DNS over TLS

Qu’est-ce que DNS over TLS (DoT)

Les requêtes DNS ont souvent été confrontées à des problèmes de sécurité par le passé. Lorsque vous naviguez sur Internet, votre ordinateur effectue des requêtes via le protocole UDP sans chiffrement, ce qui les rend vulnérables à une interception. Le DNS public de Google utilise DNS over TLS (DoT) pour établir des sessions sécurisées. Dans cet article, nous allons explorer ce qu’est DNS over TLS, comment il fonctionne pour anonymiser les données DNS et renforcer la sécurité en ligne, et bien plus encore.

DNS over TLS, ou DoT, est un protocole de sécurité qui chiffre les communications entre un client DNS et un serveur DNS. Il protège les requêtes et réponses DNS des écoutes indiscrètes grâce à la Transport Layer Security (TLS), successeur de la Secure Socket Layer (SSL). L’IETF définit la résolution DNS via TLS dans la norme RFC 7858.

Lorsque vous visitez un site web, l’icône de cadenas dans votre navigateur indique que la connexion est sécurisée. Cela se produit car votre navigateur et le site web s’accordent sur une méthode pour masquer les informations avant leur envoi.

Cependant, avant que cette connexion sécurisée ne soit établie, votre navigateur doit trouver l’adresse du site via le DNS. Le système de nom de domaine est l’annuaire téléphonique d’Internet. Il convertit les noms de sites web que vous saisissez en adresses IP numériques lisibles par les ordinateurs.

Le problème est que les communications DNS sont principalement effectuées en texte clair. Cela signifie que les serveurs DNS traditionnels ne sont pas toujours sécurisés. Par conséquent, toute personne surveillant le trafic réseau, y compris les pirates, peut intercepter les informations transmises.

L’Internet Engineering Task Force a proposé DNS over TLS pour répondre à ces problématiques de confidentialité en ligne. DoT ajoute une couche de sécurité à l’ensemble du processus de résolution DNS. Grâce au chiffrement TLS, il empêche les entités non fiables de voir quels sites un utilisateur visite.

DoT contribue à masquer votre historique de navigation aux tiers et protège contre les attaques de type DNS spoofing. Même Android a intégré un support natif pour DNS over TLS afin d’empêcher les regards indiscrets de suivre vos mouvements numériques.

Il est important de noter que DoT opère au niveau de la couche de transport du modèle OSI. Étant donné que le mécanisme de chiffrement est proche de la couche réseau, il offre une solution de sécurité robuste pour toute application exécutée sur un appareil.

Comment fonctionne DNS over TLS

DNS over TLS est une méthode pour rendre votre navigation sur Internet plus privée. Il protège les informations échangées entre votre appareil et le serveur lors de la recherche d’adresses de sites web.

Votre appareil initie une connexion TLS avec le serveur DNS sur le port 853. Cela indique à votre réseau que le trafic est du type DNS over TLS et non autre chose.

Lorsque votre appareil doit rechercher un site web, il envoie une requête à un serveur DoT via ce port spécifique. Pour garantir la sécurité, votre appareil et le serveur effectuent d’abord un handshake TLS. Ce processus consiste à s’accorder sur une méthode de communication codée secrète.

Une fois ce handshake réalisé, votre appareil envoie la requête DNS sous forme chiffrée. Le serveur renvoie ensuite la réponse de la même manière.

Pour accélérer le processus, votre appareil peut envoyer plusieurs requêtes DNS sur la même connexion sécurisée. L’objectif est d’éviter de devoir établir une nouvelle connexion à chaque fois, ce qui améliore la rapidité.

Cet échange se déroule en arrière-plan chaque fois que vous saisissez une adresse web, garantissant que personne ne puisse espionner ou modifier vos recherches DNS.

Bien que les données soient privées, la connexion peut toujours être identifiée comme du trafic DNS car elle utilise le port 853. Ainsi, même s’il est plus difficile pour autrui de voir précisément ce que vous faites, votre fournisseur d’accès Internet (FAI) peut toujours savoir que vous effectuez des recherches DNS.

Avantages de l’utilisation de DNS over TLS

DNS over TLS ajoute une couche de sécurité autour de vos recherches DNS. Alors que les serveurs DNS classiques envoient vos requêtes web en texte clair, DoT les dissimule dans un tunnel chiffré. Vos requêtes DNS sont acheminées de manière privée pour préserver la confidentialité de vos habitudes de navigation.

