiraient quand même leurs informations bancaires en ligne.

Votre banque n’a aucun moyen de dire «Ce sont les adresses IP légitimes de notre site Web».

Comment DNSSEC vous aidera

Une recherche DNS se déroule en fait en plusieurs étapes. Par exemple, lorsque votre ordinateur demande www.howtogeek.com, votre ordinateur effectue cette recherche en plusieurs étapes:

  • Il demande d’abord au «répertoire de la zone racine» où il peut trouver .com.
  • Il demande ensuite au répertoire .com où il peut trouver howtogeek.com.
  • Il demande ensuite à howtogeek.com où il peut trouver www.howtogeek.com.

DNSSEC implique de «signer la racine». Lorsque votre ordinateur va demander à la zone racine où il peut trouver .com, il pourra vérifier la clé de signature de la zone racine et confirmer qu’il s’agit de la zone racine légitime avec de vraies informations. La zone racine fournira alors des informations sur la clé de signature ou .com et son emplacement, permettant à votre ordinateur de contacter le répertoire .com et de s’assurer qu’il est légitime. L’annuaire .com fournira la clé de signature et les informations pour howtogeek.com, lui permettant de contacter howtogeek.com et de vérifier que vous êtes connecté au véritable howtogeek.com, comme confirmé par les zones au-dessus.

Lorsque DNSSEC est entièrement déployé, votre ordinateur sera en mesure de confirmer que les réponses DNS sont légitimes et vraies, alors qu’il n’a actuellement aucun moyen de savoir lesquelles sont fausses et lesquelles sont réelles.

En savoir plus sur le fonctionnement du cryptage ici.

Ce que SOPA aurait fait

Alors, comment le Stop Online Piracy Act, mieux connu sous le nom de SOPA, a-t-il joué dans tout cela? Eh bien, si vous avez suivi SOPA, vous vous rendez compte qu’il a été écrit par des gens qui ne comprenaient pas Internet, donc il «briserait Internet» de diverses manières. C’est l’un d’eux.

N’oubliez pas que DNSSEC permet aux propriétaires de noms de domaine de signer leurs enregistrements DNS. Ainsi, par exemple, thepiratebay.se peut utiliser DNSSEC pour spécifier les adresses IP auxquelles il est associé. Lorsque votre ordinateur effectue une recherche DNS – que ce soit pour google.com ou thepiratebay.se – DNSSEC permet à l’ordinateur de déterminer qu’il reçoit la bonne réponse validée par les propriétaires du nom de domaine. DNSSEC n’est qu’un protocole; il n’essaie pas de faire la distinction entre les «bons» et les «mauvais» sites Web.

SOPA aurait obligé les fournisseurs de services Internet à rediriger les recherches DNS pour les «mauvais» sites Web. Par exemple, si les abonnés d’un fournisseur de services Internet tentaient d’accéder à thepiratebay.se, les serveurs DNS du FAI renverraient l’adresse d’un autre site Web, ce qui les informerait que Pirate Bay avait été bloqué.

Avec DNSSEC, une telle redirection ne pourrait pas être distinguée d’une attaque de l’homme du milieu, que DNSSEC a été conçue pour empêcher. Les FAI déployant DNSSEC devraient répondre avec l’adresse réelle de Pirate Bay et violeraient ainsi la SOPA. Pour s’adapter à SOPA, DNSSEC devrait avoir un grand trou dans celui-ci, qui permettrait aux fournisseurs de services Internet et aux gouvernements de rediriger les demandes DNS de nom de domaine sans l’autorisation des propriétaires du nom de domaine. Cela serait difficile (voire impossible) à faire de manière sécurisée, ouvrant probablement de nouveaux trous de sécurité pour les attaquants.

 wikipedia-blackout


Heureusement, SOPA est mort et, espérons-le, ne reviendra pas. DNSSEC est en cours de déploiement, fournissant un correctif attendu depuis longtemps pour ce problème.

Crédit d’image: Khairil Yusof, Jemimus sur Flickr, David Holmes sur Flickr

Laisser un commentaire