Pourquoi utiliser des DSN sécurisés ?

La sécurité des données personnelles est un enjeu de société majeur.

Plutôt que d’utiliser le résolveur DNS menteur de votre FAI, vous pouvez utiliser des DNS sécurisés. 

Par exemple les services de Cloudflare de Quad9 ou de FDN.

Ils permettent de protéger votre navigation sur internet en chiffrant les requêtes DNS que vous envoyez aux serveurs de noms. De cette manière, la connexion est moins vulnérable aux attaques pirates et votre FAI ne voit plus aussi facilement votre historique de navigation. C’est une petite mesure de sécurité et dans une moindre mesure de protection de la vie privée. 

Les requêtes DNS sont les demandes que votre ordinateur fait à des serveurs spécialisés pour traduire les noms de domaine en adresses IP.

Par exemple pour connaitre l’adresse IP de www.microgitech.fr

Exemple d’adresse IPv4

172.16.255.0 

Exemple d’adresse IPv6

fdd4:478f:0611:255::

L’adresse IP est en quelque sorte l’adresse postales du site internet. Cette adresse est indispensable pour se connecter au site.

Pour accéder à un site web, il faut d’abord trouver son adresse IP.

Pour obtenir cette adresse, on consulte le fichier hosts de son ordinateur.

Si le fichier hosts ne contient pas l’IP qu’on cherche, on consulte des serveurs DNS.

Les serveurs DNS vont communiquer entre eux jusqu’à trouver l’adresse IP.

L’utilisation de DNS sécurisé va se généraliser. Firefox les utilise par défaut dans de nombreux pays. La France en fera prochainement partie. 

Les DNS sécurisés déplaisent aux autorités, car le DNS de votre FAI bloque votre accès à certains contenus, notamment une liste des sites de téléchargement qui ne respectent pas les droits d’auteur.

Dans le cas d’une enquête d’importance, les FAI peuvent être amené à devoir fournir aux autorités vos données de connections sur les 12 derniers mois.

Les données conservées portent exclusivement sur l’identification des utilisateurs, sur les caractéristiques techniques de leurs communications et sur la location.

A priori, sauf exception, elles ne peuvent en aucun cas porter sur le contenu des correspondances échangées ou des informations consultées. Internet est une grande porte ouverte. Ce sont des informations trop sensibles. 

https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000043887545

L’affaire Snowden aux USA, la vente d’armes de surveillances massive, par la France a des dictatures, le niveau de surveillance impressionnant en Chine et dans de nombreux autres pays… Nous rappel qu’il y a une probabilité d’abus de pouvoir et qu’il est en notre devoir de limiter les risques de glissades.

Changer de DNS c’est juste une petite sécurité supplémentaire. 

Contrairement aux USA, les opérateurs français n’ont pour le moment pas le droit de commercialiser vos données personnelles à des fins de publicité ciblé.

Comment paramétrer des DNS sécurisés :

Sur Windows 10, il faut faire une modification du registre.

Sur Windows 11, la fonctionnalité est intégrée de base.

Pour activer les DNS sécurisés sur Windows 11, vous devez suivre les étapes suivantes :

1. Ouvrez le menu Démarrer et cliquez sur Paramètres.
2. Cliquez sur Réseau et Internet, puis sur Wi-Fi ou Ethernet selon votre type de connexion.
3. A « Attribution du serveur DNS » cliquez sur « Modifier » puis Sélectionnez « Manuel ».
4. En DNS préféré, mettez par exemple 1.1.1.1 puis dans « DNS sur HTTPS » sélectionnez « Activez (modèle automatique) » 
5. Faite de même avec « Autre DNS » en utilisant cette fois-ci 9.9.9.9
6. Cliquez sur Enregistrer.

Vous avez maintenant activé des DNS sécurisés.

Votre DNS principal est Cloudflare, un DNS rapide qui normalement respecte la vie privée. Ils se sont engagés à effacer les logs toutes les 24 Heures.

En cas de panne du DNS principal, votre DNS de secours est Quad9 un DNS réputé pour le respect de la vie privée.

Notez que désormais FND aussi est sécurisé.

Je vous invite à vous renseigner mieux sur les DNS en question, car rien n’est jamais parfait. 

Les sites internet que vous visitez sont généralement en HTTPS, la communication avec les sites sont donc chiffrées.

