Catégorie : Actualités

Arnaque par e-mail

Alerte FOVI - Blog Nameshield

La fraude aux faux ordres de virement (FOVI) est de retour !!!

Des escrocs ont utilisé le bon vieux système des faux ordres de virement, en piratant des comptes mail de sociétés.

Récemment, la société Pathé a été la cible d’un groupe de fraudeurs professionnels qui, grâce à une communication raffinée, a réussi à gagner la confiance de certains collaborateurs de la filiale du groupe aux Pays-Bas. Montant de la fraude : 19 200 000 euros.

Leur méthode : Des courriels envoyés au cours du mois de mars 2018 depuis une fausse adresse électronique au PDG afin de de procéder à des virements d’argent destiné à financer une prétendue acquisition à Dubaï. Les fraudeurs se faisaient passer pour la direction du groupe et précisaient que l’argent serait remboursé après la transaction.

Autre cas, une société pétrolière française s’est fait dérober 900.000 euros à la mi-octobre. Un sous-traitant français de la société, opérant en Angola, contacte par email le service comptable de cette entreprise francilienne. Il lui demande d’effectuer un virement dans le cadre de leurs affaires commerciales : « L’argent a été viré sur un compte de la Barclays Bank à Londres avant de disparaître purement et simplement ». Ce n’est qu’après-coup que l’entreprise découvre que des escrocs ont réussi à pirater le compte mail de ce sous-traitant pour leur usurper leur identité.

Ce phénomène touche plus particulièrement les petites et moyennes entreprises car elles n’ont pas encore mis en place de stratégie de protection. Selon l’office central pour la répression de la grande délinquance financière en France, 430 millions d’euros ont été détournés en l’espace de 3 ans par les escrocs aux faux ordres de virement.

Les différents modes opératoires

1. L’escroquerie au Président

Technique consistant à convaincre le collaborateur d’une entreprise d’effectuer en urgence un virement important à un tiers pour obéir à un prétendu ordre du dirigeant.

2. L’escroquerie au changement de RIB

Technique consistant à contacter un fournisseur/client afin de lui notifier d’un changement de RIB. En général, l’escroc utilise des informations confidentielles (factures, contrat) afin de convaincre l’interlocuteur de modifier le RIB et d’initier le transfert. A noter, cette technique nécessite toutefois une prise de contrôle des messageries des cibles.

Quelques règles simples pour se prémunir

Au sein de l’entreprise :

1. Sensibilisation en interne

Rappeler aux collaborateurs la prudence concernant les données de l’entreprise : Toute information liée à l’entreprise peut être utilisée par des escrocs.

Sensibiliser régulièrement l’ensemble des employés des services comptables, trésorerie, secrétariats, standards, de ce type d’escroquerie, notamment pendant les périodes de congés.

2. Instaurer des procédures de vérification pour les paiements internationaux

3. Maintenir à jour le système de sécurité informatique

4. Accentuer la vigilance pendant les périodes de vacances scolaires, les jours fériés et les jours de paiement des loyers

Surveillance :

1. Surveiller/Détecter les noms de domaine utilisés pour la messagerie interne
Les cybercriminels enregistrent des noms de domaine proches de ceux de la société afin de créer l’illusion. 

2. Lancer des actions concernant les noms de domaine déposés par des tiers (utilisés ou non)
Les escrocs utilisent les noms  de domaine quelques heures après l’enregistrement du nom de domaine afin de lancer une attaque.

3. Sécuriser la messagerie contre le typosquatting
Le logiciel de messagerie doit permettre de bloquer toute intrusion via un nom de domaine proche de celui utilisé par l’entreprise.

4. Sensibiliser les clients/fournisseurs/sous-traitants
Informer les contacts sur le mode de communication/ordre afin d’éviter tout risque d’intrusion d’un tiers.

Reconnaître les signes d’attaque

Il existe une multitude de signes permettant d’identifier une attaque, cependant c’est le caractère rapide/urgent de la demande qui peut alerter l’interlocuteur. En effet, plus l’attaque sera rapide dans le temps, plus elle sera efficace.

En voici une liste non exhaustive :

1. Une demande de virement à l’international, non planifiée, au caractère urgent et confidentiel
Dans ce cas, il peut s’avérer utile de contacter son interlocuteur habituel avec les coordonnées connues de la société.

