Le président de l’Icann dramatise la situation autour de l’insécurité des DNS. Chris Disspain, président du conseil du ccNSO réfute cette description et défend l’énorme travail réalisé pour protéger les DNS. Il ne veut pas que l’on inquiète inutilement les gouvernements sur ce sujet.

Lors d’un discours, tenu mardi 9 mars à Nairobi (plus grande ville du Kenya) pendant la session du comité consultatif de l’Icann, le président de l’Icann, Rod Beckstrom a déclaré qu’il était nécessaire de concentrer les efforts pour protéger le service de nom de domaine DNS (Domain Name Service), car le système est soumis à des attaques, le rendant fragile et vulnérable, et pourrait « être mis hors de service à tout moment ».
Lors de cette séance, le dirigeant a souligné auprès des membres que plusieurs abus avaient été commis contre le DNS par certains pays, dont le nom n’a pas été dévoilé. Il a promis d’écrire aux membres du Comité consultatif pour s’enquérir de l’état du DNS chez eux.
« Le système de nom de domaine, est, comme jamais auparavant, sous le feu d’attaques préoccupantes. J’ai personnellement consulté au niveau international

plus de 20 responsables des registries et des registrars de premier niveau. Tous s’accordent à dire que les attaques contre les DNS ne cessent d’augmenter, de même que leur complexité. Ils sont extrêmement préoccupés par cette situation » a expliqué le président.
Chris Disspain, président du conseil du ccNSO, a contesté cette déclaration, la qualifiant d’« incendiaire.»

Lire l’article complet sur : Reseaux et Telecoms…

Partager cette information :

C’est parti ! L’Icann, l’organisme qui gère les noms de domaine, et l’opérateur VeriSign ont décidé de mettre les bouchées doubles dans l’implémentation du protocole DNSSEC (DNS Security Extensions) avec, à la clé, une feuille de route précise pour le déploiement sur les serveurs racine. Ensuite, Verisign implémentera ce protocole sur les domaines .com et .net, dont il est responsable.

DNSSEC est un protocole qui, grâce à un système de signature électronique, permet de vérifier l’authenticité de la réponse d’un serveur DNS. Son fonctionnement est hiérarchique. Chaque serveur d’une zone DNS (.fr, .com, inria.fr, etc.) disposera d’une paire de clés de signature à chiffrement asymétrique, appelée Zone Signing Keys (ZSK). L’une des clés est publique, l’autre privée. Cette dernière sert à signer les données DNS que délivre le serveur de zone. Un client DNS qui reçoit une réponse signée d’un de ces serveurs pourra déchiffrer la signature au moyen de la clé publique et vérifier, ainsi, la provenance et l’intégrité des données.

Pour autant, ce système de clés ne permet pas de savoir à 100 % si le serveur lui-même est réellement digne de confiance : un usurpateur pourrait se substituer à lui et diffuser ses propres ZSK. C’est pourquoi les serveurs de zone disposent d’une deuxième paire de clés asymétriques. Appelées Key Signing Keys (KSK), elles servent à signer les ZKS des zones inférieures (01net.com, afnic.fr, etc.), créant ainsi une chaîne de confiance sur l’ensemble des URL. Un navigateur n’obtiendra la confiance d’une zone de niveau n (01net.com), que s’il a obtenu la confiance des zones de niveau supérieur (.com).

Une paire de clés maître pour sécuriser tout l’Internet

La mise en œuvre de DNSSEC est discutée depuis longtemps, mais elle n’est envisagée sérieusement que depuis la découverte d’une grave faille dans le DNS en 2008 qui, justement, faisait apparaître la possibilité d’usurper un serveur DNS et de dévier un trafic Web vers des sites pirates. La grande difficulté dans l’implémentation de DNSSEC est la gestion hiérarchique des clés. Or, l’Icann et VeriSign sont maintenant tombés d’accord sur la manière d’introduire ce protocole au niveau des serveurs racine, afin de créer la base de cette chaîne de confiance.

Ainsi, les ZSK des serveurs racine seront générées et détenues par VeriSign, qui les renouvellera tous les trois mois. Ces ZSK seront signés par une paire de clés maître KSK, qui sera générée et détenue par l’Icann. Toute la sécurité de DNSSEC s’appuiera in fine sur cette fameuse paire de clés KSK, sur laquelle l’organisme veillera comme sur un véritable trésor. Sauvegardée et dupliquée sur deux sites physiques distincts, cette paire est renouvellée tous les deux à cinq ans. Sa gestion – création, activation, signature, renouvellement, sauvegarde, etc. – est répartie sur sept personnes de la communauté Internet qui devront se coordonner. Ainsi, une procédure de génération ou de signature nécessitera la présence physique d’au moins trois d’entre eux. 

