Découvrez la différence entre la sécurité DNSSEC et la sécurité DNS dans cet article.
Bien qu’on ait aujourd’hui du mal à le croire, la structure de base de l’internet ne date que de 50 ans. La sécurité DNS a été créée en 1983 et s’est standardisée en 1986. L’email est un peu plus ancien, la première personne ayant utilisé le symbole @ pour lier un nom d’utilisateur avec un serveur de destination pour communiquer en 1971. Ces deux standards furent créés durant une période d’innocence : à notre connaissance, il n’y avait alors pas de pirates informatiques, et il n’y avait aucune organisation criminelle pour lancer des rançongiciels (aussi appelés « ransomwares »), ni de cyber-espion capable de cybercriminalité à une échelle nationale. C’était une époque où il vous était possible de faire confiance aux autres membres de la communauté web dont vous faisiez partie.
Les inventeurs de ces technologies n’ont probablement jamais songé à la sécurité en ce temps-là. À cause des dangers permanents de l’univers digital aujourd’hui, nous nous retrouvons dans l’obligation de repousser les limites de la technologie pour créer des mécanismes de défense pour des systèmes qui n’ont pas été conçus pour en comporter à l’origine. Puisque la sécurité DNS est un composant complet du travail en réseau et du trafic internet, il est primordial de le sécuriser, ce qui implique l’usage des sécurités DNS et DNSSEC. On les confond parfois en un seul système, mais c’est une erreur.
La sécurité DNS
La sécurité DNS est un système de sécurisation globale de votre infrastructure DNS. Le protocole DNSSEC est en fait une partie de ce système. La sécurité DNS implique non seulement la mise en place du DNSSEC comme meilleure protection, mais aussi l’installation d’un correctif et d’un outil de datation, sécurisant l’ensemble avec un périmètre et un coupe-feu local ainsi que d’autres protocoles spécifiques au système DNS comme les DoH. Il faut savoir que les DoH sont reconnus par DNS via la navigation en HTTPS, ce qui permet de crypter la communication DNS par l’utilisation d’un jeu de clefs chiffrées comme on le ferait pour sécuriser un site web.
Le caractère vulnérable du DNS
Avant de vous expliquer ce que fait le DNSSEC, il est important que vous compreniez le caractère vulnérable originel du DNS : lorsqu’un ordinateur émet une requête DNS pour naviguer sur le site que souhaite consulter l’utilisateur, il reçoit une réponse d’assistance de la part d’un serveur DNS. Il existe un système de hiérarchie DNS mondial : au sommet se trouvent treize éléments, appelés « racines », de serveurs DNS. Ces serveurs sont la première étape de la résolution du nom de domaine. Les serveurs racines renvoient la requête DNS au serveur du domaine de premier niveau correspondant, hiérarchiquement placé juste en dessous du serveur racine et répondant aux adresses en .com, .net, .org… Ces serveurs font suivre la requête des serveurs DNS jusqu’aux sous-domaines s’il en existe. À la fin de tout ce processus, l’utilisateur reçoit finalement en réponse l’adresse IP de l’hôte correspondant à ce qu’il cherche. Ce qui est incroyable, c’est la rapidité avec laquelle tout cela se réalise.
C’est sur une présomption énonçant que seul le système du DNS répond à la requête du client que l’on base la validité de l’adresse IP trouvée. Mais qu’en est-il si ce n’est pas le cas ? Comme le DNS n’est pas sécurisé, il est soumis à une attaque pirate potentielle ; une personne mal intentionnée peut ainsi injecter un serveur corrompu dans le système, ce qui peut automatiquement rediriger les clients vers des sites frauduleux. Ces sites peuvent prendre l’aspect des sites originels afin de voler les données personnelles des navigateurs ou encore leur amener un virus ou un cheval de Troie.
Comment fonctionne le DNSSEC ?
Le protocole DNSSEC permet de remédier à ce caractère vulnérable inhérent au système DNS grâce à l’ajout d’un niveau d’identification crypté basé sur un chiffrement à clef publique, vérifiant que le DNS correspond à un domaine légitime. Si plusieurs serveurs DNS répondent à la requête initiale, chacun est inspecté pour assurer à l’utilisateur une navigation fiable. Les treize racines sont déjà protégées par le DNSSEC. À validation d’une réponse par une racine, le décryptage se fait automatiquement sur le serveur correspondant, en cascade hiérarchique. Il est toutefois important de se souvenir que le DNSSEC ne crypte pas toute la navigation : c’est là le travail du DoH. Le DNS incluant un DNSSEC aura simplement besoin de plus de puissance de traitement pour fonctionner correctement.
Comment sécuriser votre technologie vulnérable ?
TitanHQ est à même de sécuriser votre navigation internet basée sur le DNS et vos communications par email grâce à une technologie avancée. WebTitan vous offre un filtrage DNS pour protéger vos utilisateurs des sites frauduleux et des virus indésirables. Le système de sécurité email SpamTitan bloque les tentatives d’hameçonnage, les rançongiciels et les autres logiciels malveillants. Si le DNS et le système email ont été inventés durant une époque sûre, c’est TitanHQ qui vous offre à présent de les sécuriser à l’ère où il n’est plus possible de faire confiance à internet.
Parlez-en à un expert en sécurité TitanHQ pour découvrir comment protéger votre système DNS sur plusieurs niveaux : contactez-nous dès aujourd’hui.