Le goût amer d’un litige de confiseries

KitKat Nestlé - Litige marques de forme

 

La semaine dernière, la Cour d’Appel de Grande-Bretagne a statué sur la longue bataille en cours entre Nestlé et Cadbury (appartenant à Mondelez) sur la tentative d’enregistrer la forme de la barre KitKat au Royaume-Uni. Les marques déposées ont besoin d’être « un signe d’origine ». En particulier, l’enregistrement des marques de forme, demande la preuve d’une distinction acquise pour montrer que les consommateurs se fient à la forme pour reconnaître le produit d’origine.

 

Marque de forme - Barre KitKat

La Cour britannique a statué que ce n’est pas le cas pour la forme de la barre en chocolat de KitKat. Le simple fait que les consommateurs reconnaissent la marque est insuffisant et le déposant doit démontrer qu’une partie significative du public concerné se fie à la forme du produit pour indiquer son origine.

Une fois de plus, cela montre comment les demandes d’enregistrements de marques non traditionnelles sont plus exposées aux objections pour manque de caractère distinctif.

Il est pourtant intéressant que le secteur continue de mener ces batailles coûteuses. La plupart d’entre nous regardent ces litiges comme sans importance et une perte d’argent mais les parties concernées les voient comme une bataille pour obtenir un atout essentiel sur le marché. L’industrie de la confiserie est extrêmement compétitive – le but est de protéger votre marque et les droits de Propriété Intellectuelle associés pour empêcher les autres marques d’empiéter sur votre espace.

Il y a un certain nombre d’enregistrements de marques de forme et plusieurs d’entre eux ont vu un certain niveau de conflit en matière de dépôt de marque.

 

Quelques exemples de marques de forme connues :

Le fabricant du Lapin Or de Lindt, a lancé un nouveau produit, un ours en chocolat. Haribo, qui a inventé les bonbons gélifiés en forme d’ourson dans les années 20, affirme que cela va perturber les acheteurs, bien que l’Ours Lindt soit en chocolat alors que les Ours Haribo sont des sucreries en gélatine.

 

Exemples de marques de couleur :

Marques de couleur - exemples

Ces deux nuances de violet sont utilisées pour des produits en chocolat et sont détenues par Kraft/Mondelez. Pourtant il y a une bataille en cours entre Nestlé et Cadbury sur la légitimité d’utilisation en tant que marque déposée. Le public britannique fait le lien entre la nuance de violet et Cadbury depuis plus d’un siècle, de la même manière que la nuance de Milka est bien reconnue par une plus large audience de consommateurs européens.

Cyber-blurring : la technique mise en place par l’équipe de Macron face aux cyberattaques

Cyber-blurring - la technique mise en place par l'équipe de Macron face aux cyberattaques
Photo : www.gouvernement.fr

 

A deux heures de la clôture de la campagne pour l’élection présidentielle 2017, le 5 mai 2017, des dizaines de milliers de documents appartenant à l’équipe de campagne d’Emmanuel Macron ont fuité et ont été rendus publics sur le forum américain 4Chan, relayés par WikiLeaks. Les réseaux sociaux ont joué un rôle important dans la diffusion de cette attaque et du contenu des documents : des discussions internes du mouvement, des notes de synthèses, des photos, des factures ainsi que sa comptabilité. Cela représente 9 gigaoctets de données piratées.

Les équipes du candidat d’En Marche n’étaient pas confrontées à leur première attaque depuis le début de la campagne présidentielle. Alertées depuis longtemps sur de potentiels risques d’attaque, elles ont mis en place la stratégie du cyber-blurring (qui signifie cyber flou) pour essayer de se défendre. Cette technique consiste à créer une quantité massive de faux documents (faux emails, faux mots de passe, faux comptes) pour tenter de ralentir le travail des hackers. Cette parade est souvent utilisée dans le milieu bancaire, pour protéger leurs clients. Cette technique de diversion est aussi appelée floutage numérique.