2. Se méfier de tout changement de coordonnées téléphoniques, RIB ou mails

3. Se méfier d’un contact direct d’un escroc se faisant passer pour un membre de la société ou un responsable

4. Pour assoir sa crédibilité, l’escroc apportera une abondance de détails sur l’entreprise et son environnement
L’escroc tentera de créer un climat de confiance en apportant des données confidentielles afin de prouver la légitimité de sa demande.

Dernière histoire (vraie) pour finir :

Un escroc fait son premier coup en juillet 2005 à Paris, en téléphonant à la directrice d’une agence bancaire. Il se fait passer directeur général de sa banque. Il lui raconte qu’un agent des services secrets va prendre contact avec elle. La directrice doit coopérer à une enquête confidentielle portant sur « le blanchiment de capitaux destinés à financer des actes terroristes ». L’escroc parviendra à se faire remettre une sacoche contenant 358 000 € avant de disparaître.

DNS Belgium mettra désormais hors service les sites web frauduleux sous 24 heures

DNS Belgium mettra désormais hors service les sites web frauduleux sous 24 heures
Source de l’image : Kreutzfelder via Pixabay

Dans le cadre de la lutte contre l’insécurité sur le web, DNS Belgium, registre du .BE, a décidé d’intensifier son action en collaborant avec le SPF Economie [Le SPF Économie, PME, Classes moyennes et Énergie est le service public fédéral belge qui a pour mission de créer les conditions d’un fonctionnement compétitif, durable et équilibré du marché des biens et services en Belgique] pour fermer les sites frauduleux en moins de 24h.

Philip Du Bois, manager général de DNS Belgium indique ainsi : « Le présent protocole nous permettra d’agir ensemble avec le SPF Economie de manière encore plus ciblée contre les abus possibles impliquant des noms de domaine .be. Le protocole souligne notre ambition d’une zone .be sûre et de qualité qui crée un climat favorable pour le développement ultérieur de l’internet. »

Le but : garantir aux consommateurs une navigation en toute sécurité sur les sites Internet en .BE.

Cette procédure assurera une bien plus grande réactivité. En effet, jusqu’à présent SPF Economie ne pouvait demander au registre un blocage relatif au contenu, aussi les sites frauduleux mais dont les données d’identification étaient correctes (à tout le moins dont le caractère faux ne pouvait être prouvé) demeuraient intouchables. Le blocage nécessitait une requête auprès du Parquet, soit une procédure d’au moins deux semaines, laissant largement le temps au site frauduleux de créer des dommages importants auprès des consommateurs. Plusieurs centaines de sites par an sont concernés !

Dès le 1er décembre 2018, le protocole permettra donc au registre DNS Belgium, à la demande du SPF Economie, de bloquer les noms en .BE qui :

  • Sont utilisés pour des sites web frauduleux
  • Abritent des sites phishing

Bien sûr, cette procédure sera appliquée pour les délits reconnus comme sérieux. Le propriétaire du nom bloqué disposera d’une période de deux semaines pour réagir au blocage. Sans action de sa part sous 6 mois, le nom bloqué expirera.

Cette initiative, encore trop rare, est à saluer dans un contexte de lutte acharnée contre la cybercriminalité !

Démocratie Participative : bloquer un site Internet ne sert à rien

Le 27 novembre, le tribunal de grande instance de Paris a ordonné le blocage du site Internet Démocratie Participative auprès des fournisseurs d’accès à Internet (Free, Orange, Bouygues Telecom,…).

Portail d’extrême droite, raciste, antisémite et homophobe pour Le Monde, Démocratie Participative est le fruit du travail de Boris Le Lay, blogueur français, exilé au Japon où il continue de déverser des tombereaux de haine. Condamné à de multiples reprises, fiché S,  Le Lay vit une vie paisible au Japon où la France n’arrive pas à le faire arrêter. La lecture de sa page Wikipédia liste ses multiples condamnations.

Démocratie Participative sera bloqué, enfin, l’accès au nom de domaine democratieparticipative.biz.

