Sécurité DNS : DoH et DoT

Le système de noms de domaine traduit les noms de domaine lisibles par l’être humain en adresses IP. Les requêtes DNS standard utilisent UDP sur le port 53 et sont envoyées sans aucun chiffrement. Chaque nom de domaine recherché par votre appareil est visible par votre routeur, votre FAI et toute personne capable de surveiller le chemin du réseau. Votre activité de navigation est donc exposée, même lorsque tous les sites web que vous consultez utilisent HTTPS.

Les fournisseurs d’accès à Internet journalisent systématiquement les requêtes DNS de tous leurs clients, à des fins de surveillance du réseau et pour respecter les lois sur la conservation des données dans de nombreuses juridictions. Ce journal constitue un relevé détaillé de chaque site web consulté, de l’heure de chaque consultation et de la fréquence d’accès. Les FAI ont vendu ces données à des annonceurs et ont répondu à des demandes gouvernementales concernant l’historique de navigation de leurs abonnés, en se fondant uniquement sur les journaux DNS.

Un attaquant capable d’intercepter ou de rediriger le trafic DNS peut modifier les réponses afin de diriger les utilisateurs vers des serveurs malveillants. Le détournement DNS peut se produire au niveau du routeur (si celui-ci est compromis), par l’intermédiaire de serveurs DHCP malveillants qui fournissent des adresses de résolveurs DNS contrôlés par l’attaquant, ou par une redirection au niveau du FAI. Les utilisateurs qui saisissent un nom de domaine légitime peuvent être dirigés discrètement vers un site d’hameçonnage, sans aucun indice de la redirection.

Lorsqu’un appareil rejoint un réseau, il demande sa configuration via DHCP, qui lui fournit une adresse IP, une passerelle et un serveur DNS. Un attaquant présent sur le réseau local qui exploite un serveur DHCP malveillant peut répondre plus rapidement que le serveur légitime et fournir l’adresse de son propre serveur DNS. Toutes les requêtes DNS ultérieures de la victime sont envoyées au résolveur de l’attaquant, ce qui permet de surveiller les requêtes et de manipuler les réponses pendant toute la session.

En 2008, le chercheur Dan Kaminsky a révélé une vulnérabilité critique du DNS. En envoyant des milliers de réponses DNS falsifiées contenant des identifiants de transaction aléatoires, un attaquant pouvait statistiquement corrompre le cache d’un résolveur avant que celui-ci ne reçoive la réponse légitime. Cette technique est connue sous le nom d’empoisonnement de cache de type attaque par anniversaire. Un cache corrompu redirige tous les utilisateurs de ce résolveur vers des adresses IP contrôlées par l’attaquant pour le domaine empoisonné.

DNSSEC (extensions de sécurité du DNS) remédie à l’empoisonnement du cache et à la falsification des réponses en ajoutant des signatures cryptographiques aux enregistrements DNS. Chaque zone DNS signe ses enregistrements avec une clé privée ; les résolveurs vérifient les signatures à l’aide de la clé publique correspondante publiée dans des enregistrements DNSKEY. Une réponse falsifiée ou modifiée échoue à la vérification de signature et est rejetée. DNSSEC crée une chaîne de confiance depuis la zone racine du DNS jusqu’aux enregistrements de domaines individuels.

DNS sur TLS (DoT) encapsule les requêtes DNS dans une connexion TLS standard sur le port 853. Le résolveur et le client effectuent une négociation TLS avant l’envoi de toute requête DNS, ce qui chiffre à la fois la requête (y compris le nom de domaine) et la réponse. DoT empêche la surveillance passive par les FAI et les observateurs du réseau. L’utilisation d’un port dédié (853) permet aux pare-feu de l’identifier ; certains réseaux s’en servent pour bloquer DoT.

DNS sur HTTPS (DoH) encode les requêtes DNS sous forme de requêtes HTTPS sur le port 443, le même port que celui utilisé par l’ensemble du trafic web. Comme le trafic DoH est indissociable d’un trafic HTTPS ordinaire, les pare-feu ne peuvent pas le bloquer facilement sans bloquer également tout le trafic HTTPS. DoH est pris en charge nativement par Firefox, Chrome et Windows 11 ; des fournisseurs comme Cloudflare (1.1.1.1) et Google (8.8.8.8) proposent des points de terminaison DoH.

Grâce à DoH ou DoT, vos requêtes DNS sont chiffrées pendant leur transit entre votre appareil et le résolveur DNS. Votre FAI ne peut ni lire ni journaliser les noms de domaine individuels que vous recherchez. Les attaques DHCP malveillantes ne peuvent pas injecter un résolveur qui lit votre trafic, car le résolveur légitime est défini en dur. Les attaquants présents sur le réseau ne peuvent pas détourner le DNS par interception passive. Toutefois, le résolveur DNS lui-même voit toujours toutes vos requêtes.

Les FAI ont fait pression contre le déploiement obligatoire de DoH, car celui-ci transfère la visibilité sur le DNS des FAI vers un petit nombre de grands résolveurs exploités par des entreprises technologiques. Les FAI du UK se sont plaints auprès du Parlement que DoH empêcherait le filtrage parental. Les administrateurs réseau soutiennent que le DoH centralisé compromet les politiques DNS des entreprises et les configurations DNS à vue partagée. L’IETF a normalisé DoH dans la RFC 8484, mais la politique de déploiement reste contestée.

DNSSEC exige à la fois que le propriétaire du domaine signe sa zone et que le résolveur effectue la validation. Le renouvellement des clés (modification des clés de signature sans interruption de service) est complexe et a provoqué des pannes pour de nombreux domaines de premier niveau majeurs. Une configuration DNSSEC incorrecte peut rendre un domaine totalement inaccessible. Les domaines de premier niveau .com et .net prennent en charge DNSSEC, mais seule une minorité des domaines individuels sont signés. DNSSEC ne chiffre pas les requêtes ; seuls DoH et DoT assurent la confidentialité des requêtes.

Pourquoi DoH est-il préféré à DoT dans les environnements où des pare-feu restrictifs bloquent les ports non standard ?

Le DNS standard sur UDP, port 53, n’est pas chiffré et est journalisé par les FAI. Les attaques de détournement DNS et d’empoisonnement de cache de Kaminsky exploitent cette faiblesse. DNSSEC ajoute des signatures cryptographiques pour empêcher la falsification des réponses, mais ne chiffre pas les requêtes. DoT sur le port 853 et DoH sur le port 443 chiffrent les requêtes DNS pendant leur transit. DoH est plus difficile à bloquer que DoT. Le DNS chiffré transfère la relation de confiance des FAI aux opérateurs de résolveurs, mais ne supprime pas la nécessité de leur faire confiance.