Actualités du .ORG – ICANN retarde à nouveau la vente du registre du .ORG

Extension .ORG - dot org - registre du .ORG - Blog Nameshield

Il y a quelques mois, nous avions évoqué dans des précédents articles, la vente par Internet Society, de Public Interest Registry (PIR), le registre du .ORG, à Ethos Capital, un fond d’investissement.

Le .ORG est l’extension de référence pour les organisations à but non lucratif et le registre du .ORG représente plus de 10,5 millions de domaines. L’annonce de la vente du registre avait pour rappel engendré de nombreuses craintes de la part de la communauté des ONG.

A la suite de ces plaintes, l’ICANN avait alors déjà retardé l’approbation de la vente du registre du .ORG à Ethos Capital demandant des informations supplémentaires à l’Internet Society.

Nouveau report de la vente du registre du .ORG à la suite de l’intervention du procureur général de Californie

Jeudi 16 avril, alors que le conseil d’administration de l’ICANN devait décider d’approuver ou non la vente du registre, il a finalement été décidé lors de cette réunion, d’un nouveau report au 4 mai 2020. La réception la veille d’une lettre du procureur général de Californie, Xavier Becerra, demandant à l’ICANN de rejeter la transaction, a été à l’origine de ce quatrième report. Il explique en effet qu’elle « soulève de graves préoccupations qui ne peuvent être négligées ».

« Habiliter une entité à but lucratif qui pourrait compromettre l’accessibilité et les coûts abordables du domaine du .ORG, servant des organisations à but non lucratif, devrait tous nous concerner » déclare le bureau du procureur au site The Register.

La nature secrète d’Ethos Capital inquiète

Dans sa lettre, le procureur a fait part de plusieurs préoccupations concernant la transaction, dont la nature secrète de l’acquéreur proposé, Ethos Capital : «On sait peu de choses sur Ethos Capital et ses multiples filiales proposées». Ethos Capital est critiqué pour sa structure inhabituelle (l’achat implique six sociétés différentes qui ont toutes été enregistrées le même jour en octobre 2019) et son manque de transparence concernant ses plans futurs.

Dans son avis publié jeudi dernier, l’ICANN affirme avoir écouté la communauté et avoir exigé une plus grande transparence ainsi que davantage de garanties de la part du PIR. Selon l’organisation, la lettre du procureur ne tient pas compte des récents travaux du PIR concernant les Public Interest Commitments, visant à rendre l’entité plus responsable envers la communauté. L’ICANN a demandé au PIR de renforcer ces engagements, un projet de révision des Public Interest Commitments a ainsi été fourni à l’ICANN.

Le comportement de l’ICANN et Internet Society critiqués

L’ICANN a également fait l’objet de plusieurs critiques tout au long du processus, notamment lorsqu’il est apparu que le personnel de l’organisation a poussé pour l’approbation de la transaction malgré l’opposition quasi universelle de la communauté Internet.

De plus, en début de semaine dernière, le premier PDG et fondateur de l’ICANN, Michael Roberts et la première présidente du conseil d’administration Esther Dyson ont écrit une lettre à Xavier Becerra critiquant cette transaction et reprochant à leurs successeurs d’abandonner les principes fondamentaux de l’ICANN.

Selon le procureur général, cette transaction aura un impact sur la réputation de l’ICANN au vu de la manière dont l’organisation a géré la situation.

Ce ne sont pas seulement l’ICANN et Ethos qui ont fait l’objet des critiques du bureau du procureur, Xavier Becerra reproche également à l’Internet Society d’avoir proposé la vente du registre du .ORG à Ethos Capital : « L’ISOC prétend soutenir l’Internet, mais ses actions, depuis la nature secrète de la transaction jusqu’à la recherche active du transfert du registre du .ORG à une entité inconnue, sont contraires à sa mission et potentiellement perturbatrices pour le même système qu’elle prétend défendre et soutenir ».

La lettre de Xavier Becerra ne menace pas l’ICANN de prendre des mesures si elle approuve la vente. Cependant, elle indique que le procureur général de Californie détient une autorité importante sur l’organisation et est prêt à agir, cette vente pouvant affecter des centaines de milliers d’autres organisations à but non lucratif.