 

Twitter L'Express - Mounir Mahjoubi - cyber-blurring pour faire face aux cyberattaques
Compte Twitter de L’Express

 

Même si le directeur de la campagne numérique d’En Marche, Mounir Mahjoubi, pense avoir considérablement ralenti le travail des hackers par cette technique de cyber-blurring, malgré ces précautions, l’attaque n’a pas été empêchée.

Les pirates informatiques n’ont pas cherché à demander une somme d’argent en échange de la non publication des documents. Ces documents non compromettants pour l’équipe d’Emmanuel Macron, n’étaient pas monétisables car il fallait s’amuser à trier 9 gigaoctets en peu de temps.

Les conséquences sont minimes sur l’impact de la campagne présidentielle et l’équipe d’En marche n’a pas été réellement touchée. Cette contre-offensive a été bien mise en place. Les pirates anti-Macron n’ont pas eu le succès souhaité. En revanche, cet échec va les pousser à être encore bien plus malins, plus ingénieux, moins visibles, mieux préparés pour une prochaine attaque.

To be continued.

Mastodon : Quid du cybersquatting ?

Mastodon - Quid du cybersquatting

 

La communication par les réseaux sociaux fait l’objet de craintes justifiées de la part des titulaires de marques. En effet, la création des noms d’utilisateur appelé « username » ne fait l’objet d’aucune protection juridique préalable. Concrètement, il faut que le titulaire enregistre ou récupère le « username » correspondant à sa marque ou bien démontre au réseau social que l’utilisation qui est faite de sa marque est un cas de malveillance. Bref, une activité chronophage…

Mastodon, réseau social datant de plusieurs mois et « hype » depuis quelques jours fait l’objet de quelques articles variés sur sa nature, son fonctionnement, son but. Mais qu’en est-il de la protection des marques associées ?

Mastodon est un réseau social créé par Eugen Rochko, développeur allemand de 24 ans. Clone de Twitter où les caractères sont limités à 500, Mastodon est gratuit, open source et surtout décentralisé. C’est sur ce dernier terme que nous allons nous intéresser. Il est possible d’accéder à Mastodon à travers son site ‘officiel’ ‘de base’ mastodon.social.

Cependant, mastodon.social n’est qu’une instance, vous pouvez en utiliser d’autres, telles que mastodon.fun, développée à Angers. Vous choisissez un username sur une instance et votre username complet sera @username@instance. Gardez à l’esprit que les instances sont raccordables entre elles donnant le terme de fédération.

Vu que tout le monde peut créer une instance, vous avez deux possibilités cumulables :

  • soit vous enregistrez votre marque pour toutes les instances existantes (il y a plus de 2000 instances à l’heure actuelle et ce n’est qu’un début) ;
  • soit vous créez votre instance, fermée, qui correspond à votre marque.

Vous l’avez compris, c’est bien la deuxième option que je vous suggère : vu qu’il n’existe pas de certification sur Mastodon, tout le monde peut être n’importe qui. Mais en créant une instance qui corresponde à votre nom de domaine principal, vous créez cette certification !

Évidemment, les titulaires de .BRAND ont tout intérêt à créer social.BRAND afin d’avoir une instance dédiée qui permettrait de mettre en avant leur TLD, de type @pierre.dupont@social.brand

 

Plus d’infos sur Mastodon ? N’hésitez pas à nous contacter pour tout renseignement complémentaire.

Cyberattaque mondiale par ransomware : l’achat d’un nom de domaine a sauvé nos vies numériques !

Cyberattaque

 

Angleterre, 2017. La cinquième puissance mondiale arrête ses 4 sous-marins atomiques. Panne générale ? Préparation à une attaque quelconque ? Non, l’absence de mise à jour Windows a rendu les systèmes vulnérables.

Bienvenue en 2017 où l’on découvre que la cybersécurité est l’affaire de tous et que peu s’y intéressent. La France découvre à la fois, l’importance des mises à jour Windows, et les initiales de l’ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information). L’attaque mondiale qui a touché bon nombre d’institutions résulterait, et le conditionnel est primordial, en une absence de mise à jour de certaines versions du système d’exploitation Windows.

