Vos noms de domaine sont pour votre entreprise des actifs immatériels de grande valeur.
Parce que votre plateforme de gestion de noms peut être une cible de choix pour les pirates, il est crucial de sécuriser vos accès.
Voici une infographie vous expliquant quels sont les risques encourus si vos accès sont mal protégés et les 5 éléments garantissant qu’une plateforme est hautement sécurisée.
L’ICANN a confirmé le changement de clé KSK du DNS racine en date du 11 octobre 2018.
Pour bien comprendre, reprenons brièvement les bases. L’Internet fonctionne notamment grâce au système DNS (Domain Name System). Véritable carnet d’adresse du web, le DNS traduit en adresse IP les noms de domaine, permettant ainsi à chacun de se connecter à l’adresse voulue. Le DNS est de fait indispensable au bon fonctionnement d’Internet, pas tant d’un point de vue technique, mais d’un point de vue opérationnel. Il serait en effet aujourd’hui inconcevable de devoir utiliser des adresses IP à la place de noms de domaine pour naviguer sur le web.
Le DNS va permettre à l’internaute de renseigner dans son navigateur web, un nom de domaine pour accéder à un site web. Le navigateur va alors « résoudre » ce nom de domaine pour obtenir l’adresse IP du serveur web qui héberge ce site web et l’afficher. On appelle ça la « résolution DNS ».
Du fait de sa position centrale dans le bon fonctionnement du web, le DNS doit donc être protégé et rester hautement disponible. Si ce protocole a bien été conçu avec un souci de sécurité, le contexte cybercriminel était alors bien différent et plusieurs failles ont depuis été détectées.
C’est pour le renforcer et contrer ces vulnérabilités que le protocole DNSSEC a été développé.
DNSSEC permet de se prémunir de différents types d’attaques, en particulier l’empoisonnement du cache, en assurant l’intégrité de la résolution DNS.
Pour assurer l’intégrité de la résolution DNS, DNSSEC permet d’établir une chaine de confiance qui remonte jusqu’à la racine du DNS. La sécurité des données est effectuée à l’aide d’un mécanisme de clés (KSK pour Key Signing Key & ZSK pour Zone Signing Key) qui signe les enregistrements DNS de sa propre zone. Les clés publiques KSK sont alors envoyées au registre correspondant pour être archivées ; le registre étant lui-même lié via DNSSEC au serveur root, la chaine de confiance s’établit. Chaque zone DNS parente, garantit l’authenticité des clés de ses zones filles en les signant.
C’est aujourd’hui pour renforcer ce protocole de sécurité que l’ICANN a décidé de changer la fameuse clé DNSSEC le 11 octobre prochain.
Le roulement KSK va donc permettre de générer une nouvelle paire de clés cryptographiques publiques et privées et de distribuer le nouveau composant public aux parties qui utilisent les résolveurs de validation.
Il n’est bien sûr pas souhaitable qu’une clé cryptographique demeure identique et ne soit pas modifiée. C’est ce changement qui pourra assurer que l’infrastructure DNS est en mesure de supporter un changement de clé, en cas d’urgence notamment. Depuis qu’elle est entrée en fonctionnalité en 2010, la clé KSK utilisée pour les DNSSEC de la zone racine n’a jamais été modifiée.
L’ICANN a expliqué que « l’évolution permanente des technologies et des installations Internet, le déploiement de dispositifs IoT et l’augmentation de la capacité des réseaux dans le monde entier, conjugués au défaut regrettable de sécurité de ces dispositifs et de ces réseaux, font que les attaquants disposent d’une capacité de plus en plus grande de paralyser les infrastructures Internet ». « Plus précisément, cette force d’attaque risque de dépasser les capacités de la communauté des opérateurs de serveurs root et elle ne sera pas en mesure d’opposer une défense adéquate. »
Aujourd’hui, 25% des utilisateurs mondiaux d’Internet, c’est-à-dire 750 millions de personnes, utilisent des résolveurs validant les réponses avec DNSSEC.