«Compte tenu des préoccupations mentionnées ci-dessus, et sur la base des informations fournies, les intérêts du registre du .ORG et de la communauté Internet mondiale – dont font partie d’innombrables Californiens – seraient mieux servis si l’ICANN refusait d’approuver la vente et le transfert proposés du PIR et du registre du .ORG au fond d’investissement Ethos Capital. Ce bureau continuera d’évaluer cette question et prendra toutes les mesures nécessaires pour protéger les Californiens et la communauté sans but lucratif ».

Dans un avis publié jeudi dernier, l’ICANN a ainsi déclaré le report de sa décision : « Nous avons convenu de prolonger la période d’examen jusqu’au 4 mai 2020, afin de disposer d’un délai supplémentaire pour finaliser notre examen ».

Affaire à suivre !

Internet à l’heure du Covid-19

Etude Internet à l'heure du COVID19 - Nameshield

Épisode 1 – Comprendre les impacts de la crise sanitaire sur les noms de domaine

Le COVID 19 bouleverse la marche du monde. Toutes les activités humaines sont touchées, en particulier celles sur Internet, son usage en étant démultiplié. Les impacts sur le web sont multiples. Certains sont déjà bien visibles pour le grand public : enjeux de bande passante ou nouveaux usages liés au télétravail par exemple. D’autres sont moins évidents, c’est notamment le cas dans l’univers des noms de domaine, l’expertise du groupe Nameshield depuis 26 ans.

Un nom de domaine est le nom suivi d’une extension (.xxx) qui s’affiche dans l’adresse de connexion d’un site Internet. Exemple : https://www.amazon.fr ou www.france.tv. Les noms de domaine sont des actifs immatériels d’une importance cruciale, et trop souvent méconnus. La pandémie en cours a lancé une vague très forte d’enregistrements de nouveaux noms de domaine, et même de quelques marques. Cet engouement laisse apparaître de fortes disparités géographiques, et une évolution dans le temps des termes choisis, « Covid19 » remplaçant « Coronavirus » au cours du mois de février.

Les motivations sous-jacentes sont nombreuses. Certaines sont déjà explicites, d’autres peuvent se deviner. Si certains motifs semblent louables, d‘autres le sont nettement moins, allant de la simple spéculation à la préparation de fraudes de natures très variées.

Le panorama dans ce domaine est large : Sites d’appels aux dons imitant des organismes publics, conseils de santé surprenants, ventes de tests et de masques (qui n’arriveront jamais chez vous…), et même remboursements d’impôts. Vous découvrirez un florilège de thèmes assez hétéroclites et ne manquant pas de créativité. Les e-books sont aussi largement plébiscités, surfant sur l’idée que le confinement verra les internautes se tourner vers ces produits. Des téléchargements sont ainsi offerts, mais pas forcément de la nature escomptée !

Nous étudions ici ce phénomène en profondeur, en partant de 10 thèmes principaux identifiés. C’est par ces angles que nous allons creuser « l’iceberg des menaces », et en explorer le contenu.

Nous anticipons aussi des attaques ciblées géographiquement, ou portant sur des noms de grandes marques qui ont déjà été réservés. Autant de menaces à surveiller de près pour les entités concernées.

Nous poursuivrons l’exploration de cet iceberg dans de futures parutions, que nous mettrons à votre disposition dans les semaines à venir. Nous aborderons les impacts décelés sur les applications mobiles et les réseaux sociaux. Nous vous ferons découvrir notre méthode de cartographie pour suivre, et anticiper autant que possible, ces différentes atteintes. Nous proposerons également des conseils d’experts pour se prémunir, ou se défendre, contre ces différentes attaques.

DNS on Blockchain : la prochaine évolution des noms de domaine ?

DNS on Blockchain - Nameshield
Source de l’image : TheDigitalArtist via Pixabay

Résumé

Le DNS, système de noms de domaine, est un service au cœur du fonctionnement d’Internet. Il est fondamental pour le fonctionnement de nombreux services tels que les sites web, les serveurs mails, la téléphonie VoIP et bien d’autres.