Non, les utilisateurs n’ont pas fait preuve d’irresponsabilité en ne mettant pas à jour leur système Windows : il apparaît que c’est Microsoft qui n’en a pas proposé pour ses « vieux » systèmes d’exploitation. En effet, l’obsolescence programmée est aisée pour un système numérique : dans un monde en mouvement, si vous ne procédez pas aux mises à jour et montées de version, vous devenez vite défaillant et vulnérable. C’est justement ce que Microsoft a fait en stoppant les développements de ses anciens systèmes d’exploitation. En attendant, de nombreuses applications continuent de tourner sur d’illustres systèmes d’exploitation.

Bien sûr, Microsoft a réagi en proposant un patch mais la question de l’obligation de mises à jour pour les systèmes informatiques se pose : comment peut-on stopper l’usage d’un système d’exploitation jugé vulnérable, alors que des clients l’utilisent toujours ? Les spécialistes auront sans doute à débattre prochainement de cette question…

Dans notre histoire, le « ransomware » apparaît avoir été endigué par l’achat d’un nom de domaine comme l’explique Le Monde et The Guardian. Cette affaire montre, une fois de plus, le caractère stratégique des noms de domaine dans notre monde de plus en plus connecté.

 

Un nom de domaine, on doit y penser !

Oakland, Californie. 390.000 habitants, huitième ville de l’État et un nom de domaine non renouvelé (http://www.eastbaytimes.com/2017/04/13/oakland-city-website-down-domain-name-not-renewed/).

 

Oakland, California Logo

 

Pour un journaliste, il y a des marronniers bien connus : le baccalauréat, l’arrivée du froid, l’arrivée du printemps, les risques de déshydratation en plein été,…

Chez les registrars, il y en a plusieurs : quel nom de domaine utiliser ? Quel périmètre défensif adopter et surtout, comment gérer un nom de domaine ?

 

Historiquement, il fallait être sur Internet. Avoir un site web et donc un nom de domaine. C’était majoritairement une personne, « A », qui s’en occupait, avec son adresse professionnelle. Mais lorsque la personne « A » quitte l’entreprise, « B » la remplace. Sans penser à transférer les courriels en question. Première erreur.

Deuxième erreur : l’absence de réflexion quant à la gestion des noms de domaine. Qui doit gérer cet outil numérique devenu actif immatériel ? Le marketing ? La communication ? Le juridique ? L’informatique ? Peu importe. Même si aujourd’hui le service en charge de la propriété intellectuelle est souvent le mieux à même de gérer un portefeuille de noms de domaine et d’influer sur les stratégies de dépôts, il n’y a pas de règles en la matière. La seule chose que nous pouvons vous conseiller, que nous devons vous conseiller, c’est d’adopter une stratégie quant à l’enregistrement et la gestion de noms de domaine. Par exemple, quel service lit ce genre de « news » ?

Du service innovation « on a une idée de marque, on enregistre le nom de domaine », au service comptabilité « on renouvelle les noms de domaine », au service juridique « on a une stratégie réelle quant à la gestion des noms de domaine »,  au service informatique « vers quelle adresse IP dois-je configurer le nom ? » : tous les acteurs doivent être impliqués et savoir qu’il existe une procédure quelque part, et qu’elle doit être appliquée.

 

Finissons sur deux exemples :

Lorsque ZEBANK a été présenté à Bernard Arnault, ce dernier a demandé « avez-vous enregistré le nom ? ». Ce qui n’a pas été le cas.

Malheureusement ce nom de domaine en question avait déjà été enregistré une semaine plus tôt. Il a fallu 30 000 USD pour le racheter.

 

Quand Vivendi, avec J6M, a lancé son portail VIZZAVI, la surveillance des marques et noms de domaine existants n’avait pas été réalisée : l’entreprise dépensera 24 millions de francs pour réaliser un accord de coexistence avec la marque Vis-à-vis, cybercafé parisien, tenu entre autres par le porte-parole des sans-papiers (http://www.leparisien.fr/economie/vivendi-verse-24-millions-pour-proteger-vizzavi-22-07-2000-2001520430.php ).

La transition HTTPS enclenchée

Depuis les récentes annonces de Google sur la nécessité de passer votre site en HTTPS sous peine de déréférencement du web, il est temps pour les DSI d’enclencher la transition. Mais cela n’est pas sans impact sur le référencement, et se prépare en amont.

