Qu’est-ce que le DNSSEC ?
Le DNSSEC (Domain Name System Security Extensions en anglais) est un système qui permet de renforcer la sécurité des zones DNS pour que ces dernières ne puissent pas être facilement usurpées par les pirates.
Comprendre le DNS
Le DNS est un répertoire virtuel qui contient des informations sur les adresses IP et les noms de domaine correspondants. Grâce aux serveurs DNS, en saisissant un URL dans la barre de recherche de votre navigateur, vous arrivez à faire afficher le site web recherché. Ceci est possible parce que votre application envoie une requête au serveur DNS afin de convertir l’adresse alphanumérique (www.hosteur.com) en adresse IP numérique (207.142.131.245) qui peut être décryptée par le serveur hébergeant l’information du site recherché.
Sur le schéma ci-dessous nous avons illustré l’acheminement d’une requête DNS.
Le fonctionnement rappelle celui d’un annulaire téléphonique : le serveur DNS étant la base de données où tous les numéros sont stockés.
Pour en savoir plus sur le fonctionnement des serveurs DNS veuillez consulter notre article sur le sujet.
DNSSEC : pourquoi en a-t-on besoin ?
Le DNS date des années 80 : une époque où Internet était beaucoup plus petit et la sécurité n'était pas une priorité. Voilà pourquoi, aujourd’hui, ce système ne suffit plus pour s’assurer que les informations affichées par notre navigateur sont les bonnes.
Prenons un exemple : imaginons que vous souhaitez vous connecter à votre banque afin d’effectuer un transfert d’argent en ligne. Pour le faire, vous allez taper dans la barre de recherche de votre navigateur le site web de votre banque. Ces informations seront transmises à un serveur DNS qui devrait, si tout fonctionne normalement, chercher l’IP correspondante pour vous afficher le bon site.
Néanmoins, il est possible qu’un pirate prenne contrôle du serveur DNS et modifie sa table de contenue. Dans ce cas-là, cet utilisateur malveillant décidera quel site web qui vous sera affiché. Malheureusement, le résolveur DNS qui fait la requête n’a aucun moyen de vérifier l'authenticité de la réponse qui lui est envoyé. Ainsi, vous pouvez facilement devenir victime de phishing : le pirate, ayant préalablement copié le site web de votre banque, peut vous renvoyer vers des fausses pages de connexion. Une fois que vous ayez saisi vos identifiants et mot de passe, ces derniers peuvent être récupérés par le pirate pour effectuer des opérations sur le vrai site sous votre nom.
DNSSEC : comment cela fonctionne ?
Le DNSSEC permet de sécuriser l'authenticité de la réponse DNS. Lorsque le navigateur envoie une requête, celle-ci revient avec une clé d'authentification qui atteste que l'IP renvoyée est la bonne. Il s’agit d’une signature numérique basée sur la cryptographie à clé publique grâce à laquelle vous (ou vos clients) êtes donc assurés d’accéder au bon site.
Deux sont les fonctions importantes ajoutées au protocole DNS par les DNSSEC :
1. Une authentification de l’origine des données
2. Une protection de l’intégrité des données pour que ces dernières ne puissent pas être modifiées lors du transfert
