Extensions de sécurité DNS (DNSSEC)

Lorsqu’une machine connectée à un réseau veut contacter une autre machine, l’un des premiers protocoles appelés est le DNS (Domain Name System). Le DNS  est une base de données distribuée et hiérarchique utilisée le plus souvent pour effectuer la correspondance entre un nom de machine et son adresse IP. Les informations contenues dans le DNS sont publiques et les serveurs DNS sont accessibles par tout le monde. Dans sa conception originelle, le DNS n’inclut aucun service de sécurité tels que l’intégrité ou l’authentification, ce qui laisse ce protocole vulnérable  . Pour pallier ces vulnérabilités, l’Internet Engineering Task Force (IETF) a standardisé les extensions de sécurité DNS (DNSSEC).

DNSSEC  repose sur l’utilisation de la cryptographie à clé publique pour fournir l’intégrité et l’authenticité des données DNS. Chaque nœud de l’arbre DNS, appelé zone, possède au moins une paire de clés publique/privée utilisée pour générer les signatures numériques des informations de zone. L’unité de base de ces informations est l’enregistrement de ressource (RR). Chaque RR possède un type particulier qui indique le type des données qu’il contient. Par exemple, un enregistrement DNSKEY contient une clé publique de zone, un enregistrement RRSIG contient une signature et un enregistrement A contient une adresse IPv4.

Pour faire confiance à des données DNS, un résolveur (le client DNS) construit une chaîne de confiance  en partant d’un point d’entrée sécurisé dans l’arbre DNS  (c’est-à-dire d’une clé de confiance configurée statiquement dans le résolveur), jusqu’à l’enregistrement de ressource demandé. Un résolveur est capable de construire une chaîne de confiance s’il possède un point d’entrée sécurisé et s’il ne traverse que des zones sécurisées jusqu’à la ressource demandée.

Dans ce dossier, nous présentons, dans le § 1, le fonctionnement du protocole DNS. Puis, dans le § 2, nous décrivons quelques vulnérabilités de ce protocole qui ont amené la définition des extensions de sécurité DNS. Nous détaillons le protocole DNSSEC dans le § 3.