Extensions de sécurité DNS (DNSSEC)

Les extensions de sécurité DNS sont une collection de normes de l'Internet Engineering Task Force qui traitent des vulnérabilités de sécurité au sein du système de noms de domaine. Elles le protègent également contre les menaces en ligne. L'objectif des DNSSEC est d'accroître la sécurité de l'Internet dans son ensemble en remédiant aux faiblesses de sécurité du DNS. Essentiellement, le DNSSEC ajoute l'authentification au DNS pour rendre le système plus sûr. Le système de noms de domaine gère la navigation sur Internet en localisant les noms de domaine et en les mettant en correspondance avec les adresses IP. Le DNS n'a pas la capacité de déterminer si les données du domaine appartiennent légitimement à un propriétaire autorisé. Cette faiblesse en matière de sécurité rend le système vulnérable à un certain nombre d'attaques, comme l'empoisonnement du cache DNS, par exemple. Dans une attaque par empoisonnement du cache DNS, un intrus remplace une adresse IP valide mise en cache dans une table DNS par une adresse fictive. Les requêtes pour l'adresse valide sont redirigées en conséquence, et des logiciels malveillants - tels qu'un ver, un logiciel espion ou un pirate de navigateur - peuvent être téléchargés sur l'ordinateur de l'utilisateur à partir de l'adresse fictive. DNSSEC utilise des signatures numériques et des clés cryptographiques pour vérifier que les données de recherche et les connexions aux serveurs valides sont correctes. Les éléments fondamentaux des DNSSEC ont été spécifiés dans trois demandes de commentaires de l'IETF publiées en mars 2005 : RFC 4033 - Introduction à la sécurité du DNS et exigences, RFC 4034 - Enregistrements de ressources pour les extensions de sécurité du DNS et RFC 4035 - Modifications du protocole pour les extensions de sécurité du DNS. La mise en œuvre du DNSSEC est quelque peu complexe et se fait sur une base volontaire. Par conséquent, l'adoption a été lente. Aux États-Unis, le gouvernement fédéral a rendu obligatoire la mise en œuvre de DNSSEC pour les réseaux gouvernementaux. Le National Institute of Standards and Technology (NIST) et la General Services Administration (GSA) ont mis en œuvre les normes dans le domaine de premier niveau dot.gov. Cependant, toutes les agences ne sont pas en mesure de remplir le mandat du domaine de deuxième niveau.

DNSSEC peut être proposé sous forme de services gérés ; certains fournisseurs proposent également des appareils DNSSEC, qui automatisent le processus.