Vulnérabilités du DNS

Le DNS (Domain Name Solver) permet de réaliser la résolution des noms Internet.
Fonctionnellement, il s’agit d’associer à un nom donné une adresse IP correspondante. Son utilité est flagrante dès qu’il s’agit de naviguer sur le Web : qui connaît en effet aujourd’hui l’adresse IP de son moteur .....
de recherche favori ?
Du fait de sa grande importance,
ce service demeure particulièrement sensible en termes de SSI. En outre, ce service de noms peut parfois contenir des enregistrements utiles à un agresseur pour se renseigner sur sa cible (adresses des relais de messagerie, types de machines,etc.).
Début 2000, des attaquants étaient parvenus à corrompre les tables de plusieurs serveurs DNS racines (le DNS est un service hiérarchique) afin de rediriger les requêtes vers certains sites (dont celui du FBI) sur un serveur pirate, usurpant ainsi l’identité de nombreuses machines.
Lorsque l’on met en place une interconnexion de réseaux il peut être judicieux (et recommandé !) de mettre en place une architecture dite de « split DNS ». Le principe consiste à utiliser deux services DNS : d’un coté un serveur DNS interne qui ne sera pas visible de l’extérieur et qui permettra de résoudre tous les noms internes pour ses propres clients, de l’autre coté un serveur DNS externe, accessible de l’extérieur, et ne contenant que le strict nécessaire en termes d’enregistrements.
Enfin, l’utilisation du protocole UDP comme support de transmission en fait un service facilement « leurrable.

Tweet