Le DNS n’a de cesse de faire parler de lui ces derniers temps ! Après le premier KSK rollover d’octobre 2018, et la désactivation de l’ancienne clé KSK le 11 janvier dernier, voici venue l’heure du DNS Flag Day !
DNS Flag Day : De quoi s’agit-il ?
Késako me direz-vous ? Le flag day est une expression utilisée en informatique pour signifier la date butoir et/ou un changement radical.
Rappelons-nous que lors de sa création, le poids des menaces cybercriminelles pesant désormais sur l’infrastructure DNS n’existait pas. Si la sécurité était reléguée au second plan, l’évolution des attaques l’ont rendue absolument nécessaire : le DNS se doit d’être renforcé !
C’est dans ce contexte qu’a été créé, en 1999, le standard EDNS (mis à jour en 2013 dans le RFC6891). EDNS a notamment permis la mise en œuvre de DNSSEC, la géolocalisation du DNS et d’autres mesures visant à un renforcement de la sécurité.
Cette transition n’a pas été sans mal. Adoptions du standard EDNS abusives, absences de mises à jour, contournements ont entrainé la création de nombreux patches et adaptations du code des serveurs récursifs (afin notamment de pouvoir différencier les serveurs DNS ne supportant pas correctement EDNS de ceux injoignables pour d’autres motifs).
Deux décennies plus tard, la maintenance de tous ces logiciels patchés est devenue plus que complexe et engendre des bugs pouvant compromettre la sécurité des DNS. Le poids de ces patchs impacte évidemment la rapidité des temps de réponse.
L’heure est donc venue pour ce standard d’être appliqué par tous, sous peine de ne plus pouvoir faire efficacement face aux nouvelles attaques DNS, telles que l’amplification ou encore les attaques layer 7.
C’est pourquoi les grands acteurs informatiques (Google, Cloudflare, Facebook, Cisco…), dont les développeurs des serveurs récursifs, ont décidé d’une seule voix de ne plus supporter les serveurs DNS ne respectant pas le standard EDNS à compter du 1er février 2019. Le flag day arrive !
Et concrètement ?
A partir du DNS Flag Day, le 1er février donc, tous les serveurs DNS non compatibles avec le standard EDNS (ou ne fonctionnant pas faute d’un firewall compatible EDNS), ne répondant donc pas à des requêtes EDNS, seront vus comme injoignables ; les contournements et autres patches évoqués allant être supprimés des nouvelles versions des logiciels DNS.
Pour simplifier, non placé sur des DNS compatibles, votre nom de domaine court le risque de ne plus répondre.
Comment anticiper ?
C’est pourquoi il est important de vous assurer que les serveurs DNS hébergeant les zones de vos noms soient compatibles EDNS, notamment si ces derniers ne sont pas placés sur l’infrastructure DNS Nameshield, ou si votre entreprise maintient sa propre infrastructure.
Le site DNS Flag Day permet également de tester la conformité de votre nom : https://dnsflagday.net/
Notre équipe se tient bien sûr à votre disposition pour toute question.
