L'usurpation DNS est une attaque qui redirige les utilisateurs vers un faux site au lieu du site web auquel ils tentent d'accéder. Elle exploite une vulnérabilité du protocole UDP et nécessite des mesures de sécurité telles que DNSSEC (Domain Name System Security Extension) pour la prévenir.
L'usurpation d'identité DNS (Domain Name System) consiste à rediriger les internautes vers un site contrefait lorsqu'ils tentent d'y accéder. Cette pratique consiste à traduire les noms de domaine en adresses IP.
Pour que les ordinateurs connectés à Internet puissent s'identifier et communiquer entre eux, chaque ordinateur doit posséder une adresse IP unique, créée selon le protocole Internet (IP). Les protocoles sont des conventions de communication que les ordinateurs utilisent pour se connecter et s'envoyer des données, et sont implémentés dans des logiciels ou du matériel. Les adresses IP les plus couramment utilisées aujourd'hui sont représentées par des nombres dans quatre champs séparés par des points, comme « ***.126.63.1 ». Cette adresse ne doit pas être dupliquée ni aléatoire, et doit se voir attribuer une adresse IP publique.
Il existe deux types d'adresses IP publiques : les adresses IP statiques, qui utilisent systématiquement le même numéro, et les adresses IP dynamiques, qui peuvent être renumérotées. Les adresses IP dynamiques sont attribuées par un protocole appelé DHCP. Ce protocole accepte les requêtes des ordinateurs nécessitant une adresse IP et la leur attribue. Lorsque l'ordinateur cesse de l'utiliser, il la renvoie afin qu'un autre ordinateur puisse l'utiliser. Il existe également des adresses IP privées, qui ne sont pas directement accessibles à Internet et ne s'identifient entre elles que sur les réseaux internes.
Internet fonctionne sur la base d'adresses IP publiques. Cependant, lorsque nous l'utilisons, nous utilisons des noms de domaine plutôt que des adresses IP, composées de caractères comme « www. » pour plus de simplicité. Le DNS est nécessaire pour traduire les noms de domaine en adresses IP, et les appareils qui l'exécutent sont appelés serveurs de noms. Votre ordinateur doit enregistrer l'adresse IP du serveur de noms. Alors qu'un ordinateur doté d'une adresse IP dynamique enregistre automatiquement l'adresse IP du serveur de noms lorsqu'il reçoit une adresse IP, un ordinateur doté d'une adresse IP statique doit enregistrer manuellement l'adresse IP du serveur de noms. Les fournisseurs d'accès à Internet exploitent des serveurs de noms partagés par leurs abonnés.
Le DNS est un élément essentiel des communications Internet, et une traduction rapide et précise des noms de domaine a un impact significatif sur l'expérience utilisateur. La performance et la sécurité du DNS sont particulièrement importantes pour les sites et les entreprises qui gèrent un trafic important. Une panne ou un piratage d'un serveur DNS peut entraîner une interruption de service massive. Par exemple, l'attaque Dyn DNS en 2016 a semé la pagaille, paralysant de nombreux sites web majeurs.
Examinons la manière dont un utilisateur se connecte habituellement à un site. L'ordinateur qui tente d'accéder au site web est appelé le client. Lorsqu'un utilisateur saisit le nom de domaine du site qu'il souhaite visiter dans la barre d'adresse (ou le recherche sur un portail et clique dessus), le client envoie un paquet de requête aux serveurs de noms enregistrés, demandant l'adresse IP correspondant au nom de domaine. Si l'adresse IP est dans sa liste, le serveur de noms envoie un paquet de réponse indiquant l'adresse IP au client. Le paquet de réponse indique à quel paquet de requête il répond. Si l'adresse IP n'est pas répertoriée, le serveur de noms envoie un paquet de réponse indiquant au client l'adresse IP d'un autre serveur de noms, puis le client envoie à nouveau un paquet de requête à ce serveur de noms et répète le processus. Le client utilise l'adresse IP pour trouver le site. Serveurs de noms et clients échangent des paquets via un protocole appelé UDP. Pour garantir un envoi rapide des paquets, UDP les envoie uniquement à l'autre partie sans vérifier leur arrivée ; Il fait confiance au premier paquet de réponse reçu pour une requête particulière et rejette le paquet suivant sans vérification. L'usurpation DNS exploite ces failles dans UDP.
Examinons le fonctionnement de l'usurpation DNS. Un ordinateur infecté par un code malveillant qui effectue une usurpation DNS est appelé un attaquant. Lorsqu'un client envoie un paquet de requête à un serveur de noms pour obtenir une adresse IP spécifique, le paquet est transmis à l'attaquant, qui lui envoie un paquet de réponse contenant l'adresse IP d'un faux site. Le paquet de réponse de l'attaquant arrive au client avant celui du serveur de noms, et le client reconnaît le paquet de réponse de l'attaquant comme étant le bon et est redirigé vers le faux site.
Il est donc important de prendre des mesures de sécurité telles que DNSSEC (Domain Name System Security Extension) pour prévenir les attaques par usurpation d'identité DNS. DNSSEC vérifie l'intégrité et l'origine des données DNS, permettant aux clients de vérifier la fiabilité des données reçues. Les administrateurs réseau doivent également surveiller régulièrement les serveurs DNS et détecter toute activité anormale afin de pouvoir réagir immédiatement. Il est également important que les utilisateurs finaux respectent les règles de sécurité de base, comme l'utilisation de logiciels de sécurité fiables et l'absence de consultation de sites web suspects.