Plusieurs types de structures pourraient être affectés par le roulement de la clé :
L’ICANN propose un banc d’essai pour toutes les parties souhaitant s’assurer que leurs systèmes peuvent gérer correctement le processus de mise à jour automatique : go.icann.org/ksktest
Pour plus d’informations : https://icann.org/kskroll
Nameshield enregistre et protège vos marques sur Internet depuis plus de vingt ans. Ce savoir-faire nous permet de vous garantir la plus grande résilience possible, un niveau de service élevé et bien sûr une large offre de services vous permettant de gérer au mieux vos noms de domaine.
Ce que nous ne maîtriserons jamais, c’est la géopolitique. Au lancement de Nameshield, l’ICANN n’existait pas, un chercheur californien était en charge de l’affectation des extensions de noms de domaine et Internet était alors un espace militaro-universitaire. Obtenir des informations techniques était ardu et il était monnaie courante que seuls les déplacements outre-Atlantique permettaient des échanges de qualité entre bureaux d’enregistrement.
Au fur et à mesure des évolutions d’Internet, avec notamment la création de l’ICANN en 1998, nous avons vu une privatisation de l’espace Internet. Si la privatisation d’Internet peut faire débat et nous ne sommes pas ici pour évoquer cet état de fait, la régulation d’Internet doit être réfléchie afin de continuer à pérenniser Internet, ce réseau mondial qui assure tant de choses aujourd’hui.
À l’origine, les noms de domaine étaient gratuits, puis ils sont devenus payants, les annuités augmentant avec les évolutions fixées par la NTIA et l’ICANN. La société Verisign, qui gère les extensions .COM et .NET, fait croitre ses tarifs selon une courbe tarifaire définie.
L’arrivée des nouvelles extensions, ces fameuses nouvelles extensions en 2012, ont permis aux organisations, privées ou publiques, de créer leurs propres extensions sans passer sous les fourches caudines des extensions géographiques et génériques. Ainsi de multiples extensions ont vu le jour et une nouvelle offre a ainsi été créée. Des entreprises ont commencé à communiquer en .AUDIO, .MUSIC, .TECH,…
Voici deux ans, la société Uniregistry gérant plus d’une dizaine de nouvelles extensions a décidé d’augmenter drastiquement ses tarifs. Cette hausse, imprévisible, est le fruit de cette libéralisation de l’espace de nommage : nous ne sommes plus dans un système régulé et chaque fournisseur d’extension fait ce que bon lui semble.
En effet, alors que la NTIA fixe les évolutions du .COM et du .NET, le possible retrait de l’agence américaine dérégulerait cette situation. Verisign pourrait alors être libre dans la fixation de ses tarifs et cela concernerait plus de 135 millions de noms de domaine.
A l’heure actuelle, un lobby américain veut empêcher cette libéralisation annoncée. L’Internet Commerce Association a lancé sur le site http://stopthepriceincreaseof.com/ une pétition qui aujourd’hui atteint plus de 1.000 signataires.
Cette réflexion quant à la géopolitique des noms de domaine est aujourd’hui nécessaire. Encadrer les prix, même avec des hausses, permettrait de continuer à avoir une gestion prévisionnelle de ses coûts de dépôt et de renouvellement.
En Septembre 2017, Apple changeait de moteur de recherche par défaut pour son assistant numérique personnel Siri. Depuis, toute question posée à Siri et nécessitant une recherche sur le Web passe par le moteur de recherche de Google, et non plus par Bing, celui de Microsoft. Ce changement suivait ainsi une certaine cohérence dans la mesure où le moteur par défaut dans le navigateur Safari, en version macOS ou iOS, était également celui de Google. Mais au-delà de la simple cohérence, c’est surtout le possible accord financier évoqué alors sur une note du cabinet d’analyses Bernstein qui attirait l’attention : Google aurait versé 3 milliards de dollars à Apple pour être le moteur de recherche par défaut sur iPad et sur iPhone.
Un an plus tard c’est l’analyste Rod Hall, de la banque d’investissements Goldman Sachs, qui donne un nouvel éclairage à cet accord financier officieux. En effet, Google aurait payé 9 milliards de dollars à Apple pour l’année 2018 et prévoirait près de 12 milliards de dollars pour l’année 2019. A titre d’éclairage complémentaire, ces transactions rapportent plus d’argent à Apple que ses propres services iCloud ou Apple Music et seraient même la deuxième source de revenus de la division « services » derrière l’App Store.
