Vos noms de domaine sont pour votre entreprise des actifs immatériels de grande valeur.
Parce que votre plateforme de gestion de noms peut être une cible de choix pour les pirates, il est crucial de sécuriser vos accès.
Voici une infographie vous expliquant quels sont les risques encourus si vos accès sont mal protégés et les 5 éléments garantissant qu’une plateforme est hautement sécurisée.
L’ICANN a confirmé le changement de clé KSK du DNS racine en date du 11 octobre 2018.
Pour bien comprendre, reprenons brièvement les bases. L’Internet fonctionne notamment grâce au système DNS (Domain Name System). Véritable carnet d’adresse du web, le DNS traduit en adresse IP les noms de domaine, permettant ainsi à chacun de se connecter à l’adresse voulue. Le DNS est de fait indispensable au bon fonctionnement d’Internet, pas tant d’un point de vue technique, mais d’un point de vue opérationnel. Il serait en effet aujourd’hui inconcevable de devoir utiliser des adresses IP à la place de noms de domaine pour naviguer sur le web.
Le DNS va permettre à l’internaute de renseigner dans son navigateur web, un nom de domaine pour accéder à un site web. Le navigateur va alors « résoudre » ce nom de domaine pour obtenir l’adresse IP du serveur web qui héberge ce site web et l’afficher. On appelle ça la « résolution DNS ».
Du fait de sa position centrale dans le bon fonctionnement du web, le DNS doit donc être protégé et rester hautement disponible. Si ce protocole a bien été conçu avec un souci de sécurité, le contexte cybercriminel était alors bien différent et plusieurs failles ont depuis été détectées.
C’est pour le renforcer et contrer ces vulnérabilités que le protocole DNSSEC a été développé.
DNSSEC permet de se prémunir de différents types d’attaques, en particulier l’empoisonnement du cache, en assurant l’intégrité de la résolution DNS.
Pour assurer l’intégrité de la résolution DNS, DNSSEC permet d’établir une chaine de confiance qui remonte jusqu’à la racine du DNS. La sécurité des données est effectuée à l’aide d’un mécanisme de clés (KSK pour Key Signing Key & ZSK pour Zone Signing Key) qui signe les enregistrements DNS de sa propre zone. Les clés publiques KSK sont alors envoyées au registre correspondant pour être archivées ; le registre étant lui-même lié via DNSSEC au serveur root, la chaine de confiance s’établit. Chaque zone DNS parente, garantit l’authenticité des clés de ses zones filles en les signant.
C’est aujourd’hui pour renforcer ce protocole de sécurité que l’ICANN a décidé de changer la fameuse clé DNSSEC le 11 octobre prochain.
Le roulement KSK va donc permettre de générer une nouvelle paire de clés cryptographiques publiques et privées et de distribuer le nouveau composant public aux parties qui utilisent les résolveurs de validation.
Il n’est bien sûr pas souhaitable qu’une clé cryptographique demeure identique et ne soit pas modifiée. C’est ce changement qui pourra assurer que l’infrastructure DNS est en mesure de supporter un changement de clé, en cas d’urgence notamment. Depuis qu’elle est entrée en fonctionnalité en 2010, la clé KSK utilisée pour les DNSSEC de la zone racine n’a jamais été modifiée.
L’ICANN a expliqué que « l’évolution permanente des technologies et des installations Internet, le déploiement de dispositifs IoT et l’augmentation de la capacité des réseaux dans le monde entier, conjugués au défaut regrettable de sécurité de ces dispositifs et de ces réseaux, font que les attaquants disposent d’une capacité de plus en plus grande de paralyser les infrastructures Internet ». « Plus précisément, cette force d’attaque risque de dépasser les capacités de la communauté des opérateurs de serveurs root et elle ne sera pas en mesure d’opposer une défense adéquate. »
Aujourd’hui, 25% des utilisateurs mondiaux d’Internet, c’est-à-dire 750 millions de personnes, utilisent des résolveurs validant les réponses avec DNSSEC.