Les principes techniques sont décrits dans un document de travail, disponible sur le site du NTIA (National Telecommunications and Information Administration).

Les domaines .com et .et opérationnels d’ici à mars 2011

Côté déploiement, le planning est serré. La génération des premières clés maître KSK se fera en décembre prochain. Le déploiement des clés ZSK sur les 13 serveurs racine se fera dans la foulée, mais de manière progressive, jusqu’en mai ou juin 2010. VeriSign s’attaquera ensuite aux domaines .com et .net. Sur ces deux zones, DNSSEC devrait être opérationnel d’ici à la fin du premier trimestre 2011. L’opérateur va aider les bureaux d’enregistrement dans leur migration vers DNSSEC. Il a également mis en place un laboratoire d’interopérabilité pour tester la conformité des équipements et logiciels réseaux avec ce protocole.

Les .com et .net ne seront pas les premiers domaines à adopter DNSSEC, comme le montre la carte du fournisseur Xelerance. Les .org et .gov ont déjà passé le cap, ainsi que certains domaines de pays (Suède, République tchèque, Bulgarie, Brésil, Porto Rico, Namibie, Thaïlande, Turkmenistan). Pour le .fr, le déploiement de DNSSEC est géré au sein du projet IDSA.

Il faut préciser, toutefois, que ce protocole n’est pas une solution magique. « DNSSEC est une composante importante de la sécurité sur Internet, mais ne résout pas tous les problèmes, explique Ken Silva, directeur technique de VeriSign, dans un communiqué. C’est pourquoi il faut mettre en place d’autres couches de protection, comme l’Extended Validation SSL ou l’authentification à double facteur. »

Lire l’article sur : 01netPro…

Partager cette information :

Une histoire de stratégie

Pour percer les mystères de la Toile, il faut étudier son fonctionnement technique. Parmi la multitude de technologies employées dans Internet, quelles sont celles qui sont réellement fondamentales ? Une fois celles-ci identifiées, il est plus facile de comprendre qui est aux manettes. Internet n’est pas le fruit du hasard, mais bel et bien le résultat du travail de chercheurs, d’informaticiens, dont le but était l’interconnexion de machines. Et pour tout dire, il s’agit de l’évolution d’une réalisation militaire américaine. La volonté de faire communiquer entre eux des ordinateurs distants de chercheurs remonte au début des années 1960, et a été initiée par la Darpa (Defense Advanced Research Projects Agency), le service des recherches avancées du département de la Défense américain. Les axes de recherche étaient d’ailleurs très notablement influencés par des considérations militaires : dans les réflexions initiales, on retrouve les traces de la volonté de mettre au point un système de communication capable de se maintenir, même en cas d’attaque nucléaire. Le projet de la Darpa aboutit à la mise en place d’un réseau décentralisé nommé Arpanet.

Petit à petit, des universités furent incluses dans le projet, participant au développement de ce premier grand réseau informatique. Toujours sous la houlette de la Darpa, cet Internet naissant va petit à petit être géré par la National Science Foundation (NSF), une agence gouvernementale américaine dédiée au soutien de la recherche scientifique fondamentale, à partir de 1977. Mais les liens avec l’administration militaire américaine restent extrêmement forts : si la NSF aide au développement du réseau, sa gestion au quotidien relève de l’Internet Assigned Numbers Authority (IANA), un service de la Darpa.

Internet devenant de plus en plus ouvert, interconnectant de plus en plus de réseaux civils, les militaires américains décident, en 1983, de s’en détacher pour créer Milnet, leur propre réseau. Pour s’occuper du développement de l’Internet civil, c’est alors la National Telecommunications and Information Administration (NTIA) qui prend la main, une agence gouvernementale dépendant du département du Commerce, le ministère du Commerce.