Les raisons du passage en HTTPS sont assez simples : plus de sécurité pour les internautes, plus de confiance, plus de référencement (si un malware est détecté par Google, le SEO peut être impacté), un meilleur taux de rebond, donc plus de chiffre d’affaires. Et puis de manière pragmatique, si Google le dit…avons-nous vraiment le choix ?

Nous avons trouvé les 10 étapes pour passer en HTTPS sans impacter le SEO, et Dimitri Fontaine, directeur IT de Leboncoin confirme d’ailleurs que leur transition s’était déroulée sans encombre.

  • Acheter et installer un certificat sur le serveur
  • Activer HTTPS sur le serveur
  • Choisir la bonne liste de ciphers
  • Mettre à jour les contenus HTTP en HTTPS (liens internes, images, scripts, pubs, etc)
  • Activer le nouveau site HTTPS sur Search Console
  • Envoyer le nouveau sitemap HTTPS
  • Mettre en place les redirections d’URL HTTP vers les URL HTTPS
  • Tester
  • Configurer Google Analytics en HTTPS afin que les nouvelles visites soient prises en compte sans perdre l’historique
  • Suivre la migration sur Search Console afin de détecter d’éventuelles erreurs

 

Site leboncoin.fr
Site leboncoin.fr

 

Contrairement à ce qu’on pourrait croire, le trafic SEO du site leboncoin.fr est très faible car la plupart de la navigation se fait en trafic direct. Ainsi, le passage en HTTPS de ce site français de petites annonces a été moins stressant que pour d’autres.

Dimitri Fontaine reconnait que l’opération est moins risquée lorsqu’il n’existe pas une forte dépendance au SEO car le changement de protocole entraînera une perte de trafic SEO, même temporaire. En termes de coûts, ils ont été limités car ce site franco-français n’utilise pas de CDN (qui peut engendrer des facturations supplémentaires de la part du fournisseur liées à l’utilisation du HTTPS). Cela implique bien entendu des coûts humains, relatifs au temps passé par les équipes à vérifier le code dans chaque page. La direction de Leboncoin a décidé la migration HTTPS car le rapport coûts/bénéfices est intéressant. Google a annoncé un meilleur référencement, cependant, à ce jour, aucune conséquence sur le SEO n’a pu être mesurée.

La meilleure raison pour passer en HTTPS reste avant tout la sécurité apportée aux utilisateurs du site, apportant une marque de confiance.

Pour plus d’informations sur l’utilisation du HTTPS, retrouvez l’article de Christophe Gérard sur le blog : https://blog.nameshield.com/fr/2017/03/29/vers-un-web-100-crypte-les-nouveaux-challenges-du-https/

D’un « bon nom » découle-t-il un « bon produit » ?

Le lancement d’un nouveau produit est excitant, mais également coûteux. En plus de l’indispensable R&D, de l’étude de marché et des initiatives marketing, tous les produits exigent un nom qui est (idéalement) distinctif et disponible. Trouver le bon nom est une affaire coûteuse qui implique plusieurs étapes : création du nom et du logo, recherche de marques antérieures déposées, validation et stratégie de marque, dépôt et protection de marque etc. Suivant le lieu où vous souhaitez lancer votre produit et par conséquent protéger votre nom de produit, cela va définir les coûts qui s’élèveront probablement entre 5 000€ et 50 000€ voire davantage.

L’échec d’un produit peut être une erreur fatale pour une entreprise. En plus du temps perdu, il peut hanter les entreprises pour les années à venir et avoir des conséquences économiques importantes. L’ouverture du « Museum of Failure » dont le nom est révélateur, en est un exemple parlant. En effet, ce musée suédois ouvrira ses portes en juin pour présenter les échecs liés aux lancements ratés de marques par des entreprises parfois très notoires, et espérons, aider les entreprises à apprendre comment accéder au succès.

Le musée (museumoffailure.se) a pour accroche « Learning is the only way to turn failure into success » (Apprendre est la seule manière de transformer l’échec en succès).

