En quoi le DNSSEC est-il différent du chiffrement ?

C'est une question que l'on entend souvent : « Le DNSSEC n'est-il pas identique au DNS chiffré ? »

Pas vraiment. Alors que le DNSSEC protège les réseaux contre les attaques de type « homme du milieu », il le fait grâce à la cryptographie à clé publique, qui est différente du chiffrement. En d’autres termes, le DNSSEC fournit une forme d’authentification, mais pas une forme de confidentialité.

Le DNSSEC utilise la cryptographie à clé publique pour « signer » ou authentifier numériquement les requêtes DNS. Lorsque le protocole DNSSEC est activé sur un enregistrement de zone, l’appareil destinataire peut comparer les informations qu’il reçoit aux informations d’origine envoyées par le serveur faisant autorité. Cela est rendu possible par une signature numérique qui utilise des clés publiques pour authentifier les données.

Dans le DNSSEC, les clés d’authentification sont protégées par la cryptographie, mais les données elles-mêmes ne sont pas protégées. Il est toujours possible d’intercepter et de lire le trafic protégé par le DNSSEC. Si les données sont altérées à un moment donné au cours de leur acheminement et transmises à leur destination, le serveur destinataire sera en mesure de détecter une anomalie, car les clés publiques ne correspondront pas.

Le chiffrement, quant à lui, utilise la cryptographie pour encoder les données elles-mêmes. Le chiffrement garantit la confidentialité en changeant ce qu’un pirate verrait s’il interceptait une requête quelque part le long du parcours de données. Elle rend ces données inintelligibles à moins que le pirate ne puisse déchiffrer le signal à l'aide d'une clé de chiffrement. Comme cette clé n’est pas partagée publiquement, le chiffrement protège les données contre toute manipulation.

LeDNS est l’un des plus anciens protocoles Internet. Lorsqu’il a été créé, Internet était un endroit beaucoup plus petit où presque tout le monde se connaissait. La sécurité n'a été prise en compte qu'après coup.

Au moment où la sécurité d’Internet est devenue une préoccupation, le DNS était si largement utilisé que tout changement significatif aurait entraîné un arrêt brutal de l’ensemble du système. Plutôt que d’essayer de développer un protocole entièrement chiffré pour remplacer le DNS, il a été décidé d’intégrer un mécanisme d’authentification au système existant.

Le DNSSEC était un compromis. Il a rendu possible l’authentification des requêtes et des données, renforçant ainsi la sécurité du protocole. Mais il l’a fait sans changer le système sous-jacent, ce qui a permis à Internet de continuer à se développer sans avoir à repenser quoi que ce soit. Le déploiement du DNSSEC a été rendu facultatif afin que les entreprises puissent effectuer la transition si et quand elles le souhaitent.

L’empoisonnement du cache DNS (également connu sous le nom d’usurpation de DNS) est une raison importante de déployer le DNSSEC. Dans une attaque par usurpation de DNS, une réponse non authentifiée est remplacée par une réponse légitime à une requête DNS. Cette réponse reste ensuite bloquée dans le cache, continuant à renvoyer la mauvaise réponse et dirigeant les utilisateurs vers des sites malveillants jusqu’à l’expiration de la durée de vie.

Le DNSSEC protège contre ces types d’attaques en authentifiant les réponses DNS, en veillant à ce que seules les réponses correctes soient renvoyées. Le chiffrement peut protéger les données sous-jacentes dans une connexion DNS, mais il ne protège pas contre une attaque par usurpation DNS.

Malheureusement, seuls 20 % du trafic Internet (lien externe à ibm.com) sont validés via le DNSSEC. Bien qu’il s’agisse d’une augmentation significative par rapport à il y a quelques années seulement, on est encore loin du niveau souhaité. La combinaison de problèmes d’utilisation, de manque d’informations et de paresse explique cet écart important.

NS1 encourage fortement tous ses clients à déployer DNSSEC et promeut son utilisation via un processus de déploiement simple. Contrairement à d’autres fournisseurs, NS1 prend même en charge DNSSEC en tant que fournisseur secondaire ou en tant qu’option DNS redondante grâce à notre offre DNS dédiée.