Depuis plus de 30 ans, de nombreuses extensions et fonctionnalités ont été ajoutées au DNS, ce qui se traduit techniquement par une hausse de la complexité des infrastructures. 

La technologie Blockchain pourrait être une évolution considérable pour le DNS, en apportant plusieurs avantages et nouvelles fonctionnalités. 

_______________

Le DNS, un service fondamental

Le DNS, système de noms de domaine, est un service au cœur du fonctionnement d’Internet. Il fonctionne comme un annuaire public qui associe des noms de domaine à des ressources sur Internet, comme par exemple des adresses IP.

Lorsqu’un utilisateur saisit une adresse dans son navigateur, c’est donc un serveur DNS qui traduit cette adresse humainement compréhensible, en une adresse IP, compréhensible par les ordinateurs et les réseaux. C’est la résolution DNS.

DNS - DNS on Blockchain - Nameshield - Steve Despres

Ce système, créé en 1983, est fondamental pour le fonctionnement de nombreux services tels que les sites web, les serveurs mails, la téléphonie VoIP et bien d’autres. Il est en constante évolution pour répondre à des besoins toujours plus importants en termes de fonctionnalités et de sécurité. En effet, le DNS doit garantir : 

  • Disponibilité : une indisponibilité du service DNS entraînerait une coupure de services.
  • Intégrité : les données présentes sur le DNS (associées à un nom de domaine) ne doivent pas être corrompues.
  • Confidentialité : pour protéger la vie privée des utilisateurs, le DNS implémente différentes solutions qui permettent d’accroître la confidentialité des requêtes DNS. Si les requêtes ne sont pas confidentielles, il est possible d’analyser les informations de navigation des utilisateurs.

Le système de noms de domaine est basé sur un modèle de confiance centralisé. Il est distribué dans le monde entier et géré par différents acteurs de manière hiérarchique, en plusieurs niveaux ; un niveau racine, un premier niveau où sont gérées les extensions par les registres, puis un second niveau géré par les bureaux d’enregistrement. Le tout est orchestré par l’ICANN, l’autorité de régulation de l’Internet. 

Noms de domaine - DNS on Blockchain - Nameshield - Steve Despres

Depuis plus de 30 ans, de nombreuses extensions et fonctionnalités ont été ajoutées au DNS, ce qui se traduit techniquement par une hausse de la complexité des infrastructures. 

La technologie Blockchain pourrait être une évolution considérable pour le DNS, en apportant plusieurs avantages et nouvelles fonctionnalités. 

Blockchain et registre décentralisé

Une Blockchain est une structure de données accessible à tous et distribuée sur un réseau décentralisé ; les données sont répliquées sur chaque nœud du réseau, il n’y a pas d’autorité centrale. Tout le monde a la possibilité de lire son contenu, d’ajouter des données et même de rejoindre le réseau. Le concept a été implémenté la première fois en 2009 avec Bitcoin, mais il existe aujourd’hui de nombreuses technologies Blockchain, chacune avec des propriétés qui leur sont propres. 

Les données sont inscrites sur une Blockchain via des transactions. Les transactions sont regroupées en blocs, chaque bloc est ensuite validé par le réseau puis mis bout à bout. Ainsi, une Blockchain contient l’historique de toutes les transactions effectuées depuis sa création. 

Les règles de validation sont inscrites dans le protocole de la Blockchain, que chaque membre du réseau respecte. Pour garantir le respect de ses règles, les protocoles Blockchain s’appuient sur des algorithmes de consensus, le plus connu étant le Proof of Work. Ces algorithmes garantissent l’intégrité, l’immuabilité et la sécurité des données inscrites sur la Blockchain.