Rod Hall base ses estimations sur la part de marché du navigateur Safari, en croissance constante. Sur ordinateurs, tablettes et téléphones mobiles confondus, Safari représente aujourd’hui entre 15% et 17% de parts de marché selon différentes sources (NetMarketShare ou Statcounter) contre 60% à 61,6% pour Chrome. C’est surtout le trafic généré via Safari qui ne cesse d’augmenter et qui sert de base de calcul dans cet accord.
Même si les chiffres avancés par Rod Hall restent des estimations, non confirmés par les deux géants du web, ou encore jugés trop importants par d’autres cabinets, la facture finale pour Google semble salée. Mais ces chiffres restent presque raisonnables au vu des enjeux financiers. En effet, selon différentes sources, Google représente plus de 92% du marché des moteurs de recherche dans le monde et entend bien par tous les moyens maintenir cette position dominante.
L’acquisition de trafic est primordiale pour Google qui se rattrape directement via le canal publicitaire, indirectement sur la collecte d’information des utilisateurs venant ainsi alimenter ses bases de données et, par voie de conséquence, ses programmes d’intelligence artificielle, sans parler de la préservation de son omnipotence.
Google a ainsi renégocié l’an dernier les contrats de ses partenaires en augmentant leur rémunération. Les sommes que Google reverse à ses partenaires au titre de l’acquisition de trafic ont régulièrement augmenté ces dernières années. Ils ont dépassé les 20 milliards de dollars en 2017, représentant 22,7 % des revenus publicitaires du groupe… ça donne le tournis.
On s’en souvient, Bercy avait testé ses agents l’an dernier afin de les sensibiliser à la cybersécurité. Cette année, à l’occasion du mois de la cybersécurité, le ministère des finances a lancé une initiative concernant l’évaluation de la résilience des noms de domaine au regard de leur messagerie électronique, en adoptant un système d’affichage similaire à celui des étiquettes énergies : https://ssi.economie.gouv.fr/
A l’aide de cet outil, vous pouvez saisir les noms de domaine de vos expéditeurs afin de vérifier le niveau de sécurité technologique associé. A noter que les notes ‘A++’ sont considérées par Bercy comme étant plus sécurisées que des LRAR – lettre recommandée avec accusé de réception.
Les critères d’évaluation sont tous techniques et la liste est présentée dans la partie FAQ de l’initiative : DNSSEC (sécurité du DNS), MX (serveur mail), SPF, DKIM, DMARC (adresses IP légitimes), et autoconfig (configuration des clients de messagerie) sont ainsi les indicateurs utilisés.
L’initiative est louable, d’autant plus qu’elle est présentée comme étant un indicateur permettant d’être une base pour les marchés publics : l’évaluation idoine permet ainsi d’avoir une représentation imagée de la qualité du prestataire technologique. L’arrêté correspondant est d’ailleurs paru récemment.
Là où l’on peut s’interroger, c’est sur le choix de la représentation visuelle : utiliser une étiquette-énergie pour représenter une information de sécurité informatique, c’est dévoyer l’usage originel. Si l’on parlait de la consommation énergétique des serveurs associés aux noms de domaine, pourquoi pas. Il en résulte un travail intéressant pour les ergonomes-dessinateurs : inventer un modèle de représentation de la sécurité technologique internet. A vos tablettes graphiques !
En novembre 2016, Tesco Bank, banque de détail britannique détenue à 100% par le groupe de distribution Tesco, avait essuyé une attaque informatique d’une ampleur alors inédite dans ce secteur. En moins de 48 heures, les pirates avaient réussi à prélever sur des comptes clients près de 2.26 millions de livres.
40 000 comptes avaient été touchés par cette attaque et l’argent avait été subtilisé par les cybercriminels sur 20 000 d’entre eux.
Même s’il s’agissait de montants peu élevés et que ceux-ci avaient été remboursés aux victimes, la question de la solidité et la fiabilité des systèmes informatiques du secteur bancaire avait bien sûr été soulevée.
La décision de justice rendue par le FCA (Financial Conduct Authority), le régulateur financier du Royaume-Uni, est assez éloquente en la matière, jugeant que la banque n’a pas suffisamment protégé ses utilisateurs contre les cyberattaques. Les cybercriminels avaient en effet réussi à exploiter des failles pour mener à bien leur attaque, notamment dans le système de conception des cartes bancaires.