Le contenu transféré n’est pas visible. L’adresse IP du site sur lequel vous êtes connecté reste visible ainsi que la quantité de données qui transitent vers votre PC. 

Ça ne remplace pas un VPN.

Contrairement à un VPN, ça ne bride pas votre débit internet.

Vous pouvez aussi choisir des DNS menteurs spécialisés pour filtrer les domaines malveillants, pour bloquer les PUB ou spécialisé dans le contrôle parental. 

DNS Cloudflare, sans de blocage :

• DNS primaire : 1.1.1.1
• DNS secondaire : 1.0.0.1

DNS Cloudflare, bloquant uniquement les logiciels malveillants :

• DNS primaire : 1.1.1.2
• DNS secondaire : 1.0.0.2

DNS Cloudflare, bloquant les logiciels malveillants et le contenu pour adultes :

• DNS primaire : 1.1.1.3
• DNS secondaire : 1.0.0.3

DNS Quad9 : 

https://www.quad9.net/fr/service/service-addresses-and-features

DNS FDN :

https://www.fdn.fr/actions/dns/

Notez que les DNS DoT sont des DNS chiffrés qui utilisent un port qui peut être bloqué par le part-feux d’un censeur.

Les DNS DoH sont aussi chiffrées, mais ils utilisent le même port que le HTTPS à savoir le port 443. Il est peu probable qu’ils bloquent le HTTPS. 

DNSSEC protège les données du DNS, DoH protège le canal du DNS. 

DNSSEC fonctionne un peu à la même manière que l’échange de clé publique privé du SSL sauf que le but ici n’est pas de sécuriser le canal de communication.

Le but est de signer les données du DNS pour s’assurer que des pirates n’ont pas modifié la correspondance « nom de domaine / IP du serveur de destination ». On parle de DNS hijacking.

Maintenant que vous avez quelques bases, ça serait dommage de ne pas en profiter pour vous amener un peu plus loin. 

Dans un autre registre, un attaquant peu se positionner entre vous et le site internet.

L’attaque Man-in-the-Middle consiste :

À faire croire à votre PC que c’est lui le site. 

À faire croire au site que c’est lui le client.

De cette façon, il peut voler toutes les informations qui transitent et même les modifier.

Un virus peu modifier vos serveures DNS, modifier votre fichier host, vous installer un proxy malveillant…

Un proxy peut modifier les pages web, notamment remplacer les adresses des serveurs publicitaires par ses propres serveurs de pub.

Il peut aussi bloquer l’accès à certain site, par exemple les sites d’antivirus.

Il peu dérober les informations qui passent en clair. 

Un proxy se situe au niveau de la couche application, il est généralement sur votre PC. La commande « tracert » utilise le protocole réseau IP de niveau 3 et ne peut donc voir le proxy. Pour savoir si un proxy est configuré sur votre PC, utilisez la commande :

netsh winhttp show proxy

Quand vous vous connectez à un site, vous vous connectez à l’IP de son serveur, mais aussi a l’IP des serveurs qui échangent des datas avec le site. Tels que la publicité.

Si vous voulez voir une partie des entrailles d’un site internet, appuyez sur la touche F12.

Si à l’installation d’un logiciel gratuit, vous ne prêtez pas attention et vous acceptez l’installation d’un logiciel tiers indésirable (PUPs), il va se télécharger sur votre machine. Si vous avez au préalable bloqué l’IP de ce dernier, il ne pourra pas se télécharger. 

Vous pouvez vous-même modifier votre fichier host pour y appliquer des filtres et empêcher par exemple l’installation des PUPs.

Vous pouvez aussi bloquer les serveurs de PUB … 

Certains serveurs de publicités changent régulièrement leurs IP pour qu’on ne puisse plus les bloquer aussi facilement. C’est pourquoi il faut utiliser des outils qui mettent à jour les filtres.

Vous pouvez aussi gérer votre historique google. Vous risquez d’être surpris de voir toutes vos recherches et déplacements sur plusieurs années. Comme on dit dans le milieu. Personne ne vous connait mieux que Google.

https://support.google.com/websearch/answer/6096136?hl=fr&co=GENIE.Platform%3DAndroid

Voir aussi :

https://microgitech.fr/ecran-bleu-bsod-windows-reparation-sur-montpellier/