Blockchain - DNS on Blockchain - Nameshield - Steve Despres

 La technologie Blockchain répond à plusieurs besoins du DNS :

  • Disponibilité : un réseau décentralisé et pair à pair ne peut pas être arrêté. Cela pourrait remplacer ou compléter les infrastructures Anycast.  
  • Intégrité : le protocole de consensus d’une Blockchain garantit, par nature, l’intégrité des données. De plus, les données ne peuvent pas être modifiées. Ces propriétés permettraient de se passer de DNSSEC, et de sa fameuse cérémonie de renouvellement des clés. 
  • Confidentialité : Les requêtes effectuées pour lire les données de la Blockchain peuvent être encapsulées dans un canal HTTPS de la même manière que le protocole DNS over HTTPS (DoH). Les résolveurs DoH sont aujourd’hui peu nombreux, donc le trafic est centralisé autour d’un nombre limité d’acteurs. L’utilisation d’une Blockchain offrirait la possibilité d’interroger n’importe quel nœud du réseau, et limiterait donc ainsi la centralisation et les SPF (single point of failure). 

Les données inclues dans les fichiers de zones DNS, c’est-à-dire les configurations des noms de domaine, pourraient donc être distribuées sur une Blockchain. Chaque acteur (registres, bureaux d’enregistrement) pourrait directement interagir avec cette Blockchain pour gérer les noms de domaine. C’est l’idée du DNS on Blockchain.

De nouveaux besoins

Ces dernières années, avec l’émergence des technologies Blockchain, de nouveaux moyens d’échange de valeurs se sont développés, notamment avec la tokenisation, les crypto-actifs et les applications décentralisées (dapps); on parle de Web 3.0, ou de l’Internet de la valeur.

Moyens échange de valeurs - DNS on Blockchain - Nameshield - Steve Despres

Les portefeuilles numériques et applications décentralisées fonctionnent avec des identifiants difficilement lisibles, comme par exemple 0x483add28edbd9f83fb5db0289c7ed48c83f55982 pour une adresse de portefeuille. 

Pouvoir associer ce type d’adresse à des noms de domaine, au sein d’un système universel de nommage, pourrait avoir un réel intérêt pour les applications du Web de demain. Il serait possible d’avoir un portefeuille de cryptoactifs ou une application décentralisée configurée directement derrière un nom de domaine. Cela pourrait aussi se révéler utile pour l’identité numérique des entreprises et de leurs marques. 

DNS on Blockchain, aujourd’hui

De nombreux projets de systèmes de nommage sur Blockchain sont actuellement en cours de développement, chacun avec sa propre implémentation. 

Certaines applications proposent de nouvelles extensions de noms de domaine (TLD), comme le .bit, .zil, .crypto, .eth, etc. C’est notamment le cas de Namecoin et de UnstoppableDomains. Ces systèmes sont complètement indépendants du DNS traditionnel et de l’ICANN. L’enregistrement est directement géré par les utilisateurs, et la résolution des noms se fait en général à travers une extension de navigateur. Le navigateur Opera a récemment intégré nativement la résolution de ces noms de domaine.

Ces applications sont fonctionnelles et l’enregistrement des noms n’est pas contrôlé. Il y a donc beaucoup de cas de cybersquatting. Des utilisateurs enregistrent des noms dans l’espoir de les revendre et toucher une plus-value. Cela pose évidemment un problème pour les titulaires de marques, et empêchera certainement l’adoption de ces solutions par des entreprises. 

DNS on Blockchain - Nameshield - Steve Despres

D’autres projets proposent des solutions complémentaires au DNS. Ethereum Name Service (ENS) propose notamment un système de noms sur Blockchain qui s’intègre avec le DNS traditionnel. Si vous êtes titulaire d’un nom de domaine et pouvez le prouver avec un enregistrement DNSSEC, vous pouvez alors enregistrer ce même nom sur le service Blockchain. Cela permet de cumuler les avantages du DNS traditionnel et du DNS on Blockchain. 

Les extensions .kred, .xyz et le .luxe supportent déjà cette intégration sur Blockchain, et ENS prévoit de la proposer pour toutes les extensions compatibles DNSSEC. Ce projet est assez prometteur, Ethereum Name Service a récemment rejoint le DNS-OARC (DNS Operations, Analysis, and Research Center). 

Le projet Handshake propose quant à lui un protocole de nommage pour gérer le niveau racine du DNS, et fournir une alternative aux autorités de certification. Il remet en cause le modèle de confiance et de gouvernance du DNS, pour expérimenter un système plus décentralisé, sécurisé et résilient basé sur de la validation des zones DNS par les participants du réseau. 

