Sécurité DNS (DNSSEC)
Qu'est-ce que la sécurité DNS (DNSSEC) ?
Le DNSSEC est un ajout aux protocoles du Système de nom de domaine (DNS) ; il est conçu pour ajouter de la sécurité au DNS afin de le protéger contre certaines attaques, comme toute attaque de modification de données (par exemple, l'empoisonnement du cache). Il s'agit d'un ensemble d'extensions du DNS qui fournissent l'authentification de l'origine des données DNS, l'intégrité des données et un refus authentifié d'existence.
Quels sont certains des avantages du DNSSEC ?
Les zones DNSSEC empêchent les attaques de l'homme du milieu. Tout client disposant d'un résolveur compatible avec le DNSSEC ne sera pas exposé à ce risque.
Le DNSSEC est rétrocompatible avec l'infrastructure DNS existante. Les clients qui n'utilisent pas le DNSSEC n'en subiront aucun effet négatif. Bien qu'ils ne bénéficient pas de la protection, ils continueront à accéder aux noms de domaine comme ils l'ont toujours fait.
Le DNSSEC est la base d'un Internet sûr et sécurisé pour l'avenir, incluant la navigation web sécurisée et l'ajout de services de sécurité supplémentaires à une large gamme de services Internet (par exemple : messagerie électronique, voix sur IP, etc.).
Le DNS est un protocole d'infrastructure Internet critique et quasiment tout ce que les utilisateurs font sur Internet dépend de lui. Protéger le DNS pour garantir que les utilisateurs se connectent aux services avec lesquels ils souhaitent communiquer est la base d'un Internet sûr et sécurisé.
Comment le DNSSEC protège-t-il contre cette attaque ?
Chaque élément d'information DNS d'un domaine est associé à une signature numérique. Lorsqu'un utilisateur saisit le domaine dans un navigateur, le résolveur, en utilisant des clés de manière similaire à TLS/SSL, vérifie la signature. Si celle-ci ne correspond pas, le résolveur rejette la réponse et en attend une autre.
Le DNSSEC garantit que les informations contenues dans la réponse que vous recevez sont identiques à celles que le titulaire du nom de domaine souhaite que vous receviez. Lorsqu'un titulaire enregistre un nom de domaine sur Internet, il peut également sécuriser ce nom de domaine via le DNSSEC. En envoyant des informations supplémentaires à leur bureau d'enregistrement, les titulaires peuvent « signer » un nom de domaine, ce qui garantit que toutes les réponses DNS sont signées numériquement via le DNSSEC. En vérifiant la signature numérique, un résolveur DNS est capable de vérifier si les informations sont identiques (correctes et complètes) à celles que le titulaire souhaite que vous receviez.
Contre quoi le DNSSEC protège-t-il ?
Le DNSSEC est conçu pour protéger les résolveurs Internet (clients) contre les données DNS falsifiées, comme celles créées par l'empoisonnement du cache DNS. Actuellement, un résolveur DNS envoie une requête sur Internet puis accepte sans vérification la première réponse qu'il reçoit. Si un système malveillant renvoyait une réponse incorrecte, le résolveur utiliserait cette adresse jusqu'à l'expiration de son cache. C'est déjà assez grave si c'est l'ordinateur d'un seul utilisateur qui reçoit ces données erronées, c'est bien pire s'il s'agit d'un autre serveur de noms qui répond aux requêtes d'un fournisseur d'accès à Internet (FAI) : cela touche des milliers d'utilisateurs.
NameMart prend en charge le DNSSEC pour votre domaine, consultez le guide https://www.namemart.com/support/help-details?id=2418.