Si Tesco risquait une amende de 33.6 millions de livres, le groupe a finalement écopé d’une sanction de 16.4 millions de livres, soit environ 18.4 millions d’euros.
Le but de cette amende : montrer que le régulateur financier n’a « aucune tolérance pour les banques qui échouent à protéger les clients contre des risques prévisibles »*, souligne Mark Steward, executive director of enforcement and market oversight au FCA.
Le FCA a ainsi exprimé que Tesco Bank avait manqué à ses obligations de vigilance quant à :
Mark Steward ajoute également que dans le cas précis de l’attaque de novembre 2016, la banque n’avait géré une alerte spécifique qu’une fois que l’attaque avait débuté.
Pour la FCA, « la norme doit être désormais celui de la résilience, afin de réduire en amont le risque d’une cyberattaque, pas seulement de réagir à celle-ci »**.
*“The fine the FCA imposed on Tesco Bank today [1st October] reflects the fact that the FCA has no tolerance for banks that fail to protect customers from foreseeable risks”.
**“The standard is one of resilience, reducing the risk of a successful cyber attack occurring in the first place, not only reacting to an attack.”
Dans une interview accordée à Wired, l’ingénieur en chef de Google Chrome, Adrienne Porter Felt, a déclaré la volonté de faire des URLs une espèce en voie d’extinction.
Aussi les développeurs de Chrome chercheraient-ils des alternatives permettant de remplacer les URLs. Pour le moment, Google avance sur la sécurisation du Web avec sa mesure épinglant désormais systématiquement les sites non HTTPS.
Les URLs (Uniform Resource Locators) sont les adresses web que nous utilisons quotidiennement lors de notre navigation sur Internet. Elles sont ainsi listées dans le répertoire DNS et dirige les moteurs de recherche vers l’adresse IP associée à un serveur web hébergeant le site visé.
Si Google évoque son souhait de remplacer les URLs, c’est qu’un constat sans appel fait jour : les URLs sont devenues de plus en plus difficiles à lire et à comprendre. Par-dessus tout, les URLs offrent un niveau de sécurisation trop faible. Longues et aisément manipulables, ces dernières offriraient bien trop de possibilités aux cybercriminels pour rediriger à leur insu les internautes vers des sites malveillants. Il devient de fait compliqué pour les internautes devant une relative opacité de savoir à qui ils ont affaire.
Adrienne Porter Felt déclare ainsi : “Elles sont [les URLs] difficiles à lire, il est ardu de savoir quelle partie de ces dernières est totalement digne de confiance, et, en général, je ne pense pas que les URLs jouent réellement leur rôle dans la communication de l’identité d’un site. C’est pourquoi nous souhaitons évoluer dans le sens d’une identification plus aisée et compréhensible par tous des sites web. […] Mais cela implique des changements importants sur quand et comment Chrome affiche les URLs. »*
Si l’intention est louable, dans le monde du web où la question de la sécurité et de la confiance devient chaque jour plus importante, aucune solution n’a encore été trouvée.
Le premier essai en la matière, Origin Chip en 2014, s’était soldé par un échec. Cette fonctionnalité alors testée sur Safari permettait que seul le nom de domaine visité soit affiché dans la barre de recherche, un clic sur ce dernier rendait alors l’URL complète visible. Le mauvais accueil réservé à cette fonctionnalité lui a valu assez rapidement son retrait. Cette première expérience et ses constats sont bien sûr mis à profit dans la réflexion actuelle.
Les équipes de Google sont occupées en ce moment même à identifier les différentes utilisations faites des URLs par les internautes afin d’avancer vers une alternative qui assurerait plus de sécurité et d’intégrité quant à l’identité des sites sur le web. La route semble encore longue à parcourir avant que Google ne remplace donc l’URL.
Parallèlement, c’est également fort de ce constat du caractère manipulable et difficile à lire des URLs que des solutions d’identification ont vu le jour. Nameshield propose notamment un authentificateur d’URL permettant aux marques de signaler en temps réel à leurs internautes les URLs frauduleuses, via un système de marquage clair.