Voici quelques avantages à mettre en œuvre DoT :

• Meilleure confidentialité et sécurité. Le principal avantage de DoT est le chiffrement du trafic DNS. Cela signifie que personne ne peut écouter ou modifier les informations en transit. Avec DoT, vos activités sur Internet sont plus difficiles à falsifier.
• Protection contre les attaques. Le DNS traditionnel est vulnérable à des attaques comme le spoofing DNS et les attaques man-in-the-middle (MitM). Dans ce type d’attaques, un acteur malveillant pourrait tromper votre appareil pour vous rediriger vers un faux site web. DoT chiffre la connexion, empêchant les attaquants d’interférer avec les données échangées entre votre appareil et le serveur DNS.
• Blocage du suivi DNS. Votre FAI peut parfois suivre les sites que vous visitez via vos requêtes DNS. DoT empêche cela en rendant vos requêtes DNS secrètes. Lorsque vous naviguez avec DoT, votre trafic DNS circule dans un tunnel protégé, empêchant quiconque d’espionner vos destinations web.
• Meilleure sécurité pour les appareils IoT. Avec la multiplication des appareils connectés, comme les thermostats, caméras et réfrigérateurs, ces derniers ont également besoin de protection. DoT sécurise ces appareils contre des menaces comme le détournement DNS et autres risques liés au DNS en chiffrant leur trafic DNS.

Comparaison avec d’autres protocoles de sécurité

D’autres protocoles de sécurité poursuivent le même objectif de sécuriser le trafic DNS. Cependant, ils diffèrent dans la manière dont ils mettent en œuvre la confidentialité et la sécurité. Comparons DoT avec d’autres méthodes de chiffrement.

DoT vs méthodes traditionnelles de chiffrement DNS

Le DNS classique envoie vos requêtes web à découvert ; n’importe qui peut les lire. DoT, en revanche, dissimule ces requêtes sous une protection robuste. Alors que le DNS traditionnel expose votre navigation, DoT la préserve grâce à des vérifications de sécurité.

Les sites web se chargent légèrement plus lentement avec DoT en raison des étapes de sécurité supplémentaires. Cependant, ce léger compromis en termes de vitesse offre des gains significatifs en matière de sécurité, car vos requêtes DNS restent cachées du monde extérieur.

DNSSEC et DNSCrypt sont deux méthodes traditionnelles de chiffrement DNS à comparer avec DNS over TLS. DNSSEC est un système plus ancien qui tente de sécuriser le DNS. Cependant, il traite un aspect de sécurité différent du chiffrement, en se concentrant sur l’authentification des réponses DNS face aux attaques MitM.

Ce mécanisme garantit que les informations renvoyées par un serveur DNS sont authentiques. La validation joue un rôle crucial dans un écosystème DNS sécurisé, mais en raison de ses fréquents défis d’implémentation, DNSSEC est aujourd’hui moins privilégié comme solution de sécurité autonome.

DNSCrypt est une autre méthode pour protéger vos requêtes DNS. Elle fonctionne de manière similaire à DNS over TLS au niveau de la couche de transport. Par défaut, DNSCrypt utilise le port 443.

Bien que DNSCrypt protège contre les cyberattaques localisées, elle n’est pas encore devenue une norme officielle. Cela signifie qu’elle ne fonctionne pas toujours de la même manière partout.

Cette absence de normalisation a conduit à des incohérences dans son implémentation. Puisque DoT est officiellement reconnu, il constitue une option plus fiable pour sécuriser les requêtes DNS.

DoT vs DNS over HTTPS (DoH)

DNS over TLS et DNS over HTTPS protègent tous deux vos recherches DNS, mais ils fonctionnent différemment. DoT utilise une voie dédiée – le port 853 – tandis que DoH se fond dans le trafic HTTPS classique sur le port 443.

Les administrateurs réseau privilégient souvent DoT car il est plus facile à repérer sur leurs réseaux. DoH offre une meilleure confidentialité car il se dissimule dans le trafic web classique, ce qui le rend plus difficile à gérer.

Votre choix dépend de ce qui compte le plus pour vous : un contrôle réseau avec DoT ou une confidentialité renforcée avec DoH.

