Le DNS dans les attaques et la défense

Le DNS intervient si tôt dans chaque connexion qu’il se retrouve des deux côtés de la sécurité : les attaquants s’appuient sur la façon dont les noms de domaine sont choisis et résolus, et les défenseurs utilisent le même système pour bloquer des destinations connues comme malveillantes. Trois usages du DNS méritent d’être compris pour eux-mêmes.

Hameçonnage et domaines similaires

Un site d’hameçonnage n’a pas besoin de casser le DNS ; il lui suffit d’un nom de domaine assez proche pour tromper un lecteur pressé. L’agence américaine de cybersécurité et de sécurité des infrastructures (CISA) décrit exactement ce schéma : « les sites malveillants peuvent sembler identiques à un site légitime, mais l’URL peut utiliser une variante orthographique ou un domaine différent (par exemple, .com contre .net) ». La CISA recommande aussi de vérifier où un lien pointe réellement avant de lui faire confiance : « si vous survolez avec votre curseur un lien dans le corps de l’e-mail, et que les liens ne correspondent pas au texte qui apparaît en le survolant, le lien pourrait être usurpé ».

Blocage par DNS

Comme un appareil interroge un résolveur avant même de pouvoir atteindre un site, quiconque contrôle ce résolveur peut discrètement empêcher la connexion de jamais démarrer. L’Electronic Frontier Foundation explique le mécanisme sans détour : « un FAI peut programmer son résolveur DNS pour donner une réponse incorrecte, ou aucune réponse, chaque fois qu’un utilisateur tente de rechercher l’emplacement d’un site ou d’un service bloqué ». Passer à un résolveur qui répond honnêtement peut rétablir l’accès, et utiliser un DNS chiffré (leçon précédente) ajoute une couche supplémentaire, puisqu’il peut « empêcher tout acteur du réseau de voir (et de filtrer) votre trafic DNS ». L’EFF signale aussi les limites de cette approche : « si vous utilisez l’un des services DNS chiffrés populaires tels que 1.1.1.1 ou 8.8.8.8, sachez que des gouvernements peuvent cibler ces points d’accès » directement.

Tunneling DNS

Le trafic DNS est si systématiquement autorisé à traverser les pare-feux qu’il peut être détourné pour servir de canal à part entière. MITRE ATT&CK, le catalogue largement utilisé des techniques réelles d’attaquants, décrit cela comme du tunneling DNS : « des adversaires peuvent détourner le DNS pour communiquer avec des systèmes sous leur contrôle au sein d’un réseau victime, tout en imitant un trafic normal et attendu ». En pratique, cela signifie que des commandes ou des données volées sont encodées dans des requêtes et réponses DNS, qui passent inaperçues parmi les recherches légitimes que chaque appareil effectue en permanence. C’est une technique intégrée dans un protocole par ailleurs ordinaire et essentiel, ce qui explique en partie pourquoi il est difficile pour un réseau de le bloquer entièrement.

Choisir un résolveur

Il n’existe pas de résolveur simplement « sûr » : chaque choix déplace la visibilité quelque part. Cloudflare note que son propre résolveur public, 1.1.1.1, « prend en charge à la fois DoT et DoH », et d’autres résolveurs publics offrent les mêmes options chiffrées ; quel que soit votre choix, cet opérateur devient la partie qui voit vos recherches, comme l’a décrit la leçon précédente sur la visibilité. Un résolveur qui bloque aussi les domaines connus comme malveillants peut empêcher une recherche d’atteindre un domaine de phishing ou d’attaque confirmé, mais c’est un filtre, pas une garantie que chaque domaine dangereux figurera sur sa liste.

Rien de tout cela ne revient à promettre qu’un seul réglage rend un appareil sûr : le DNS n’est qu’une couche parmi beaucoup d’autres, et des attaquants déterminés et bien équipés s’adaptent à n’importe quelle défense isolée. Toute personne confrontée à une menace précise et sérieuse — un ou une journaliste, un militant ou une militante, quelqu’un sous surveillance ciblée — est mieux servie par une aide experte que par une simple liste de vérifications. La ligne d’assistance de sécurité numérique d’Access Now offre une assistance technique gratuite et directe aux personnes et organisations à risque, et la Freedom of the Press Foundation accompagne les journalistes avec des conseils de sécurité numérique similaires.