Selon le fondateur Samuel West, même de grandes entreprises compétentes subissent des échecs. Il est important de créer une culture qui accepte et apprend de ses échecs.

Voici quelques exemples exposés qui ont échoué pour diverses raisons, du mauvais design aux produits tout simplement mauvais ou inutiles.

 

Exemples de produits "ratés"

 

Un exemple amusant qui y est présenté, est un jeu de société appelé « Trump, The Game ». Ce jeu est similaire au jeu Monopoly, mais avec des billets Trump dollars, des propriétés Trump et des pièces du jeu en forme de T.

« Trump, The Game » a été lancé en 1989, mais seulement 800 000 pièces ont été vendues à la place des 2 millions prévues. Ce jeu est de nouveau sorti en 2004 mais n’a toujours pas atteint ses objectifs. Le nom déposé à l’époque n’est plus en vigueur, mais bizarrement une nouvelle demande a été déposée aux Etats Unis fin 2016.

 

Trump, The Game

Nouvelles extensions : les premiers signes d’une (R)évolution ?

Les stratégies de dépôt de noms de domaine suivent des logiques parfois ardues à comprendre. Cependant, la logique « moutonnière » est celle que l’on peut aisément observer. Lorsqu’Alphabet (Google) a utilisé pour la première fois son nom de domaine ABC.XYZ, une hausse sensible d’enregistrement avec cette extension a pu être observée. Plus qu’un simple enregistrement, ABC.XYZ a créé chez le public, qu’il soit averti ou non, une interrogation sur l’extension utilisée : « tiens, ils ne sont pas en .COM ? ».

 New gTLD - abc.xyz Alphabet Google

 

Le programme des new gTLDs par l’ICANN a engendré de nombreuses réflexions quant aux politiques de nommage sur Internet. Jusqu’alors, ces extensions étaient peu connues du grand public, malgré un intérêt réel des marques pour communiquer sur le sujet : BNP Paribas, Leclerc et même AXA sont des exemples français qui ont opté pour une extension dédiée.

La création des new gTLDs permet l’enregistrement de noms de domaine en cherchant à donner une signification sur l’activité associée, qu’elle soit géographique ou sectorielle. Ainsi, nous pouvons retrouver un peu d’identification à travers l’adage « je lis le nom de domaine et je sais ce qu’il y a derrière ».

Malgré cette opportunité, peu d’entreprises de grande envergure ont opté aujourd’hui pour l’usage d’une nouvelle extension. Et aucune, à ma connaissance, ne supprime son ancienne adresse pour basculer sur la nouvelle. Ce qui peut d’ailleurs paraître logique en soi. Mais les choses qui paraissaient immuables, sont en train de changer.

DXC, entreprise américaine présente au NYSE (https://www.nyse.com/quote/XNYS:DXC) a migré son nom de domaine court, trois caractères, dxc.com vers dxc.technology. Ce sont nos confrères de DNW qui ont annoncé la nouvelle (http://domainnamewire.com/2017/04/12/20-billion-company-uses-new-tld-website/). Cependant, le service d’adresses électroniques n’a, pour sa part, pas encore migré vers la nouvelle extension.

 

New gTLD - dxc.technology
Exemple de dxc.technology

 

Cette information peut paraître de faible importance. Mais ayons en réflexion, l’impact qu’elle va avoir sur les politiques d’utilisation des nouvelles extensions. En clair, cela commence par le fait qu’elles paraissent suffisamment importantes et sûres pour qu’une entreprise y migre. Attendons la suite ! Ce n’est peut-être que le début d’une tendance de fond sur les stratégies de communication et de nommage sur Internet.

La progression des révolutions technologiques est souvent plus lente que celle initialement prévue, mais leur impact est souvent plus important aussi… Affaire à suivre.

Les objets connectés : incontournables dans les attaques DDoS ?

IoT- Attaques DDoS

 

Aujourd’hui, tous les consommateurs côtoient et utilisent des objets connectés. L’Internet des Objets (IoT) peut comprendre un réfrigérateur, un capteur, une ampoule, des caméras de vidéosurveillance, des routeurs et thermostats connectés. Leur point commun ? De disposer d’une adresse IP et d’être connectés pour communiquer.

