DNS : comment les domaines sont résolus en adresses IP

Le système de noms de domaine (DNS) est l’annuaire téléphonique d’Internet. Il traduit les noms de domaine lisibles par les humains, comme google.com, en adresses IP telles que 142.250.80.46, que les ordinateurs utilisent pour acheminer le trafic.

Lorsque vous saisissez une URL, votre navigateur interroge le DNS :

1. Vérification du cache local (rapide)
2. Interrogation du résolveur local (généralement votre routeur ou votre ISP)
3. Le résolveur interroge le serveur de noms racine pour connaître l’autorité du TLD
4. Interrogation du serveur de noms du TLD (par ex. .com) pour connaître l’autorité du domaine
5. Interrogation du serveur de noms faisant autorité pour obtenir l’enregistrement réel
6. L’adresse IP est renvoyée puis mise en cache

Types courants d’enregistrements DNS :

• A — domaine vers adresse IPv4
• AAAA — domaine vers adresse IPv6
• CNAME — alias pointant vers un autre domaine
• MX — serveur de messagerie d’un domaine
• TXT — texte arbitraire (SPF, DKIM, vérification)
• NS — serveur de noms d’un domaine

Chaque enregistrement DNS possède une valeur TTL (durée de vie) exprimée en secondes. Une fois mis en cache, les résolveurs utilisent la valeur mise en cache jusqu’à l’expiration du TTL, puis effectuent une nouvelle requête. Réduire le TTL avant une migration diminue le délai de propagation.

Les professionnels de la sécurité énumèrent les enregistrements DNS afin de cartographier l’infrastructure d’une organisation :

Un transfert de zone DNS (AXFR) copie tous les enregistrements d’un serveur de noms — ce qui est utile pour les sauvegardes, mais dangereux si le transfert est accessible à tous. Des serveurs de noms mal configurés peuvent révéler l’intégralité du DNS interne d’une organisation.

L’empoisonnement du cache injecte de faux enregistrements DNS dans le cache d’un résolveur et redirige les utilisateurs vers des serveurs contrôlés par l’attaquant. DNSSEC (extensions de sécurité DNS) utilise des signatures cryptographiques pour empêcher cela.

Les requêtes DNS traditionnelles sont envoyées en texte clair — toute personne sur le réseau peut voir les domaines que vous consultez. DoH et DoT chiffrent les requêtes DNS, empêchant la surveillance et l’interception du trafic DNS par un attaquant de type homme du milieu.

La tunnellisation DNS encode des données dans les requêtes et les réponses DNS afin d’exfiltrer des données ou de maintenir une communication de commande et de contrôle (C2) à travers des pare-feu qui autorisent le trafic DNS. Les équipes de sécurité surveillent les requêtes DNS exceptionnellement longues et les volumes élevés de requêtes comme signes révélateurs.

Les organisations utilisent un DNS à horizon partagé : le DNS interne résout les adresses privées des services internes ; le DNS externe ne fournit que les entrées accessibles au public. Cela empêche la divulgation de la topologie interne lors de requêtes externes.

Outils DNS essentiels :

DNS traduit les noms de domaine en adresses IP au moyen d’un processus de résolution hiérarchique faisant intervenir les serveurs de noms racine, de TLD et faisant autorité. Les principaux types d’enregistrements comprennent A, AAAA, MX, CNAME et TXT. Les problèmes de sécurité incluent l’empoisonnement du cache, l’exposition des transferts de zone et la tunnellisation DNS. DoH/DoT chiffrent le DNS pour préserver la confidentialité.