Qu’a fait Le Lay ? Il a enregistré democratieparticipative.online le 1er décembre, soit quelques jours plus tard ! Et bien évidemment, le nom de domaine en .BIZ redirige vers le .ONLINE…

Ce jeu du chat et de la souris montre les limites de la communication sur Internet. La majorité des extensions de noms de domaine étant ouvertes, enregistrer une nouvelle adresse reste aisé.

Plusieurs remarques :

1. Bloquer un site Internet en raison de son nom de domaine n’est pas très malin dans la mesure où la justice française n’est pas suffisamment réactive à ce type de problème : il faudra un nouveau référé pour pouvoir bloquer le nouveau nom de domaine en .ONLINE.

2. La personne suivante qui enregistrera le nom de domaine democratieparticipative.biz sera bien embêtée lorsqu’elle verra que son nom de domaine est blacklisté en France. Seulement, elle le verra, mais elle ne le saura pas, aucune liste de sites bloqués n’existe à l’échelle mondiale.

3. Une solution de blocage serait de contacter registres et registrars vis-à-vis des chartes d’utilisation pour demander à ce qu’ils bloquent le site en question. Cette étape a été réalisée dans le cadre des évènements de Charlottesville et de la synagogue de Pittsburgh.

Malgré tout, cela fait bien de dire que l’on a bloqué un site, alors que dans les faits, cela ne sert à rien, si ce n’est qu’à communiquer. En attendant Démocratie Participative communique toujours…

Attaque et escroquerie : quand tout finit par se savoir

La vie est faite d’évènements exceptionnels. Cependant, pour aborder cette dernière du mieux possible, mettons sous le tapis les évènements qui vous feraient passer pour une personne vulnérable. Du moins, c’est une pratique répandue : ne pas montrer que vous êtes faillible ferait de vous une personne victorieuse. Raisonnement bien limité  dans la mesure où les échecs construisent l’Homme et font clairement partie de la vie. Je vous laisse lire ce fabuleux article portant sur les Instagrammeurs et leur quotidien pas toujours rose.

D’ailleurs, je vais vous avouer quelque chose : c’est seulement à l’âge de seize ans que j’ai appris que les aliments pour chien ne devaient pas être choisis en fonction de la photo du chien sur la boîte. C’est en cherchant désespérément une boite de croquette portant une photo de la race de mon chien qu’un vendeur de Jardiland m’expliqua la vérité.

phishing et arnaque au président

Non, cette tranche de pain de mie n’est pas dédiée au petit chien dessus.
Crédit image

En matière de cybersécurité, avouer ses faiblesses après coup est un procédé commun afin que chacun puisse apprendre de ses erreurs. L’entreprise A communique, et toutes les entreprises garderont en mémoire A. Avec un objectif de ne pas faire la même erreur. Malheureusement cette pratique, et ce pour plusieurs raisons dont certaines tout à fait compréhensibles, n’est pas systématique.

Pourtant, il semblerait que les attaques finissent toujours par être connues, d’une façon ou d’une autre.

Prenons le récent exemple d’une grande entreprise de la cinématographie. C’est en effet via une classique arnaque au président, appelé whaling outre-Atlantique[1], que la société a été victime d’une fraude s’élevant à 19 millions d’euros.

Cette affaire n’a pas été annoncée comme d’habitude par la bourse et la publication des comptes. Non, il s’agit là d’une décision de justice dans la mesure où la personne ayant fait le virement a été licenciée. Et elle n’a pas accepté cette éviction : c’est dans ce jugement néerlandais que les détails ont pu être communiqués au monde entier…

Malheureusement, nous ne saurons avec quelles adresses Email les fraudeurs ont réussi à convaincre le service comptable de Pathé. Mais on sait tout de même que l’adresse finissait en pathe.com, c’est la seule information donnée. De là, nous pouvons tenter de lister les différents cas de figure :

  • Un nom de domaine illicite avait été déposé de type com. Solution : une surveillance de dépôts de nouveaux nom de domaine ;
  • Le compte de messagerie d’un cadre de chez Pathé avait été récupéré frauduleusement. Solution : Demander la mise en place de la double authentification pour les messageries, à minima, des cadres dirigeants ;
  • Le nom affichait une adresse type ceo@pathe.com. Solution : lire l’adresse Email associée en passant son curseur sur l’adresse. Cette dernière est probablement différente, l’adresse ceo@pathe.com n’étant que le nom affiché de l’émetteur et non son adresse de type « ceo@pathe.com <pathescam@gmail.com ».