Plusieurs types de structures pourraient être affectés par le roulement de la clé :
L’ICANN propose un banc d’essai pour toutes les parties souhaitant s’assurer que leurs systèmes peuvent gérer correctement le processus de mise à jour automatique : go.icann.org/ksktest
Pour plus d’informations : https://icann.org/kskroll
Nameshield enregistre et protège vos marques sur Internet depuis plus de vingt ans. Ce savoir-faire nous permet de vous garantir la plus grande résilience possible, un niveau de service élevé et bien sûr une large offre de services vous permettant de gérer au mieux vos noms de domaine.
Ce que nous ne maîtriserons jamais, c’est la géopolitique. Au lancement de Nameshield, l’ICANN n’existait pas, un chercheur californien était en charge de l’affectation des extensions de noms de domaine et Internet était alors un espace militaro-universitaire. Obtenir des informations techniques était ardu et il était monnaie courante que seuls les déplacements outre-Atlantique permettaient des échanges de qualité entre bureaux d’enregistrement.
Au fur et à mesure des évolutions d’Internet, avec notamment la création de l’ICANN en 1998, nous avons vu une privatisation de l’espace Internet. Si la privatisation d’Internet peut faire débat et nous ne sommes pas ici pour évoquer cet état de fait, la régulation d’Internet doit être réfléchie afin de continuer à pérenniser Internet, ce réseau mondial qui assure tant de choses aujourd’hui.
À l’origine, les noms de domaine étaient gratuits, puis ils sont devenus payants, les annuités augmentant avec les évolutions fixées par la NTIA et l’ICANN. La société Verisign, qui gère les extensions .COM et .NET, fait croitre ses tarifs selon une courbe tarifaire définie.
L’arrivée des nouvelles extensions, ces fameuses nouvelles extensions en 2012, ont permis aux organisations, privées ou publiques, de créer leurs propres extensions sans passer sous les fourches caudines des extensions géographiques et génériques. Ainsi de multiples extensions ont vu le jour et une nouvelle offre a ainsi été créée. Des entreprises ont commencé à communiquer en .AUDIO, .MUSIC, .TECH,…
Voici deux ans, la société Uniregistry gérant plus d’une dizaine de nouvelles extensions a décidé d’augmenter drastiquement ses tarifs. Cette hausse, imprévisible, est le fruit de cette libéralisation de l’espace de nommage : nous ne sommes plus dans un système régulé et chaque fournisseur d’extension fait ce que bon lui semble.
En effet, alors que la NTIA fixe les évolutions du .COM et du .NET, le possible retrait de l’agence américaine dérégulerait cette situation. Verisign pourrait alors être libre dans la fixation de ses tarifs et cela concernerait plus de 135 millions de noms de domaine.
A l’heure actuelle, un lobby américain veut empêcher cette libéralisation annoncée. L’Internet Commerce Association a lancé sur le site http://stopthepriceincreaseof.com/ une pétition qui aujourd’hui atteint plus de 1.000 signataires.
Cette réflexion quant à la géopolitique des noms de domaine est aujourd’hui nécessaire. Encadrer les prix, même avec des hausses, permettrait de continuer à avoir une gestion prévisionnelle de ses coûts de dépôt et de renouvellement.
En Septembre 2017, Apple changeait de moteur de recherche par défaut pour son assistant numérique personnel Siri. Depuis, toute question posée à Siri et nécessitant une recherche sur le Web passe par le moteur de recherche de Google, et non plus par Bing, celui de Microsoft. Ce changement suivait ainsi une certaine cohérence dans la mesure où le moteur par défaut dans le navigateur Safari, en version macOS ou iOS, était également celui de Google. Mais au-delà de la simple cohérence, c’est surtout le possible accord financier évoqué alors sur une note du cabinet d’analyses Bernstein qui attirait l’attention : Google aurait versé 3 milliards de dollars à Apple pour être le moteur de recherche par défaut sur iPad et sur iPhone.
