Le DNS chiffré règle un problème que la plupart des organisations ignorent : chaque visite d’un site web commence par une question posée en clair. Le poste demande au réseau quel serveur héberge le nom de domaine visé. Cette requête DNS révèle qui consulte quoi, à quelle heure et depuis quel poste. Un observateur bien placé reconstitue ainsi l’historique de navigation d’un salarié, d’un patient ou d’un visiteur, sans jamais lire le contenu des pages.
Des requêtes DNS en clair qui racontent votre activité
Le protocole DNS date de 1983. Il a donc été conçu à une époque où la sécurité ne figurait pas au cahier des charges. L’Agence nationale de la sécurité des systèmes d’information (ANSSI) le rappelle dans son guide ANSSI-PA-105 : le service de résolution de noms est né avec un niveau de sécurité minimal. Pourtant, toute atteinte à sa disponibilité ou à son intégrité prive les utilisateurs d’accès au système d’information.
Le fournisseur d’accès lit ces requêtes. L’opérateur d’un réseau Wi-Fi public aussi, tout comme un attaquant placé en position d’interception. Autrement dit, toute personne présente sur le trajet en déduit des habitudes parfois très sensibles, par exemple la consultation régulière d’un site médical ou syndical.
Faites le test sur votre propre réseau. Demandez à votre équipe informatique quel résolveur utilisent les postes, et si les échanges avec lui sont chiffrés. Une réponse hésitante signifie, en pratique, que les requêtes circulent en clair.
DoT et DoH, les deux standards du DNS chiffré
Deux normes de l’Internet Engineering Task Force (IETF) encadrent le chiffrement de la résolution. D’abord, la RFC 7858 définit le DNS sur TLS (DoT). Ensuite, la RFC 8484 définit le DNS sur HTTPS (DoH). Dans les deux cas, la requête voyage dans un tunnel chiffré entre le poste et le résolveur.
Le chiffrement ne suffit pas à lui seul. En effet, un navigateur qui envoie ses requêtes DNS over HTTPS vers un résolveur public choisi par l’éditeur contourne la supervision de l’entreprise. C’est pourquoi l’agence de renseignement américaine (NSA) recommande depuis 2021 aux entreprises de déployer leur propre résolveur chiffré et de bloquer les résolveurs externes non maîtrisés. L’organisation garde ainsi sa visibilité de sécurité, tout en protégeant la confidentialité des flux.
Une requête DNS est une donnée personnelle
Associée à une adresse IP ou à l’identifiant d’un poste, une requête DNS se rattache à une personne. Elle relève donc du RGPD. Son traitement obéit à l’article 32, qui impose des mesures de sécurité adaptées au risque et cite expressément le chiffrement.
Une interception massive de requêtes constitue une violation de confidentialité. Si elle présente un risque pour les personnes, l’article 33 impose sa notification à la Commission nationale de l’informatique et des libertés (CNIL) sous 72 heures. Lorsque le risque est élevé, l’article 34 impose en plus d’informer les personnes concernées.
Le choix du résolveur pose enfin la question du prestataire. Un résolveur public établi hors de l’Union européenne reçoit l’historique de navigation de vos équipes. Vérifiez donc son statut de sous-traitant, le contrat qui l’encadre et les garanties prévues pour les transferts de données hors de l’Union.
NIS2 classe les fournisseurs de services DNS parmi les entités essentielles
La directive (UE) 2022/2555, dite NIS2, range les fournisseurs de services DNS parmi les entités essentielles, au même titre que l’énergie ou les transports. La résolution de noms conditionne en effet le fonctionnement de tous les autres services. Les organisations concernées intègrent donc leurs résolveurs dans l’analyse de risque et dans les mesures de gestion exigées par la directive. Pour anticiper ces exigences, consultez notre article sur le référentiel ReCyF publié par l’ANSSI.
Déployer le DNS chiffré sans perdre le contrôle
Installez un résolveur interne qui accepte DoT ou DoH, puis dirigez tous les postes vers lui. Interdisez ensuite les résolveurs publics configurés poste par poste, car ils échappent à toute supervision.
Encadrez aussi la journalisation des requêtes. Ces journaux décrivent la navigation de chaque salarié. Leur finalité reste donc la sécurité, leur durée de conservation est courte et documentée, et leur accès se limite à quelques personnes habilitées. Sur ce point, notre article consacré à la prévention des fuites sans surveillance excessive des salariés détaille les limites à respecter.
Inscrivez enfin ce traitement au registre et relisez le contrat du prestataire si la résolution est externalisée. Un changement de résolveur se décide avec le DPO, et pas seulement à la direction technique.
Sources
Le guide de l’ANSSI Recommandations relatives aux architectures des services DNS (ANSSI-PA-105) décrit les faiblesses historiques du protocole.
Le DNS sur TLS est défini par la RFC 7858, Specification for DNS over Transport Layer Security (TLS), et le DNS sur HTTPS par la RFC 8484, DNS Queries over HTTPS (DoH).
La recommandation de la NSA est rapportée par BleepingComputer dans NSA advises companies to avoid third party DNS resolvers.
Le texte de NIS2 se lit sur EUR-Lex : Directive (UE) 2022/2555 (NIS2).