De manière globale trois conseils : formez-vous, formez-vous, formez-vous. Les exemples d’usurpation, de phishing ou autre via l’IT sont légion et il est nécessaire que les collaborateurs soient formés.

La communication, la vulgarisation et la sensibilisation sont indispensables : prendre quelques minutes à lire ce blog  par exemple, ou les news des sites dédiés est une bonne habitude afin d’être sensibilisés en permanence.

Analyser les récentes fraudes afin d’en sortir des best practices est notre métier et nous sommes là pour vous accompagner.

[1] Donald Trump n’a pas été gentil avec la France dans ses tweets d’hier. Du coup, je limiterai les anglicismes usuels.

La croisade de Google pour l’adoption du HTTPS par défaut

Le navigateur Chrome représente en octobre 2018, selon les sources et toutes plateformes confondues, entre 62% et 68% de parts de marché mondial. Une croissance d’une régularité implacable depuis le lancement du navigateur qui en fait aujourd’hui un acteur incontournable du web. Alors, quand le 8 septembre 2016, les équipes de développement de Chrome annoncèrent leur intention de déclarer le HTTP comme « not secure », le web dans son ensemble se mit à écouter.

HTTP not secure

L’objectif de Google était d’avertir simplement, et donc visuellement, l’internaute qu’une page en HTTP n’était pas sûre, d’autant plus pour les pages avec saisies de données à caractère personnel (login, mot de passe, informations personnelles, numéro de carte de crédit) :

” We, the Chrome Security Team, propose that user agents (UAs) gradually change their UX to display non-secure origins as affirmatively non-secure. The goal of this proposal is to more clearly display to users that HTTP provides no data security. ”

Un peu plus de deux ans et 17 versions du navigateur plus tard, le temps d’une transition graduée pour un peu plus de douceur, et Google est arrivé à ses fins avec une adoption massive du protocole HTTPS ;  la quasi-totalité des autres navigateurs, Firefox en-tête, ayant suivi la même évolution.

Retour sur l’évolution des indicateurs de sécurité dans Chrome depuis 2 ans :

  1. HTTP not secureSeptembre 2016 – Chrome 53 : le HTTP est la norme, et en dehors de certaines erreurs de sécurité liées à un défaut de la page (notamment lié aux certificats SSL), aucun indicateur particulier concernant le manque de sécurité
  2. Janvier 2017 – Chrome 56 : pour commencer, Chrome met l’accent sur les pages contenant des informations sensibles pour l’internaute, telles que la saisie de mot de passe ou de numéro de carte de crédit. Firefox s’aligne immédiatement.
  3. Octobre 2017 – Chrome 62 : Google avance vers un test grandeur nature du traitement de l’ensemble des pages HTTP considéré comme non sécurisé avec le lancement en mode « Chrome Incognito » de l’indicateur HTTP « Not secure » au lancement de la page, quel que soit son contenu
  4. Juillet 2018 – Chrome 68 : toute page chargée en HTTP, quel que soit son contenu, quel que soit le mode de navigation, est désormais considéré comme « not secure »
  5. Septembre 2018 – Chrome 69 : pour Google, HTTPS est désormais la norme. La prochaine étape, pour le moins controversée, consiste à éventuellement faire disparaître le cadenas de sécurité tant apprécié des internautes.HTTP not securePour beaucoup c’est un sérieux pas en arrière, il faudra suivre de près cette évolution et penser à mettre en place des certificats SSL Extended Validation EV, qui pour l’instant ne sont pas remis en cause par Google.Validation EV
  6. Octobre 2018 – Chrome 70 : c’est maintenant !Chrome 70Désormais, l’affichage des pages HTTP contenant des informations sensibles pour l’internaute, telles que la saisie de mot de passe ou de numéro de carte de crédit, est barré d’un indicateur non sécurisé et pour la  première fois de couleur rouge. Les autres pages HTTP sont indiquées non sécurisées en gris. Les pages HTTPS classiques avec un cadenas noir et celles avec un certificat EV affichent en plus le nom de la société… vous suivez ?
    1. Date non définie – Chrome XX : la finalité de Google est la dualité sur le traitement des urls avec HTTPS ouvertement affichés en rouge pour alerter l’internaute et le HTTPS considéré comme normal, donc ne bénéficiant plus d’aucun indicateur « positif » :

