L'usurpation DNS : qu'est-ce que c'est ? Le guide complet

Le système de noms de domaine (DNS) est un rouage essentiel de l'infrastructure d'Internet. Il a pour rôle de convertir les noms de domaine (comme kzero.com) en adresses IP (comme 5.5.5.5). Sans le DNS, Internet serait beaucoup moins utilisable et beaucoup moins évolutif, puisque visiter un site Web obligerait l'utilisateur à mémoriser et à saisir l'adresse IP qui lui est associée.

L'usurpation DNS, ou empoisonnement DNS, est une cyberattaque qui exploite le système DNS. Elle vise à transmettre un enregistrement DNS modifié ou malveillant à un utilisateur qui demande l'adresse IP d'un domaine donné. Lorsqu'un ordinateur reçoit cette réponse, il communique avec l'adresse IP indiquée pour afficher le site Web. Avec l'usurpation DNS, l'utilisateur se retrouve donc sur un site malveillant contrôlé par l'attaquant.

L'usurpation DNS peut constituer une menace importante, car elle amène les utilisateurs à naviguer sur des sites d'hameçonnage. Ces attaques peuvent s'inscrire dans une campagne d'hameçonnage ou servir à dérober des renseignements sensibles qui ne sont pas chiffrés en transit. Cet article explore la menace de l'usurpation DNS : ses différents modes de fonctionnement, la façon dont les cybercriminels l'utilisent et les pratiques exemplaires pour s'en protéger.

Qu'est-ce que l'usurpation DNS ?

Le DNS est l'un des protocoles fondamentaux d'Internet : il permet de visiter des sites Web au moyen d'un nom de domaine ou d'une URL plutôt que d'une adresse IP en apparence aléatoire. Cependant, comme beaucoup de grands protocoles réseau, il ne comporte aucune sécurité intégrée. Par défaut, les requêtes et les réponses DNS ne sont pas chiffrées et ne contiennent aucune information d'authentification. De plus, le DNS repose généralement sur une source unique et faisant autorité pour l'information relative à un domaine donné.

L'usurpation DNS consiste à substituer de l'information malveillante aux enregistrements DNS légitimes. Ce faisant, un attaquant redirige l'utilisateur vers un site malveillant, puisque l'ordinateur client fait confiance à l'adresse IP fournie dans l'enregistrement DNS falsifié. Cette substitution peut permettre à l'attaquant de dérober les identifiants de connexion d'un utilisateur, de livrer un maliciel sur son ordinateur ou de subtiliser d'autres renseignements sensibles envoyés par une application à un domaine en apparence digne de confiance.

Les types d'attaques par usurpation DNS

On emploie souvent « usurpation DNS » comme synonyme d'« empoisonnement DNS ». Cette menace précise consiste à introduire de fausses données DNS dans les caches des résolveurs DNS. Ces résolveurs agissent comme mandataires pour les utilisateurs : ils font le travail de trouver la bonne adresse IP correspondant à un domaine demandé.

Un effet similaire peut toutefois être obtenu de plusieurs façons, en visant la source des enregistrements DNS, les caches des résolveurs ou la réponse DNS qui circule sur le réseau.

L'empoisonnement de cache

Une attaque par empoisonnement de cache DNS vise le cache local d'un résolveur DNS. Le rôle d'un résolveur DNS est de servir d'intermédiaire entre un utilisateur et les serveurs DNS. Lorsqu'il reçoit une requête DNS, le résolveur vérifie d'abord si l'information demandée se trouve dans son cache local.

Si l'entrée DNS recherchée ne s'y trouve pas, le résolveur communique avec des serveurs DNS pour trouver l'adresse IP appropriée. Cela suppose habituellement plusieurs requêtes DNS, en commençant par un serveur racine et en descendant la hiérarchie DNS jusqu'à repérer le serveur qui détient l'entrée DNS du domaine demandé. Ce dernier serveur DNS renvoie au résolveur une réponse contenant l'adresse IP permettant de trouver le site demandé par l'utilisateur.

Dans une attaque par empoisonnement de cache DNS, l'attaquant amène un résolveur DNS à intégrer des données erronées et malveillantes dans son cache local. L'attaque commence généralement par une requête de l'attaquant pour le domaine dont il veut empoisonner l'enregistrement dans le cache du résolveur.

Si le résolveur n'a pas de copie en cache de cet enregistrement, il commencera à communiquer avec des serveurs DNS pour trouver la bonne adresse IP. L'attaquant enverra alors au résolveur une réponse DNS falsifiée et malveillante. Comme le DNS ne comporte par défaut ni chiffrement ni authentification, l'attaquant peut se faire passer pour le serveur DNS auquel le résolveur a adressé sa demande.

Après avoir reçu une réponse DNS, le résolveur transmettra ces données à l'attaquant, qui est à l'origine de la requête initiale. Il conservera aussi une copie de cet enregistrement DNS dans son cache local afin d'accélérer les futures requêtes visant ce domaine.

