Ces dernières années, le respect de la vie privée et la sécurité des données sont devenus des enjeux majeurs. Ce, tant pour résister à des attaques de pirates que pour contrer un espionnage dont les États ne se cachent pas.Si l'on pense souvent au chiffrement des fichiers, des emails, des flux de communication via les accès sécurisés (HTTPS) et des protocoles comme TLS, on en oublie parfois des briques moins visibles, mais tout aussi essentielles. C'est le cas du DNS (Domain Name System), autre grand maillon de la chaîne permettant de convertir des noms de domaine facile à retenir en adresses IP permettant aux équipements réseau de communiquer entre eux.
Le protocole DNS-over-HTTPS a été l’un des sujets d’actualité de l’année dernière, car il donne la possibilité aux navigateurs Web de masquer les requêtes et les réponses DNS dans le trafic HTTPS d’apparence normale afin de rendre le trafic DNS d’un utilisateur invisible. Il compromet par la même occasion la capacité des observateurs tiers du réseau - tels que les FAI - à détecter et filtrer le trafic de leurs clients. En théorie, la mise en œuvre à grande échelle de cette technologie permettrait aussi de lutter plus efficacement contre l’Eavesdropping et la manipulation de DNS par des attaques de l’homme du milieu.
Tandis que les défenseurs de la vie privée et les éditeurs de navigateurs dans leur grande majorité considèrent le DOH comme une aubaine pour les utilisateurs, les fournisseurs de services Internet et les fabricants d’appareils de sécurité réseau, plus sceptiques à l’égard de cette technologie, mettent en garde contre les dangers et abus qui découleraient de la mise en œuvre de ce projet. Aux USA par exemple, les géants de l’industrie des télécommunications et de la câblodistribution soutiennent que l’initiative DoH « ;pourrait interférer à grande échelle avec des fonctions Internet critiques et soulever des problèmes de concurrence des données ;». Ils assurent par ailleurs que l’adoption de ce protocole va les empêcher de surveiller l’activité de leurs utilisateurs et qu’elle permettra à des acteurs tels que Google de transférer des millions d’utilisateurs vers leurs propres serveurs DNS, ce qui peut conduire à une concentration dangereuse du contrôle sur le DNS.
L'annonce de Microsoft
En novembre, Microsoft a indiqué son intention de ne pas se limiter à l’incorporation de ce protocole dans son navigateur. Dans un billet de blog, l'entreprise a expliqué que
« Ici, au Windows Core Networking, nous souhaitons garder votre trafic aussi privé que possible, rapide et fiable. Bien que nous puissions et que nous abordions la vie privée des utilisateurs de différentes manières, nous aimerions aujourd’hui parler de DNS chiffré. Pourquoi ? Fondamentalement, le fait de prendre en charge les requêtes DNS chiffrées dans Windows ferme l'une des dernières transmissions de noms de domaine en texte brut restant dans le trafic Web commun.
« Fournir une prise en charge DNS chiffrée sans rompre la configuration existante de l'administrateur de périphériques Windows ne sera pas facile. Cependant, chez Microsoft, nous pensons que "nous devons traiter la vie privée comme un droit humain. Nous devons intégrer la cybersécurité de bout en bout à la technologie".
« Nous pensons également que l'adoption par Windows du DNS chiffré contribuera à améliorer la santé de l'écosystème Internet global. Nombreux sont ceux qui supposent que le chiffrement DNS nécessite une centralisation DNS. Cela n’est vrai que si l’adoption de DNS chiffré n’est pas universelle. Pour que le DNS reste décentralisé, il sera important que les systèmes d'exploitation clients (tels que Windows) et les fournisseurs de services Internet adoptent largement un DNS chiffré ».
D’ailleurs, Microsoft a énoncé des principes sur lesquels reposerait son adoption de DNS over HTTPS dans le client DNS Windows :
- Le DNS Windows doit par défaut être aussi privé et fonctionnel que possible, sans nécessiter de configuration utilisateur ou administrateur, car le trafic DNS Windows représente un snapshot de l'historique de navigation de l'utilisateur. Pour les utilisateurs Windows, cela signifie que leur expérience sera rendue aussi privée que possible par Windows prêt à l'emploi. Pour Microsoft, cela signifie que l'éditeur recherche des opportunités pour chiffrer le trafic DNS Windows sans modifier les résolveurs DNS configurés définis par les utilisateurs et les administrateurs système.
- Les utilisateurs Windows et les administrateurs soucieux de leur vie privée doivent être informés des paramètres DNS même s'ils ne savent pas encore ce qu'est DNS. De nombreux utilisateurs souhaitent contrôler leur confidentialité et recherchent des paramètres centrés sur la confidentialité, tels que les autorisations des applications sur l'appareil photo et l'emplacement, mais peuvent ne pas connaître ou connaître les paramètres DNS ou comprendre pourquoi ils sont importants et peuvent ne pas les rechercher dans les paramètres de l'appareil.
- Les utilisateurs Windows et les administrateurs doivent être en mesure d'améliorer leur configuration DNS en effectuant le moins d'actions simples possible. L'équipe doit veiller à ce que des connaissances spécialisées ou des efforts supplémentaires ne soient requis de la part des utilisateurs de Windows pour tirer parti du chiffrement DNS. Elle estime que les stratégies d'entreprise et les actions de l'interface utilisateur doivent être des actions que vous ne devez effectuer qu'une fois plutôt que d'avoir à les répéter.
- Les utilisateurs Windows et les administrateurs doivent explicitement autoriser le recours du DNS chiffré une fois configuré. Une fois que Windows a été configuré pour utiliser un DNS chiffré, s'il ne reçoit aucune autre instruction d'utilisateurs ou d'administrateurs Windows, cela signifie que le recours à un DNS non chiffré est interdit.
Une Preview de la fonction DoH pour les Insiders
Les participants au programme Windows Insider, qui testent les futures offres, ont découvert une version preview de DNS over HTTPS sur Windows 10 dans la build 19628.
Dans un billet de blog, Microsoft déclare :
« Si vous avez attendu pour essayer le DNS over HTTPS (DoH) sur Windows 10, vous avez de la chance : la première version testable est maintenant disponible pour les Insiders Windows ! Si vous ne l’attendiez pas et que vous vous demandez ce qu’est le DoH, sachez que cette fonctionnalité va changer la façon dont votre terminal se connecte à Internet et qu’elle est encore en phase précoce de test, alors ne continuez que si vous êtes prêts ».
Des indications ont été transmises pour pouvoir en bénéficier. Les Windows Insiders de l’anneau rapide doivent activer la fonctionnalité en :
- Ouvrant l'éditeur de registre
- Accédant à la clé de Registre HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Dnscache\Parameters
- Créant une nouvelle valeur DWORD nommée «EnableAutoDoh»
- Définissant sa valeur sur 2
Maintenant que le client DoH est actif, Windows commencera à utiliser DoH si vous avez déjà l'un de ces serveurs configuré*:
Source : Microsoft
Et vous ?
Que pensez-vous du protocole DoH ? L'avez-vous déjà essayé sur votre navigateur ? Si vous êtes sur Windows, pourriez-vous envisager de l'essayer ? Quels pourraient, selon vous, être les freins à son adoption ? 