Certificats SSL

  1. HTTP à la CorbeilleDate non définie – Chrome YY : toujours dans une optique d’augmentation de la sécurité et de protection des identités, Google a dans ses cartons une réflexion en cours sur la fin du système d’url tel que nous le connaissons aujourd’hui… Pour le remplacer par un système nouveau et plus simple, affaire à suivre…

D’ici là, et si cette réflexion n’a pas encore été menée au sein de votre entreprise, il est grand temps de passer l’ensemble de vos sites web et applications en HTTPS. La réflexion doit également comprendre le fait d’insérer le nom de votre entreprise dans la barre d’adresse des navigateurs, au moins sur les sites vitrine et à fort trafic.

Comment je suis devenu un professionnel de l’air en 15 minutes

Ma grande passion, c’est l’aéronautique. Petit, je me voyais déjà pilote de ligne lorsque je lançais ces petites feuilles A4, pliées dans la meilleure configuration qu’il soit[1] pour voler en travers de la classe d’école. Malheureusement, une vue défaillante aura raison de mon ambition et je dus ainsi abandonner tout espoir de me présenter un jour comme pilote.

Plus tard, le visionnage d’Attrape-moi si tu peux, montrant[2] Léonardo DiCaprio interpréter un fraudeur se prenant pour un pilote de la Panam me rappellera mes souvenirs d’enfant.

Aujourd’hui, travaillant dans les noms de domaine, je ne peux bénéficier d’un GENTY.AERO, qui m’aurait permis d’afficher un statut de pilote aux grands de ce monde. Cependant, la DGAC vint à mon secours rapidement.

C’est en effet en lisant un article du Monde[3] présentant la nouvelle formation des pilotes de drone que l’espoir qui m’avait tant habité revint.

nom de domaine .AERO
Un titre bien français

La Direction Générale de l’Aviation Civile a récemment mis en place une plateforme permettant de passer la formation pour devenir télépilote d’aéronef civil circulant sans personne à bord utilisés à des fins de loisir et je me ruais ainsi sur le site de cette dernière[4].

La vidéo de formation de la plateforme de la DGAC
La vidéo de formation de la plateforme de la DGAC

Quinze minutes de visionnage de vidéo sans l’obligation d’être derrière l’écran, un test de 20 questions avec ces dernières toujours dans le même ordre : il ne m’en fallait pas plus pour devenir pilote de drone d’une masse inférieure à 2 kilogrammes.

L’objet de toutes les convoitises
L’objet de toutes les convoitises

Le test obtenu, Ô surprise, je pus nonchalamment présenter de manière ostentatoire mon nouveau diplôme dans un écrin de toute beauté.

Une fois ma vocation de pilote assouvie, il ne me restait plus qu’à obtenir mon nom de domaine en .AERO

L’entreprise gérant le .AERO[5], à savoir la SITA, Société internationale de télécommunication aéronautique, demande une preuve de formation de pilote. Gardons à l’esprit qu’il s’agit d’une extension fermée et donc réservée au secteur aéronautique.

Je pus joindre le PDF de mon diplôme et une journée plus tard, l’heureuse réponse vint : je peux désormais bénéficier de mon nom de domaine en .AERO

L’heureuse confirmation
L’heureuse confirmation

Voilà, en quinze minutes de formation/test, je pus obtenir un .AERO et être considéré comme n’importe quel acteur du secteur aéronautique. Si l’anecdote fait sourire sur les conditions du test, il n’en reste pas moins qu’il s’agit ici d’un exemple d’une extension dite fermée mais qui s’avère s’ouvrir rapidement.

Et oui, n’oublions pas que le registre vit des enregistrements de noms de domaine, et non d’une hypothétique confiance sur Internet.

[INFOGRAPHIE] Sécurisez votre infrastructure DNS

Les noms de domaine stratégiques d’une entreprise et les services Internet qui y sont associés dépendent du DNS et exigent une haute disponibilité ainsi qu’un niveau élevé de sécurité. Une interruption de services aurait de lourdes conséquences pour les entreprises victimes.