* »They’re hard to read, it’s hard to know which part of them is supposed to be trusted, and in general I don’t think URLs are working as a good way to convey site identity. So we want to move toward a place where web identity is understandable by everyone […] this will mean big changes in how and when Chrome displays URLs. We want to challenge how URLs should be displayed and question it as we’re figuring out the right way to convey identity. »
Gérée jusqu’en 2016 par une entreprise privée, l’extension togolaise .TG est désormais administrée par Lomé qui a décidé de lancer une campagne de promotion du .TG.
Le gouvernement entend ainsi faire du .TG « le symbole de la souveraineté numérique » du pays, tout en désirant « renforcer l’identité numérique du Togo », « promouvoir le savoir-faire des entrepreneurs togolais et favoriser l’inclusion du numérique dans l’économie locale ».
Un site dédié a été créé pour l’occasion [mondomainegratuit.tg] et propose aux 1000 premières entreprises, créées courant septembre 2018, qui en feront la demande de se voir offrir un kit pour le développement de leur entreprise sur le web.
Ce kit aura la bonne idée d’inclure le remboursement de l’enregistrement d’un nom de domaine en .TG.
Une belle initiative de développement local d’un ccTLD à saluer.
Si plusieurs extensions spécifiques au monde du sport, telles que les .FOOTBALL, .TENNIS, .SKI, .BASKETBALL, .GOLF, ou encore .RUGBY, avaient déjà fait leur entrée sur le terrain des noms de domaine, voici que la rentrée 2018 annonce l’arrivée de l’extension générique .SPORT !
La communauté sportive au sens large inclut tant les grands clubs sportifs que des millions de petits clubs, associations, supporters, sponsors, fédérations et autres comités.
Le .SPORT peut être utilisé par les entreprises désireuses de communiquer sur les valeurs sportives qu’elles défendent, par les clubs sportifs de toute envergure, afin de promouvoir leur dynamisme.
Le .SPORT permettra de dédier une part de sa présence Internet à la thématique sportive, via une extension clairement identifiable et ciblée, et d’y associer par exemple des campagnes marketing pertinentes …
L’ouverture des enregistrements en .SPORT débute ce mardi 4 septembre selon les phases prioritaires suivantes :
Pour toute question, l’équipe Nameshield se tient bien sûr à votre disposition.
Alors que Le Monde se rend compte de l’évolution des pages qui sont renommées au fil du temps sur Facebook, passant d’un intitulé à un autre, interrogeons-nous quelques instants sur les sites Internet traditionnels, qui possèdent un nom de domaine.
Le monde évolue, les environnements et les entreprises, associations ou autres structures également. Même si XEROX communique depuis le 9 janvier 1996 avec le nom de domaine XEROX.COM, les noms de domaine vivent leurs périodes d’enregistrement, d’utilisation et d’abandon.
Ainsi, alors que l’on estime à 340 millions de noms de domaine existant actuellement, plus d’un milliard de noms de domaine ayant existé ont pu être enregistrés.
Acceptons que nous puissions vivre dans un monde mouvant, évoluant avec le temps. Comment être certain d’être sur le bon site Internet si nous nous référons aux noms de domaine ? Le certificat SSL ?
Oui, s’il s’agit d’un certificat EV (niveau d’authentification élevé avec un contrôle complet de l’organisation. Les règles pour l’attribution d’un certificat EV sont définies par le forum CA/Browser et sont strictement contrôlées).
Que faire de plus ? Il est nécessaire de proposer une solution pérenne quant à l’identification de l’émetteur afin que chacun puisse être en confiance sur Internet, par exemple pour le titulaire du nom de domaine, adopter systématiquement un certificat EV avec le niveau d’authentification le plus élevé. Côté utilisateur, il faut être vigilant et vérifier les données propriétaire du site visité.
Alors que la revente de noms de domaine expirés pour des objectifs de SEO ou de phishing continue à évoluer, il est primordial d’assurer une gestion commune Marques, Noms de domaine et Certificats SSL.
Nameshield vous accompagnera dans cette démarche, n’hésitez pas à prendre contact avec nos experts.
![[INFOGRAPHIE] Protégez vos accès ! Le premier maillon de la sécurité de vos noms de domaine](https://blog.nameshield.com/fr/wp-content/uploads/sites/3/2018/10/infographie-plateforme-sécurisée-OK-1200x1058.jpg)