Si un autre utilisateur demande le même domaine, le résolveur répondra à partir des enregistrements de son cache local. L'utilisateur recevra donc les données DNS empoisonnées, qui le dirigeront vers le site malveillant.

Les attaques de l'intercepteur (MitM)

Une attaque de l'intercepteur (MitM), aussi appelée attaque sur le chemin, consiste pour l'attaquant à intercepter, à lire et, éventuellement, à modifier le trafic en route vers sa destination. Les attaques MitM peuvent être menées de diverses façons, notamment par l'usurpation ARP, les réseaux sans fil jumeaux malveillants et les maliciels.

Les attaques MitM peuvent servir à l'usurpation DNS, puisque le trafic DNS n'est par défaut ni chiffré ni authentifié. Quiconque intercepte du trafic DNS peut donc le lire et le modifier en route vers sa destination. De plus, un attaquant est en mesure de forger des réponses DNS, comme le démontre l'attaque par empoisonnement de cache DNS.

Dans une attaque d'usurpation DNS de type MitM, l'attaquant intercepte la réponse à une requête DNS. L'interception peut se produire entre un résolveur DNS et un serveur DNS, ou entre l'utilisateur final et le résolveur DNS. En interceptant ce trafic, l'attaquant peut transmettre une version malveillante de la réponse DNS qui dirige l'utilisateur vers une adresse IP associée à un site malveillant.

Le dévoiement DNS (pharming)

L'empoisonnement de cache DNS et les attaques MitM visent le processus par lequel les enregistrements DNS circulent d'un serveur DNS vers l'utilisateur final. Le dévoiement DNS, lui, tente de manipuler les enregistrements DNS à la source : le serveur DNS responsable d'un domaine donné.

Chaque domaine possède un ou plusieurs serveurs DNS chargés de répondre aux requêtes DNS le concernant. Dans une attaque par dévoiement, l'attaquant modifie ces enregistrements faisant autorité pour qu'ils pointent vers une adresse IP malveillante.

Cela peut se faire de diverses façons. Par exemple, un attaquant pourrait deviner ou dérober le mot de passe qu'un propriétaire de domaine utilise pour gérer ses comptes. Avec cet accès, il pourrait modifier les entrées DNS afin qu'elles pointent vers l'adresse IP malveillante.

Les attaques par dévoiement DNS ont des répercussions bien plus vastes que l'empoisonnement de cache ou les attaques MitM. Dans ces deux derniers cas, seules sont touchées les parties qui utilisent un résolveur DNS précis ou dont le trafic est intercepté et modifié par l'attaquant. Avec le dévoiement, quiconque demande le domaine visé reçoit l'enregistrement DNS et l'adresse IP malveillants.

Les usages de l'usurpation DNS

L'usurpation DNS vise à rediriger les utilisateurs vers un site malveillant. Elle peut servir à atteindre quelques objectifs distincts.

Les attaques d'hameçonnage

L'un des usages les plus courants de l'usurpation DNS s'inscrit dans une campagne d'hameçonnage. La plupart des formations antihameçonnage insistent sur la vérification de l'URL affichée dans la barre d'adresse du navigateur.

Avec une attaque par usurpation DNS, l'URL peut sembler tout à fait légitime alors que l'utilisateur est dirigé vers un site malveillant. En effet, la correspondance entre l'URL et l'adresse IP repose sur l'entrée DNS à laquelle le navigateur fait confiance et que l'attaquant a modifiée.

L'usurpation DNS peut donc rendre les sites et les campagnes d'hameçonnage beaucoup plus crédibles. Elle ne permet toutefois pas à l'attaquant de forger des certificats numériques : le navigateur devrait donc afficher un avertissement indiquant que le site n'est pas sécurisé.

Le vol de données et l'espionnage

L'usurpation DNS peut également favoriser le vol de données. C'est le cas lorsque des enregistrements DNS servent à déterminer où une application doit envoyer des données vers un serveur.

Par exemple, de nombreuses applications mobiles et de nombreux objets connectés (IdO) reposent sur des serveurs infonuagiques dorsaux et peuvent leur transmettre des données à l'occasion. Une attaque par usurpation DNS pourrait rediriger ces communications et exposer des données sensibles si celles-ci ne sont pas adéquatement protégées par chiffrement.

Des exemples récents d'usurpation DNS

Les attaques par usurpation DNS peuvent toucher une seule personne ou un grand nombre de parties. Tout dépend souvent des techniques employées.

Un exemple d'attaque par usurpation DNS est l'incident de 2018 impliquant MyEtherWallet, un fournisseur de portefeuilles de cryptomonnaie. L'attaquant a corrompu des enregistrements DNS pour rediriger les utilisateurs vers un site malveillant, ce qui lui a permis de dérober environ 150 000 $ en cryptomonnaie à divers utilisateurs.