Pourtant, le DNS est bien souvent l’infrastructure la moins sécurisée d’une entreprise et est exposé à de nombreuses attaques potentielles.

Quelles sont les principales cyberattaques visant le DNS ? Quelles en sont les conséquences ? Comment sécuriser votre infrastructure DNS pour vous en prémunir ?

Les réponses dans cette infographie :

[Infographie] Sécurisez votre infrastructure DNS

Retrouvez également sur le blog les articles : DNS – le grand oublié de l’Internet et  les 3 attaques DNS les plus communes et comment les combattre.

Cyberattaques, des sanctions annoncées par l’Union Européenne

Cyberattaques, des sanctions annoncées par l'Union Européenne
Source de l’image : VISHNU_KV via pixabay

Après le succès de l’opération collaborative Power Off, rassemblant plusieurs pays, dont le Royaume-Uni, l’Espagne, le Canada, les USA et les Pays-Bas, épaulée par Europol, ayant conduit au démantèlement de Webstresser.org [l’une des entités responsables de plus de 4 millions d’attaques DDoS dans le monde] en mai 2018, l’Union Européenne a décidé de travailler à la création d’un régime spécifique de sanctions contre les cybercriminels.

Lors du sommet européen du 18 octobre dernier, les dirigeants des 28 états membres se sont prononcés sur des sanctions à l’encontre des pirates informatiques et ce, après la récente tentative de piratage contre l’Organisation pour l’Interdiction des Armes Chimiques (OIAC) à La Haye.

Des accusations contre Moscou

La tentative de piratage en avril 2018 déjouée par les Pays-Bas, visait l’Organisation pour l’Interdiction des Armes Chimiques. Cette dernière aurait été perpétrée par l’agence russe des renseignements militaires ou GRU. Face à cette accusation, Moscou nie cependant toute implication.

Cette cyberattaque contrée s’est jouée au moment même où l’organisation menait une enquête sur l’empoisonnement par une substance neurotoxique au Royaume-Uni d’un ancien agent russe. Malgré le démenti de Moscou, Londres persiste à accuser le GRU d’avoir perpétré cette tentative d’empoisonnement.

Les pays européens se mettent d’accord sur la sanction

Lors d’une conférence de presse, à l’issue du sommet européen, le président du conseil européen, Donald Tusk, a affirmé avoir fait une requête auprès des ministres européens, afin qu’ils élaborent des sanctions spécifiques contre les auteurs de cyberattaques. Cette demande, visant initialement à protéger les entreprises et les internautes, a été validée par les dirigeants des états membres de l’Union Européenne. Selon Donald Tusk, les sanctions constitueront à geler les biens fiscaux des organisations ou des pirates informatiques, et à leur interdire l’accès aux 28 pays membres. Dans l’urgence, 8 états dont le Danemark, les Pays-Bas, la Lituanie, la Lettonie, l’Estonie, la Roumanie, la Finlande et la Grande Bretagne ont imposé à l’Union Européenne de prendre des mesures immédiates pour sanctionner les auteurs de piratages informatiques.

Dans un monde où les cyberattaques pourtant d’envergure semblent souvent rester impunies, les pays membres soulignent l’urgence et l’absolue nécessité d’imposer ces sanctions communes.

 

[INFOGRAPHIE] Protégez vos accès ! Le premier maillon de la sécurité de vos noms de domaine

Vos noms de domaine sont pour votre entreprise des actifs immatériels de grande valeur.

Parce que votre plateforme de gestion de noms peut être une cible de choix pour les pirates, il est crucial de sécuriser vos accès.

Voici une infographie vous expliquant quels sont les risques encourus si vos accès sont mal protégés et les 5 éléments garantissant qu’une plateforme est hautement sécurisée.

Protégez vos accès ! Le premier maillon de la sécurité de vos noms de domaine

 

 

Pour la première fois depuis 2010, l’ICANN prévoit de modifier la clé KSK DNSSEC

Pour la première fois depuis 2010, l’ICANN prévoit de modifier la clé KSK DNSSEC
Source de l’image : TheDigitalArtist via Pixabay

L’ICANN a confirmé le changement de clé KSK du DNS racine en date du 11 octobre 2018.