D’après la société américaine, Gartner,  d’ici 2020, les objets connectés devraient dépasser les 20,5 milliards d’unités. Nous allons faire face à une croissance phénoménale de l’Internet des Objets dans les années à venir.

La Chine, l’Amérique du Nord et l’Europe occidentale représenteront 67% de l’ensemble de l’Internet of Things (IoT) en 2017.

Toutefois, ces objets connectés sont fréquemment déployés avec des vulnérabilités et une sécurité hasardeuse, une véritable aubaine pour les attaques DDoS. 

Les attaques par déni de service distribué (Distributed Denial of Service ou DDoS) sont aujourd’hui fréquentes. Pour les hackers, il est relativement simple de les mettre en place contre une cible non protégée. Ces attaques sont susceptibles d’engendrer des pertes financières non négligeables pour les sociétés, par l’interruption de service (site web ou boîtes email)  ou encore indirectement, par l’atteinte portée à l’image de la cible (bad buzz, mauvaise réputation…).

Avec l’arrivée des objets connectés, les chances d’être confronté à une attaque DDoS sont élevées.

Ces attaques ont pour but de rendre indisponible un service, par inondation de requêtes. Avec l’aide de nos objets numériques et connectés, les pirates envoient des requêtes en masse sur un ou plusieurs serveurs DNS. Ils arrivent à prendre le contrôle de nos objets à distance, car ils sont porteurs de failles de sécurité. Si les serveurs DNS ne sont pas protégés par un filtrage anti-DDoS puissant, alors les serveurs risquent de ne pas absorber le volume de requêtes et donc de ne plus répondre à la demande de l’utilisateur.

En octobre 2016, la société DYN, fournisseur de service DNS, a été victime d’une attaque DDoS via les objets connectés. Les services d’infrastructure DNS ont été indisponibles et ont donc impacté les services de ses clients: Twitter, Netflix, Spotify …

Plusieurs heures hors ligne, pour ces pure players du web, impactent directement le chiffre d’affaires. DYN affirme que  « des dizaines de millions d’adresses IP étaient impliquées » lors de cette attaque.

La semaine dernière, le Registrar Melbourne IT a également été victime d’une attaque DDoS. Certains de ses clients ont été touchés par cette rupture de service.

Ces attaques risquent d’être plus nombreuses, et plus puissantes en 2017. Avant les attaques étaient menées par des ordinateurs, aujourd’hui, les objets connectés sont une arme incontournable. Heureusement, certains fabricants ont affirmé vouloir renforcer la sécurisation de leurs produits connectés.

Le DNS est une priorité absolue. Il est indispensable de sécuriser ses noms de domaine stratégiques en les plaçant sur des DNS hautement sécurisés, afin de garantir une haute disponibilité permanente. Nameshield propose une solution DNS Premium pour gagner en performance et assurer une disponibilité à 100%.

Et si on parlait de DNSSEC ?

Le DNSSEC est un vieux serpent de mer qui se concrétise et devient indispensable dans les bonnes pratiques de sécurité prônées par l’ANSSI et par le web d’une manière générale. Et pourtant c’est un terme un peu barbare qui fait souvent peur et dont on ne sait pas trop bien comment ça marche et à quoi ça sert. Cet article a pour humble vocation d’éclaircir tout ça.

Le Domain Name System Security Extensions est un protocole de communication standardisé permettant de résoudre des problèmes de sécurité liés au DNS. Il convient donc de commencer par un petit rappel de ce qu’est le DNS.

Qu’est-ce que le DNS ?

Pour faire au plus simple, le Domain Name System (ou Système de Noms de Domaine) est un peu l’annuaire de l’Internet. C’est un service permettant de traduire un nom de domaine en adresses IP. Il s’appuie sur une base de données distribuée sur des millions de machines. L’être humain arrive beaucoup plus facilement à identifier, mémoriser et différencier des noms que des suites de chiffres, le DNS a ainsi été défini et implémenté dans les années 80 pour devenir une brique fondamentale (et souvent oubliée) de l’Internet d’aujourd’hui.

Comment le DNS fonctionne ?