Un autre point est que DoT opère à la couche de transport, tandis que DoH est implémenté à la couche application dans la pile OSI.

DoT vs DNS over QUIC (DoQ)

DNS over QUIC (DoQ) est une méthode plus récente destinée à résoudre certains problèmes des méthodes de chiffrement DNS comme DoT et DoH.

DoQ a été officiellement normalisé en 2021. Il utilise la technologie QUIC pour améliorer la vitesse et la sécurité.

QUIC (Quick UDP Internet Connections) est un protocole développé par Google et adopté par la suite par l’IETF. Contrairement à DoT, qui utilise TCP, QUIC repose sur UDP, un protocole plus rapide et moins lourd en termes de connexions.

DoT est considéré comme sécurisé, tandis que DoQ vise à être plus efficace grâce à QUIC.

Limites de DNS over TLS

La mise en place de DNS over TLS présente certaines limites. Tout d’abord, cela peut affecter les performances ; la couche TLS supplémentaire nécessite une puissance de calcul accrue. Cela peut entraîner un léger délai dans le chargement des sites web, car le chiffrement et le déchiffrement des données prennent du temps.

De plus, tous les appareils, routeurs ou systèmes d’exploitation ne prennent pas en charge DoT. Si vous souhaitez utiliser DNS over TLS, il est nécessaire de vérifier que votre équipement réseau est compatible.

Comme DNS over HTTPS, DoT dépend également de serveurs tiers pour gérer les requêtes DNS. Quelques entreprises ou fournisseurs peuvent avoir accès à une grande quantité de données de navigation. Vous devez faire confiance à ces fournisseurs pour qu’ils n’abusent pas de vos données ou ne les stockent pas.

DNS over TLS peut également compliquer la surveillance du trafic DNS pour les administrateurs réseau. Les organisations qui utilisent le filtrage DNS pour bloquer des sites nuisibles rencontrent des difficultés, car DoT masque les requêtes DNS.

Pour surmonter ces défis avec DoT, il est conseillé de mettre à jour les pare-feu obsolètes ou de corriger les paramètres des serveurs DNS qui ne fonctionnent pas correctement avec DoT.

Comment activer DNS over TLS

Activer DNS over TLS sur votre système est relativement simple. Sur Windows, vous aurez besoin d’un logiciel supplémentaire ; recherchez des applications prenant en charge les protocoles DoT. Les utilisateurs de Mac peuvent l’activer directement dans les paramètres réseau. Les adeptes de Linux l’ont souvent intégré ; il suffit de mettre à jour le fichier resolv.conf ou d’utiliser systemd-resolved.

Pour de meilleurs résultats, choisissez des serveurs DoT fiables comme Cloudflare (1.1.1.1) ou Google (8.8.8.8). Assurez-vous que vos paramètres de pare-feu ouvrent le port 853, sinon votre DNS ne fonctionnera pas correctement.

Impact de DoT sur les performances réseau

L’ajout de DNS over TLS à votre réseau implique certaines considérations de vitesse. Le handshake TLS prend quelques millisecondes supplémentaires à chaque recherche de site web. Cependant, avec les connexions Internet rapides d’aujourd’hui, la plupart des utilisateurs ne remarqueront pas ce léger décalage.

Pour améliorer la vitesse, choisissez des serveurs DNS proches de votre emplacement. De plus, utilisez des versions modernes de TLS qui gèrent le chiffrement plus rapidement. Vous pouvez également configurer la reprise de session TLS pour éviter les handshakes répétés.

Qui bénéficie de DNS over TLS

De nombreuses entités tirent un grand avantage de DNS over TLS :

• Les entreprises utilisent DNS over TLS pour ajouter un filet de sécurité robuste à leurs réseaux d’entreprise.
• Les administrateurs réseau configurent DoT pour simplifier la supervision de la sécurité ; ils peuvent suivre le trafic DNS dans un canal sécurisé unique.
• Les équipes IT utilisent DoT pour bloquer les attaques basées sur le DNS et protéger les systèmes contre les pirates.
• Les gestionnaires de réseau privilégient DoT pour respecter les règles de protection des données tout en facilitant la surveillance du trafic DNS.
• Les utilisateurs d’Internet bénéficient d’une tranquillité d’esprit en sachant que leurs activités en ligne sont mieux protégées contre les intrusions.