Pour bien comprendre, reprenons brièvement les bases. L’Internet fonctionne notamment grâce au système DNS (Domain Name System). Véritable carnet d’adresse du web, le DNS traduit en adresse IP les noms de domaine, permettant ainsi à chacun de se connecter à l’adresse voulue. Le DNS est de fait indispensable au bon fonctionnement d’Internet, pas tant d’un point de vue technique, mais d’un point de vue opérationnel. Il serait en effet aujourd’hui inconcevable de devoir utiliser des adresses IP à la place de noms de domaine pour naviguer sur le web.

Le DNS va permettre à l’internaute de renseigner dans son navigateur web, un nom de domaine pour accéder à un site web. Le navigateur va alors « résoudre » ce nom de domaine pour obtenir l’adresse IP du serveur web qui héberge ce site web et l’afficher. On appelle ça la « résolution DNS ».

Du fait de sa position centrale dans le bon fonctionnement du web, le DNS doit donc être protégé et rester hautement disponible. Si ce protocole a bien été conçu avec un souci de sécurité, le contexte cybercriminel était alors bien différent et plusieurs failles ont depuis été détectées.

C’est pour le renforcer et contrer ces vulnérabilités que le protocole DNSSEC a été développé.

DNSSEC permet de se prémunir de différents types d’attaques, en particulier l’empoisonnement du cache, en assurant l’intégrité de la résolution DNS.

Pour assurer l’intégrité de la résolution DNS, DNSSEC permet d’établir une chaine de confiance qui remonte jusqu’à la racine du DNS. La sécurité des données est effectuée à l’aide d’un mécanisme de clés (KSK pour Key Signing Key & ZSK pour Zone Signing Key) qui signe les enregistrements DNS de sa propre zone. Les clés publiques KSK sont alors envoyées au registre correspondant pour être archivées ; le registre étant lui-même lié via DNSSEC au serveur root, la chaine de confiance s’établit. Chaque zone DNS parente, garantit l’authenticité des clés de ses zones filles en les signant.

C’est aujourd’hui pour renforcer ce protocole de sécurité que l’ICANN a décidé de changer la fameuse clé DNSSEC le 11 octobre prochain.

Le roulement KSK va donc permettre de générer une nouvelle paire de clés cryptographiques publiques et privées et de distribuer le nouveau composant public aux parties qui utilisent les résolveurs de validation.

Pourquoi ce changement (KSK rollover pour les intimes) ?

Il n’est bien sûr pas souhaitable qu’une clé cryptographique demeure identique et ne soit pas modifiée. C’est ce changement qui pourra assurer que l’infrastructure DNS est en mesure de supporter un changement de clé, en cas d’urgence notamment. Depuis qu’elle est entrée en fonctionnalité en 2010, la clé KSK utilisée pour les DNSSEC de la zone racine n’a jamais été modifiée.

L’ICANN a expliqué que « l’évolution permanente des technologies et des installations Internet, le déploiement de dispositifs IoT et l’augmentation de la capacité des réseaux dans le monde entier, conjugués au défaut regrettable de sécurité de ces dispositifs et de ces réseaux, font que les attaquants disposent d’une capacité de plus en plus grande de paralyser les infrastructures Internet ». « Plus précisément, cette force d’attaque risque de dépasser les capacités de la communauté des opérateurs de serveurs root et elle ne sera pas en mesure d’opposer une défense adéquate. »

Aujourd’hui, 25% des utilisateurs mondiaux d’Internet, c’est-à-dire 750 millions de personnes, utilisent des résolveurs validant les réponses avec DNSSEC.

Qui pourra être affecté par ce changement ?

Plusieurs types de structures pourraient être affectés par le roulement de la clé :

  • Les développeurs et distributeurs de logiciels Internet
  • Les intégrateurs de systèmes
  • Les opérateurs de réseau
  • Les opérateurs de serveurs racine
  • Les utilisateurs finaux (si les mesures adéquates ne sont pas prises en amont par les opérateurs de résolveurs).

L’ICANN propose un banc d’essai pour toutes les parties souhaitant s’assurer que leurs systèmes peuvent gérer correctement le processus de mise à jour automatique : go.icann.org/ksktest

 

Pour plus d’informations : https://icann.org/kskroll