Conclusion

Le DNS on Blockchain pourrait être une évolution considérable du DNS; cela apporterait plusieurs avantages et de nouvelles fonctionnalités grâce à la technologie Blockchain, ce qui profiterait au développement du web décentralisé. 

Cependant aujourd’hui, il n’y a pas encore de technologies et d’applications qui font l’unanimité, même si de nombreux projets et PoC sont en cours de développement. Ils n’ont pas encore une maturité suffisante pour être utilisés à grande échelle. Des améliorations en termes de scalabilité, de sécurité et d’usage doivent être réalisées.

La collaboration des acteurs d’Internet (ICANN, DNS-OARC, registres) semble indispensable pour qu’une technologie fasse consensus et soit adoptée, notamment pour fixer des règles communes.  C’est un sujet à suivre de près au cours des prochaines années.

Les sujets blockchains et crypto-actifs vous intéressent ? N’hésitez pas pour en savoir plus à consulter le site de notre collaborateur Steve Despres : https://cryptoms.fr/

Cybersécurité des entreprises – 5ème édition du baromètre annuel du CESIN

Cybersécurité des entreprises – 5ème édition du baromètre annuel du CESIN
Source de l’image : TheDigitalArtist via Pixabay

Chaque année, le Club des Experts de la Sécurité de l’Information et du Numérique (CESIN) publie son baromètre de la cybersécurité des entreprises afin de mieux cerner la perception et la réalité concrète de la cybersécurité et ses enjeux au sein des entreprises membres du CESIN.

En janvier dernier, le CESIN a ainsi dévoilé les résultats de son enquête OpinionWay[1], réalisée du 2 décembre 2019 au 7 janvier 2020 auprès de ses 253 membres, Responsables Sécurité des Systèmes d’Information (RSSI) de grands groupes français.

Cyberattaques : Moins d’entreprises touchées mais encore fortement impactées

L’étude met tout d’abord en avant un chiffre positif : la baisse du nombre d’entreprises qui ont subi au moins une cyberattaque en 2019, soit 65% des entreprises interrogées contre 80% en 2018 (à noter toutefois qu’il s’agit d’un écart de résultat nuancé par l’ajout de la définition de cyberattaque pour l’enquête réalisée en janvier 2020).

En revanche, l’impact de ces cyberattaques reste important puisque 57% de ces attaques ont des conséquences sur le business telles que la perturbation de la production (27%), l’indisponibilité du site web (17%) et la perte de chiffre d’affaires (9%).

Les entreprises visées ont été les cibles de 4 types de cyberattaques en moyenne en 12 mois. Parmi les vecteurs d’attaques, le phishing reste l’attaque la plus fréquente avec 79% des entreprises qui ont été touchées en 2019, suivi par l’arnaque au Président (47%), l’exploitation d’une vulnérabilité (43%) et les tentatives frauduleuses de connexion (40%).

Les principales conséquences de ces attaques sont l’usurpation d’identité (35%), l’infection par un malware (34%), le vol de données personnelles (26%), l’infection par ransomware (25%) ou encore le déni de service (19%).

Cloud, IoT et IA, des sources de préoccupation

Avec la transformation numérique, le recours au Cloud est important au sein des entreprises : 89% des entreprises interrogées stockent leurs données dans un Cloud, dont 55% dans des Clouds publics.

Une utilisation massive du Cloud qui représente toujours un risque fort en raison d’une non-maîtrise de la chaîne de sous-traitance de l’hébergeur (pour 50% des RSSI), la difficulté de mener des audits (46%) et la non-maîtrise de l’utilisation du Cloud par les salariés (46%). Pour 91% des répondants, les outils mis en place par les hébergeurs Cloud ne suffisent pas pour sécuriser les données stockées, des outils ou dispositifs spécifiques complémentaires sont nécessaires.

Les objets connectés constituent également une préoccupation croissante, ils augmentent la surface d’attaque et font apparaître de nouvelles typologies de menaces. Les RSSI interrogés s’inquiètent des failles de sécurité présentes dans ces équipements (43%) et du flou dans l’appréciation des risques potentiels (28%).