Cette attaque reposait sur un détournement BGP, qui a redirigé le trafic destiné au service DNS d'AWS — Route 53 — vers un système contrôlé par l'attaquant. Celui-ci a ainsi pu répondre aux requêtes DNS et diriger les utilisateurs vers un site d'hameçonnage. Après que les utilisateurs eurent ignoré un message d'erreur HTTPS, le site transférait leur cryptomonnaie vers une adresse contrôlée par l'attaquant.

Comment prévenir l'usurpation DNS

L'usurpation DNS peut ouvrir la voie à des attaques d'hameçonnage et à des brèches de données. Les organisations disposent de plusieurs moyens pour s'en protéger.

DNSSEC (Domain Name System Security Extensions)

DNSSEC est une extension conçue pour combler certaines des lacunes de sécurité du protocole DNS. Elle vise plus précisément à authentifier l'information fournie dans les réponses DNS.

DNSSEC recourt à la cryptographie à clé publique et aux signatures numériques pour assurer l'authenticité et l'intégrité des données DNS. Elle bloque ainsi l'empoisonnement de cache DNS et les attaques MitM qui reposent sur l'interception et la modification des réponses DNS. Elle ne peut toutefois pas protéger contre les attaques par dévoiement, où l'attaquant empoisonne la source originale de l'information DNS.

Le DNS chiffré

L'une des principales failles de sécurité du DNS est l'absence de chiffrement et d'authentification. Cela permet aux attaquants d'intercepter et de modifier les réponses DNS en route vers leur destination.

Les protocoles DNS over HTTPS (DoH) et DNS over TLS (DoT) ont été conçus pour remédier à ce problème. Ils utilisent le TLS pour protéger le trafic DNS contre les attaques MitM et les attaques similaires. Leur utilisation protège à la fois contre l'usurpation DNS et contribue à préserver la confidentialité de la navigation Web des utilisateurs en empêchant l'écoute du trafic DNS.

Le filtrage DNS et le renseignement sur les menaces

Une attaque par usurpation DNS vise à rediriger un utilisateur vers un site malveillant. Elle y parvient en créant une fausse correspondance entre un domaine ou une URL de confiance et une adresse IP malveillante.

Les fils de renseignement sur les menaces fournissent de l'information sur les sites Web reconnus comme malveillants vers lesquels l'usurpation DNS peut diriger les utilisateurs. À partir de cette information, le filtrage DNS peut repérer les réponses DNS pointant vers des adresses IP reconnues comme malveillantes — que ce soit en raison d'une usurpation DNS, d'un hameçonnage ou d'un autre moyen — et empêcher les utilisateurs de visiter ces sites.

La mise à jour et l'application de correctifs aux serveurs DNS

Les attaques par dévoiement DNS visent la source de l'information DNS. En injectant des enregistrements DNS malveillants dans un serveur DNS, un attaquant peut rediriger tous les futurs visiteurs d'un domaine empoisonné.

L'un des moyens par lesquels un attaquant peut obtenir l'accès nécessaire pour mener une attaque par dévoiement consiste à exploiter des vulnérabilités dans les serveurs ou les résolveurs DNS. Les exploitants de ces systèmes devraient appliquer régulièrement les correctifs et les mises à jour afin de colmater toute vulnérabilité avant qu'un attaquant ne puisse l'exploiter.

Conclusion

L'usurpation DNS est une cyberattaque qui vise l'un des protocoles fondamentaux du fonctionnement d'Internet. Le DNS traduit des noms de domaine faciles à retenir (comme kzero.com) en adresses IP (comme 5.5.5.5). L'usurpation DNS emploie divers moyens pour empoisonner les réponses DNS avec de l'information malveillante qui dirige les utilisateurs vers des sites malveillants.

Ces attaques peuvent servir à diverses fins. L'usurpation DNS peut s'inscrire dans une campagne d'hameçonnage et rendre ces attaques plus crédibles aux yeux de la cible. Elle peut aussi servir à dérober des données sensibles qu'une application ou un appareil transmet à une adresse IP obtenue par une résolution DNS.

Les attaques par usurpation DNS peuvent servir à dérober des données sensibles, y compris les identifiants de connexion des utilisateurs, et ce, de diverses façons. Une telle attaque pourrait par exemple diriger les utilisateurs vers une page de connexion où ils saisiraient leur mot de passe, qui serait aussitôt transmis à un attaquant.

La solution Multi-Pass de KZero Passwordless protège contre cette menace et contre d'autres visant les comptes des utilisateurs en remplaçant les mots de passe par une authentification multifacteur (MFA) fondée sur une biométrie sécurisée. Apprenez-en davantage dès aujourd'hui sur la façon de renforcer la sécurité des comptes de vos employés et de vos clients avec Multi-Pass.

Howard Poston



Howard Poston est rédacteur, auteur et concepteur de cours, avec une expérience en cybersécurité, en sécurité des chaînes de blocs, en cryptographie et en analyse de maliciels. Il détient une maîtrise en cyberopérations, compte une décennie d'expérience en cybersécurité et plus de cinq ans d'expérience comme consultant indépendant.