À propos des attaques sur les noms de domaine

Ce week-end a été marqué par un grand intérêt médiatique (c'était même
sur BFM TV) pour le DNS. Comme d'habitude quand il s'agit de DNS et de
cybersécurité, 90 % de c...ies. Donc, quelques faits et quelques
leçons à en tirer.

1) Les attaques datent pour la plupart d'octobre à décembre 2018. La
plupart des articles médiatiques faisaient comme si les bombes étaient
en train de tomber en ce moment.

2) La première publication semble avoir été celle de Talos le 27
novembre 2018
<https://blog.talosintelligence.com/2018/11/dnspionage-campaign-targets-middle-east.html>
mais elle était très incomplète. Le 9 janvier 2019, la société FireEye
a publié un rapport
<https://www.fireeye.com/blog/threat-research/2019/01/global-dns-hijacking-campaign-dns-record-manipulation-at-scale.html>
pas terrible, mais qui documentait cette série d'attaques et qui,
cette fois, a suscité pas mal d'intérêt de la part des
professionnels. Le 19 février 2019, Brian Krebs a publié un long
article, détaillé, avec plein de faits précis
<https://krebsonsecurity.com/2019/02/a-deep-dive-on-the-recent-widespread-dns-hijacking-attacks/>
et cela a eu encore plus d'impact.  Tout le reste, notamment
l'agitation de ce week-end, est de l'écume médiatique.

3) La campagne d'attaques du moment utilise surtout des attaques sur
le système d'avitaillement des noms de domaine. Contrairement à ce
qu'on a pu lire, il n'y a pas vraiment eu d'attaques DNS, même si ces
attaques ont évidemment eu des conséquences visibles dans le DNS. Ces
attaques sur l'avitaillement sont banales (New York Times en 2013
<https://www.bortzmeyer.org/attaques-sea.html>, Météo France et Canal+
en 2016, Wikileaks en 2017
<https://www.bortzmeyer.org/observations-wikileaks.html>). Leur cause
fondamentale est que, dans la plupart des organisations, les noms de
domaine ne font guère l'objet d'attentions de sécurité. Par exemple,
alors que le serveur HTTP est protégé, le mot de passe de connexion au
bureau d'enregistrement ou bien à l'hébergeur DNS est faible, et
largement connu. C'est d'autant plus vrai que, à beaucoup d'endroits,
la gestion des noms de domaine est confiée à des services sans
compétence opérationnelle, ni formation en sécurité (service
communication, service juridique).

4) La principale nouveauté des attaques dont on parle en ce moment est
qu'elles ont aussi frappé, et avec succès, certains acteurs importants
de l'Internet, comme Netnod
<https://www.netnod.se/news/statement-on-man-in-the-middle-attack-against-netnod>
et PCH.

5) DNSSEC, souvent cité, aurait empêché *certaines* de ces attaques,
ou en tout cas aurait limité leurs conséquences. (L'analyse complète
est complexe
<https://www.bortzmeyer.org/piratage-registre-dnssec.html>.) Il est
consternant qu'en 2019, il soit aussi peu déployé, aussi bien au
niveau des résolveurs (par exemple, Orange, SFR et Bouygues ne
valident pas) qu'à celui des serveurs faisant autorité (le seul
établissement financier en France à utiliser DNSSEC semble Paypal, et
je ne parle pas des domaines gouvernementaux).

6) Mais il n'y a évidemment aucune solution magique et parfaite à ces
problèmes. Réduire les vunérabilités exploitées par le groupe
d'attaquants nécessite une action de longue haleine, portant sur de
nombreux aspects du système d'information, à l'opposé du
sensationnalisme et de la panique.