Le DNS va permettre à l’internaute de renseigner dans son navigateur web, un nom de domaine pour accéder à un site web. Le navigateur va alors « résoudre » ce nom de domaine pour obtenir l’adresse IP du serveur web qui héberge ce site web et l’afficher. On appelle ça la « résolution DNS ».

Résolution DNS

Quels sont les risques liés au DNS ?

Pierre angulaire du web, si le DNS tombe, vos sites web et vos e-mails tombent, ce qui de nos jours est purement impensable. D’autres applications peuvent être impactées dans les entreprises : l’accès au VPN, intranet, cloud, VOIP… tout ce qui nécessite potentiellement une résolution de noms vers des adresses IP. Le DNS doit donc être protégé et rester hautement disponible.

Si le protocole DNS a été conçu avec un souci de la sécurité, plusieurs failles de sécurité du protocole DNS ont été identifiées depuis. Les principales failles du DNS ont été décrites dans le RFC 3833 publié en août 2004. Interception de paquets, fabrication d’une réponse, corruption des données, empoisonnement du cache DNS et Déni de service. Je vous renvoie à l’article français de Wikipedia sur le sujet, fort bien documenté.

Pour contrer ces vulnérabilités, le protocole DNSSEC a été développé.

Les enjeux de DNSSEC :

DNSSEC permet de se prémunir de ces différents types d’attaques, en particulier l’empoisonnement du cache, en assurant l’intégrité de la résolution DNS. Les enjeux de DNSSEC ont donc été les suivants :

  • Comment assurer l’intégrité des données et authentifier les DNS (résolveurs/serveurs faisant autorité) tout en conservant la rétrocompatibilité avec DNS ?
  • Comment assurer la sécurité d’accès à la ressource demandée aux milliards d’utilisateurs du web ?
  • Comment trouver une solution assez légère pour ne pas surcharger les serveurs de noms ?

Fonctionnement de DNSSEC :

Pour assurer l’intégrité de la résolution DNS, DNSSEC permet d’établir une chaine de confiance qui remonte jusqu’à la racine du DNS (serveur DNS racine du schéma ci-dessus). La sécurité des données est effectuée à l’aide d’un mécanisme de clés (KSK pour Key Signing Key & ZSK pour Zone Signing Key) qui signe les enregistrements DNS de sa propre zone. Les clés publiques KSK sont alors envoyées au registre correspondant pour être archivées ; le registre étant lui-même lié via DNSSEC au serveur root, la chaine de confiance s’établit. Chaque zone DNS parente, garantit l’authenticité des clés de ses zones filles en les signant.

 

Sans DNSSEC                                     Avec DNSSEC

DNSSEC vs DNS normal

 

DNSSEC, Nameshield et vous :

DNSSEC intervient comme une protection indispensable pour vos noms stratégiques, qui permet de sécuriser l’authenticité de la réponse DNS. Il serait opportun d’étudier les noms qui méritent d’être protégés. Tous les TLDs ne proposent pas encore DNSSEC, voici une liste non exhaustive des principaux, liste très évolutive avec de nombreux ralliements en cours :

Extension supportant actuellement DNSSEC : .fr, .com, .be, .net, .eu, .pl, .re, .pm, .yt, .wf, .tf, .info, .li, .ch, .biz, .de, .sx, .org, .se, .nl, .in, .us, .at, .nu, .la, .ac, .cz, .me, .sh, .io, .uk, .co.uk, .me.uk, .org.uk.

Tous les news gTLDs, comme .paris, .club, .xyz, .wiki, .ink, supportent également DNSSEC.

DNSSEC est inclus sans supplément dans l’offre DNS Premium de Nameshield. Nameshield vous accompagne dans cette démarche pour la sécurisation optimale de vos actifs immatériels et gère l’intégralité du protocole DNSSEC pour vous, de la création, au stockage et au renouvellement des clés.

Ce n’est pas la seule réponse à mettre en place, le système de registry lock, le service DNS Premium, les certificats SSL sont des solutions complémentaires à étudier, que nous aurons l’occasion d’aborder dans d’autres articles ou dans les prochains nameshield.cafe.