L’étude montre de plus, que l’IA embarquée au cœur des solutions de cybersécurité doit encore faire ses preuves puisque 53% des RSSI ne lui font pas confiance.

Une prise de conscience des cyber-risques

Pour prévenir les risques d’attaques, les entreprises mettent en place une douzaine de solutions de protection en moyenne, outre les antivirus et firewalls. Parmi elles, la passerelle de sécurité mail (85%), la passerelle VPN/SSL (85%), le proxy et filtrage d’URL (83%), et l’authentification multi-facteurs. Cette dernière adoptée par 72% des entreprises, connaît une hausse de 13% par rapport à 2018.

Davantage sensibilisées aux risques cyber, 91% des entreprises interrogées mettent en place un programme de cyber-résilience en parallèle des solutions de protection ou envisagent de le faire, c’est 12 points de plus que l’an passé.

La prise de conscience des cyber-risques se traduit de plus par l’augmentation constante ces trois dernières années, du nombre d’entreprises ayant souscrit à une cyber-assurance (60%).

Malgré cela, seules 4 entreprises sur 10 se disent préparées en cas de cyberattaque de grande ampleur.

Sensibilisation des salariés

Outre la menace externe, pour 43% des entreprises, la négligence des employés constitue le risque cyber le plus répandu.

Le shadow IT, à savoir le déploiement et l’usage d’applications et services hors du contrôle des équipes informatiques, est mentionné par 98% des RSSI interrogés et reste une menace importante à traiter.

Pourtant sensibilisés aux cyber-risques (selon 74% des répondants), seulement la moitié des salariés respecte les recommandations, estiment les RSSI.

Les enjeux pour l’avenir de la cybersécurité

La gouvernance est le premier enjeu cité par les RSSI (70%) pour l’avenir de la cybersécurité suivie par la formation et la sensibilisation des usagers aux questions de cybersécurité (57%).

L’augmentation du budget est un autre enjeu majeur pour 50% des répondants. La part du budget IT consacré à la cybersécurité a augmenté dans les entreprises par rapport à l’année dernière. 62% d’entre elles prévoient de l’augmenter davantage au cours des 12 prochains mois et 83% souhaitent acquérir de nouvelles solutions techniques.

Concernant les ressources humaines, une entreprise sur deux (51%) souhaite augmenter ses effectifs dédiés à la cybersécurité, mais 90% se heurtent à une pénurie de profils en SSI, entraînant des difficultés de recrutement.


[1] Sondage OpinionWay pour le CESIN

COVID19.com – Le nom de domaine enregistré par un tiers redirige vers le site internet de l’Organisation mondiale de la santé (OMS)

COVID19 - Blog Nameshield
Source de l’image : geralt via Pixabay

Les « domainers  » ont toujours un coup d’avance quand il s’agit de profiter d’une situation bonne ou mauvaise. Certains par exemple vont anticiper sur des élections en enregistrant des noms de personnalités politiques, d’autres en profitant d’une manifestation sportive ou culturelle. En conséquence, dans les noms de domaine, il y aura des opportunités pour des enregistrements spéculatifs.

Dans le cas de « COVID19.com », il semble clair qu’au moment de l’enregistrement de ce nom de domaine le 11 février 2020, le titulaire veut évidemment spéculer sur le virus « COVID 19 », terme pouvant générer de multiples requêtes quelle qu’en soit la langue. Le nom est disponible à la vente pour un montant de $10,000 USD.

Cependant, au lieu de simplement rediriger le nom de domaine vers des liens commerciaux, le titulaire a choisi de renvoyer ce nom stratégique vers le site de l’Organisation mondiale de la santé (OMS). Est-ce une démarche citoyenne ? Peu probable, car compte-tenu du contexte actuel, utiliser un tel nom pour tirer un profit direct via des liens commerciaux pourrait entraîner une violation des conditions d’enregistrement du Registrar.

A défaut de tirer un profit immédiat de ce nom de domaine, le titulaire aura au moins le mérite d’attirer notre attention sur lui le temps d’un article.