Un an plus tard c’est l’analyste Rod Hall, de la banque d’investissements Goldman Sachs, qui donne un nouvel éclairage à cet accord financier officieux. En effet, Google aurait payé 9 milliards de dollars à Apple pour l’année 2018 et prévoirait près de 12 milliards de dollars pour l’année 2019. A titre d’éclairage complémentaire, ces transactions rapportent plus d’argent à Apple que ses propres services iCloud ou Apple Music et seraient même la deuxième source de revenus de la division « services » derrière l’App Store.
Rod Hall base ses estimations sur la part de marché du navigateur Safari, en croissance constante. Sur ordinateurs, tablettes et téléphones mobiles confondus, Safari représente aujourd’hui entre 15% et 17% de parts de marché selon différentes sources (NetMarketShare ou Statcounter) contre 60% à 61,6% pour Chrome. C’est surtout le trafic généré via Safari qui ne cesse d’augmenter et qui sert de base de calcul dans cet accord.
Même si les chiffres avancés par Rod Hall restent des estimations, non confirmés par les deux géants du web, ou encore jugés trop importants par d’autres cabinets, la facture finale pour Google semble salée. Mais ces chiffres restent presque raisonnables au vu des enjeux financiers. En effet, selon différentes sources, Google représente plus de 92% du marché des moteurs de recherche dans le monde et entend bien par tous les moyens maintenir cette position dominante.
L’acquisition de trafic est primordiale pour Google qui se rattrape directement via le canal publicitaire, indirectement sur la collecte d’information des utilisateurs venant ainsi alimenter ses bases de données et, par voie de conséquence, ses programmes d’intelligence artificielle, sans parler de la préservation de son omnipotence.
Google a ainsi renégocié l’an dernier les contrats de ses partenaires en augmentant leur rémunération. Les sommes que Google reverse à ses partenaires au titre de l’acquisition de trafic ont régulièrement augmenté ces dernières années. Ils ont dépassé les 20 milliards de dollars en 2017, représentant 22,7 % des revenus publicitaires du groupe… ça donne le tournis.
On s’en souvient, Bercy avait testé ses agents l’an dernier afin de les sensibiliser à la cybersécurité. Cette année, à l’occasion du mois de la cybersécurité, le ministère des finances a lancé une initiative concernant l’évaluation de la résilience des noms de domaine au regard de leur messagerie électronique, en adoptant un système d’affichage similaire à celui des étiquettes énergies : https://ssi.economie.gouv.fr/
A l’aide de cet outil, vous pouvez saisir les noms de domaine de vos expéditeurs afin de vérifier le niveau de sécurité technologique associé. A noter que les notes ‘A++’ sont considérées par Bercy comme étant plus sécurisées que des LRAR – lettre recommandée avec accusé de réception.
Les critères d’évaluation sont tous techniques et la liste est présentée dans la partie FAQ de l’initiative : DNSSEC (sécurité du DNS), MX (serveur mail), SPF, DKIM, DMARC (adresses IP légitimes), et autoconfig (configuration des clients de messagerie) sont ainsi les indicateurs utilisés.
L’initiative est louable, d’autant plus qu’elle est présentée comme étant un indicateur permettant d’être une base pour les marchés publics : l’évaluation idoine permet ainsi d’avoir une représentation imagée de la qualité du prestataire technologique. L’arrêté correspondant est d’ailleurs paru récemment.
Là où l’on peut s’interroger, c’est sur le choix de la représentation visuelle : utiliser une étiquette-énergie pour représenter une information de sécurité informatique, c’est dévoyer l’usage originel. Si l’on parlait de la consommation énergétique des serveurs associés aux noms de domaine, pourquoi pas. Il en résulte un travail intéressant pour les ergonomes-dessinateurs : inventer un modèle de représentation de la sécurité technologique internet. A vos tablettes graphiques !
![[INFOGRAPHIE] Protégez vos accès ! Le premier maillon de la sécurité de vos noms de domaine](https://blog.nameshield.com/fr/wp-content/uploads/sites/3/2018/10/infographie-plateforme-sécurisée-OK-1200x1058.jpg)
