DNS sur TLS (DoT) est un protocole qui fournit une couche suppl\u00e9mentaire de s\u00e9curit\u00e9 et de confidentialit\u00e9 pour les requ\u00eates DNS (Domain Name System). Le DNS est un service essentiel qui traduit les noms de domaine lisibles par l'homme, comme \u00ab oneproxy.pro \u00bb, en adresses IP utilis\u00e9es par les ordinateurs pour localiser et communiquer avec des sites Web et des services sur Internet. Traditionnellement, les requ\u00eates DNS sont envoy\u00e9es en texte brut, ce qui les rend vuln\u00e9rables aux \u00e9coutes clandestines, aux attaques de l'homme du milieu et \u00e0 l'usurpation d'identit\u00e9 DNS.<\/p>\n
DNS sur TLS r\u00e9pond \u00e0 ces probl\u00e8mes de s\u00e9curit\u00e9 en cryptant les requ\u00eates et les r\u00e9ponses DNS \u00e0 l'aide du protocole Transport Layer Security (TLS), anciennement connu sous le nom de Secure Sockets Layer (SSL). En chiffrant le trafic DNS, les tiers ne peuvent pas intercepter ou alt\u00e9rer les requ\u00eates, offrant ainsi aux utilisateurs un niveau plus \u00e9lev\u00e9 de confidentialit\u00e9 et de protection.<\/p>\n
Le DNS sur TLS a \u00e9t\u00e9 introduit pour la premi\u00e8re fois en 2014 dans la RFC 7858, intitul\u00e9e \u00ab\u00a0Sp\u00e9cification du DNS sur la s\u00e9curit\u00e9 de la couche de transport (TLS)\u00a0\u00bb. La proposition visait \u00e0 am\u00e9liorer la s\u00e9curit\u00e9 du DNS en appliquant le cryptage aux requ\u00eates et r\u00e9ponses DNS. La RFC a document\u00e9 les normes et protocoles requis pour la mise en \u0153uvre de DNS sur TLS.<\/p>\n
DNS sur TLS fonctionne en \u00e9tablissant une connexion TLS s\u00e9curis\u00e9e entre le client (r\u00e9solveur) et le serveur DNS. Lorsqu'une requ\u00eate DNS est effectu\u00e9e, elle est encapsul\u00e9e dans le protocole TLS et envoy\u00e9e au serveur DNS via un canal s\u00e9curis\u00e9. Le serveur traite ensuite la requ\u00eate, renvoie la r\u00e9ponse chiffr\u00e9e au client, qui est ensuite d\u00e9chiffr\u00e9e par le client. Cela garantit que la communication entre le client et le serveur DNS est prot\u00e9g\u00e9e contre l'interception et la manipulation par des attaquants.<\/p>\n
Le port typique pour DNS sur TLS est 853 et il utilise le m\u00eame format de message DNS que le DNS classique sur UDP ou TCP. Cependant, il est envelopp\u00e9 dans une n\u00e9gociation TLS pour plus de s\u00e9curit\u00e9.<\/p>\n
Le processus DNS sur TLS peut \u00eatre d\u00e9compos\u00e9 en les \u00e9tapes suivantes\u00a0:<\/p>\n
Poign\u00e9e de main<\/strong>: Le client initie une n\u00e9gociation TLS avec le serveur DNS, \u00e9tablissant ainsi une connexion s\u00e9curis\u00e9e.<\/p>\n<\/li>\n Requ\u00eate<\/strong>: Le client envoie une requ\u00eate DNS au serveur via le canal TLS \u00e9tabli.<\/p>\n<\/li>\n Traitement<\/strong>: Le serveur DNS traite la requ\u00eate et g\u00e9n\u00e8re une r\u00e9ponse.<\/p>\n<\/li>\n R\u00e9ponse<\/strong>: Le serveur renvoie la r\u00e9ponse DNS chiffr\u00e9e au client.<\/p>\n<\/li>\n D\u00e9cryptage<\/strong>: Le client d\u00e9crypte la r\u00e9ponse pour obtenir les informations DNS.<\/p>\n<\/li>\n R\u00e9solution<\/strong>: Le client re\u00e7oit l'adresse IP r\u00e9solue et peut acc\u00e9der au site Web ou au service demand\u00e9.<\/p>\n<\/li>\n<\/ol>\n DNS sur TLS offre plusieurs fonctionnalit\u00e9s importantes qui en font une am\u00e9lioration pr\u00e9cieuse du DNS traditionnel\u00a0:<\/p>\n Confidentialit\u00e9<\/strong>: En chiffrant les requ\u00eates DNS, DNS sur TLS emp\u00eache les tiers, tels que les fournisseurs d'acc\u00e8s Internet (FAI), de surveiller les activit\u00e9s DNS des utilisateurs.<\/p>\n<\/li>\n S\u00e9curit\u00e9<\/strong>: Le cryptage du trafic DNS prot\u00e8ge contre l'usurpation d'identit\u00e9 DNS et les attaques de l'homme du milieu, offrant ainsi un niveau de s\u00e9curit\u00e9 plus \u00e9lev\u00e9 aux utilisateurs.<\/p>\n<\/li>\n Int\u00e9grit\u00e9<\/strong>: DNS sur TLS garantit l'int\u00e9grit\u00e9 des r\u00e9ponses DNS en les prot\u00e9geant de toute alt\u00e9ration pendant le transit.<\/p>\n<\/li>\n Authentification<\/strong>: TLS assure l'authentification entre le client et le serveur DNS, r\u00e9duisant ainsi le risque de connexion \u00e0 des serveurs DNS malveillants ou faux.<\/p>\n<\/li>\n Compatibilit\u00e9<\/strong>: DNS sur TLS est compatible avec l'infrastructure DNS existante et ne n\u00e9cessite que des modifications minimes des serveurs et clients DNS.<\/p>\n<\/li>\n Cryptage s\u00e9lectif<\/strong>: DNS sur TLS permet aux utilisateurs de choisir quelles requ\u00eates DNS doivent \u00eatre chiffr\u00e9es, offrant ainsi une flexibilit\u00e9 dans la mise en \u0153uvre des politiques de chiffrement.<\/p>\n<\/li>\n<\/ol>\n Il existe deux modes principaux de DNS sur TLS\u00a0:<\/p>\n Mode strict<\/strong>: En mode strict, le client applique DNS sur TLS pour toutes ses requ\u00eates. Si le serveur DNS ne prend pas en charge TLS, le client n'enverra pas la requ\u00eate et utilisera un serveur alternatif ou renverra une erreur.<\/p>\n<\/li>\n Mode opportuniste<\/strong>: En mode opportuniste, le client tente le DNS sur TLS mais revient au DNS standard si le serveur ne prend pas en charge le cryptage. Ce mode permet une approche plus flexible de l\u2019adoption de DNS plut\u00f4t que de TLS.<\/p>\n<\/li>\n<\/ol>\n Comparons les deux modes\u00a0:<\/p>\nAnalyse des principales fonctionnalit\u00e9s du DNS sur TLS (DoT)<\/h2>\n
\n
Types de DNS sur TLS (DoT)<\/h2>\n
\n