Pour renforcer la sécurité du carnet d’adresses de l’Internet, l’Icann procédera prochainement au transfert du DNS Root KSK. Dans quelques mois, grâce à ce déploiement, l’Internet sera plus sûr.

Cette opération est directement liée à la décision prise par l’Internet Corporation for Assigned Names and Numbers (Icann) de changer pour la première fois la clé cryptographique qui sert à protéger le carnet d’adresses de l’Internet - le Domain Name System (DNS). Cette semaine, lors de la réunion de son Conseil d’administration en Belgique, l’Icann a confirmé le changement de clé du DNS racine DNS à la date du 11 octobre 2018. C’est la première fois que la clé est modifiée depuis sa mise en place en 2010.

Pendant la réunion, l’Icann a expliqué en quoi le nouveau système permettra d’améliorer la sécurité DNS de l’Internet. Notamment, « l’évolution permanente des technologies et des installations Internet, le déploiement de dispositifs IoT et l’augmentation de la capacité des réseaux dans le monde entier, conjugués au défaut regrettable de sécurité de ces dispositifs et de ces réseaux, font que les attaquants disposent d’une capacité de plus en plus grande de paralyser les infrastructures Internet », a ainsi déclaré l’institution. « Plus précisément, cette force d’attaque risque de dépasser les capacités de la communauté des opérateurs de serveurs root et elle ne sera pas en mesure d’opposer une défense adéquate. Même s’il reste toujours nécessaire de développer une capacité défensive à court terme, les perspectives à long terme de l’approche traditionnelle semblent assez sombres », a encore déclaré l’Icann.

Des chiffrements plus solides

Toujours selon l’ICANN, le basculement KSK consiste à générer une nouvelle paire de clés cryptographiques publiques et privées et à distribuer le nouveau composant public aux parties qui utilisent les résolveurs de validation. Ces résolveurs exécutent un logiciel qui convertit des adresses comme LeMondeInformatique.fr en adresses réseau IP. Parmi les résolveurs on trouve soit des fournisseurs de services Internet, soit des administrateurs de réseaux d’entreprise et d’autres opérateurs de résolveurs DNS, des développeurs de logiciels de résolution DNS, des intégrateurs de systèmes et des distributeurs de matériel et de logiciels qui installent ou fournissent l’ « ancre de confiance » de la racine, a déclaré l’Icann. Ce dernier fait remarquer qu’en raison d’un manque significatif de déploiement des extensions de sécurité du système de noms de domaine (validation Domain Name System Security Extensions - DNSSEC), les réponses du système de serveur racine ou Root Server System restent exposées aux attaques d’intégrité.

De la même façon, parce que les messages DNS sont censés être envoyés en clair, les utilisateurs du système de serveur racine (c’est-à-dire les résolveurs) sont soumis à des attaques de confidentialité. « Même si ces attaques ne sont pas nécessairement nouvelles, le recours toujours croissant au DNS et donc au système de serveur racine indique qu’une nouvelle stratégie est nécessaire pour réduire les effets de ces attaques », a déclaré l’Icann. L’Internet Corporation for Assigned Names and Numbers pense que l’impact du déploiement sur les utilisateurs sera minime. Seul un faible pourcentage d’internautes pourrait rencontrer des problèmes pour résoudre les noms de domaine, c’est-à-dire qu’ils auront des difficultés pour atteindre leur destination en ligne. L’impact devrait être encore plus faible pour les utilisateurs professionnels. Selon l’Icann, plus de 99 % des utilisateurs dont les résolveurs sont en cours de validation ne seront pas affectés par le basculement KSK. Les entreprises devraient déjà avoir mis à jour leur logiciel pour effectuer des déploiements automatiques (rollovers « RFC 5011 ») ou elles ont d’ores et déjà installé manuellement la nouvelle clé. « Il n’est pas possible de vérifier que chaque opérateur de réseau aura configuré ses « résolveurs » correctement, mais si les choses se passent comme prévu, nous pensons que la grande majorité aura accès à la zone racine », a déclaré dans un communiqué Cherine Chalaby, présidente du conseil d’administration de l’Icann.

Mise à jour nécessaire chez les opérateurs

« D’après une étude, plusieurs milliers d’opérateurs réseau ont effectué la validation DNSSEC, et environ un quart des utilisateurs de l’Internet dépendent de ces opérateurs », a déclaré David Conrad, directeur de la technologie de l’Icann. « Certes, il faut s’attendre à ce que certains opérateurs quelque part dans le monde ne soient pas prêts. Mais même dans le pire des cas, tout ce qu’ils ont à faire pour résoudre le problème est de désactiver la validation DNSSEC, installer la nouvelle clé et réactiver le DNSSEC et leurs utilisateurs auront à nouveau une connectivité complète au DNS », a-t-il expliqué.

Le basculement du Root KSK de la version 2010 vers la version 2017 devait avoir lieu il y a presque un an, mais il a été reporté au 11 octobre de cette année en raison de problèmes potentiels de perturbation de la connectivité Internet. Un an après la date initialement prévue, et après consultation de la communauté, l’Icann a élaboré un nouveau plan recommandant la mise en service de la nouvelle clé. L’institution a poursuivi ses activités de sensibilisation et ses enquêtes sur la meilleure façon d’atténuer les risques associés au changement de clé. « C’est le premier changement de la clé racine, et ce ne sera pas le dernier », a déclaré Matt Larson, vice-président de la recherche à l’Icann et personne-ressource de l’institution pour le basculement. « Parce que c’est la première fois, nous allons surveiller ce qui se passe pour nous assurer que tout se déroule aussi bien que possible. Plus tard, pour les autres déploiements de clés, les opérateurs de réseaux, les FAI et autres seront plus habitués à la pratique ».

Michael Cooney, IDG NS (adapté par Jean Elyan)

(Source : Le Monde informatique, 20 septembre 2018)