L’importance de plus en plus grande d’Internet, l’apparition de plus en plus d’acteurs, d’organismes chargés de définir des normes, de sociétés commerciales opérant des services commerciaux basés sur Internet, a abouti à une très forte pression sur l’administration Clinton afin qu’Internet ne soit plus sous la houlette du seul gouvernement. En 1998 est créée l’Internet Corporation for Assigned Names and Numbers (Icann). Il s’agit d’une société privée, de droit californien, qui a repris le rôle du NTIA et qui, surtout, exerce ce que l’on appelle aujourd’hui la fonction IANA, absolument fondamentale : par l’exercice de cette fonction, l’Icann décide de tout ce qui touche à l’attribution des noms de domaine dans le monde entier…

Une histoire de noms

Finalement, Internet se résume à un mode de communication entre ordinateurs sur un réseau. Ce qui n’est pas une mince affaire ! Il faut établir un langage précis, s’assurer que tous les ordinateurs le comprennent, éviter les situations cacophoniques où tout le monde se parlerait en même temps, etc. Bien sûr, afin que les ordinateurs puissent communiquer, ils doivent en premier lieu pouvoir s’identifier. C’est la base même d’Internet : tous les ordinateurs doivent disposer d’une adresse IP, un identifiant unique, qui prend la forme d’une série de quatre nombres séparés par un point. Mais voilà, il faut impérativement que les adresses soient véritablement uniques : il serait impossible de se connecter à un site Web avec un navigateur si son adresse IP renvoyait vers des dizaines d’ordinateurs disséminés dans le monde. Il faut donc veiller à ne pas attribuer les adresses IP n’importe comment.

C’est l’Icann qui, en premier ressort, détermine quelles sont les plages d’adresses IP disponibles dans le monde et qui a le droit de les utiliser. Localement, ce sont des organismes que l’on appelle les RIR (registre Internet régional) qui distribuent les adresses IP que l’Icann leur a attribuées. Il existe cinq RIR. Celui qui gère les adresses IP pour l’Europe s’appelle Ripe-NCC.

Mais l’adresse IP numérique, vitale pour permettre aux ordinateurs de se reconnaître, est très peu pratique pour les utilisateurs. On dispose donc également d’adresses textuelles, celles que nous utilisons sous la forme www.microhebdo.com, www.01net.com, www.elysee.fr, par exemple. Il s’agit du système des noms de domaine. Pour le comprendre, il suffit de lire à l’envers l’adresse : www.elysee.fr signifie qu’il s’agit d’un ordinateur enregistré en France (le domaine.fr), couvrant les activités de l’Elysée (.elysee), et s’occupant d’afficher le site Web (www).

C’est très pratique mais, pour que cela fonctionne, il faut, à chaque connexion, traduire aux ordinateurs l’adresse lisible en adresse IP numérique. Interviennent alors les serveurs de noms de domaine (Domain Name System ou DNS) : quand on tape l’adresse www.micro hebdo.com dans un navigateur Web, une première requête est faite à un serveur de nom de domaine qui indique les serveurs qui peuvent fournir une réponse pour le domaine.com. L’un de ces serveurs précisera alors quel autre serveur est apte à aiguiller dans la zone elysee.fr. Et enfin, ce dernier serveur pourra donner l’adresse IP complète du site recherché. Cette séquence d’interrogation est réalisée pour chaque consultation de site. Les serveurs capables d’effectuer la toute première étape, aiguiller vers les serveurs qui gèrent les domaines dits de premier niveau (.com, .org, .fr…), sont appelés les serveurs racines du DNS. Ils ne sont que treize dans le monde.

Les treize serveurs vitaux

Attention toutefois, chacun de ces serveurs a de nombreux miroirs, et parfois, ils ne sont même pas hébergés à un seul endroit. En tout, ces treize serveurs, absolument vitaux pour le fonctionnement d’Internet, sont répartis dans le monde dans près de 170 endroits. Et, bien qu’au quotidien ils soient supervisés par des sociétés privées, des universités ou des administrations, il ne s’agit que de délégations fournies par l’Icann, décisionnaire en dernier lieu. Qu’il s’agisse donc des adresses IP numériques ou des noms de domaine, le maître, c’est l’Icann.

Il existe une kyrielle d’organismes qui participent à la régulation d’Internet et l’établissement des standards : W3C ; Internet Society (Isoc) ; Internet Architecture Board (IAB) ; Internet Engineering Task Force (IETF) ; Forum de la gouvernance Internet (FGI), etc. Mais en dernière instance, le fonctionnement d’Internet dépend principalement de l’Icann qui tire son pouvoir d’un contrat le liant au ministère du Commerce américain, qui en nomme tous les membres.

Les conséquences politiques sont réelles : en 2005, par exemple, le nouveau domaine en .xxx devait être ouvert, permettant d’identifier plus facilement les sites à caractère pornographique. L’Icann avait donné son accord. Mais à deux jours de la signature finale de l’acte fondateur, l’Icann a revu sa position et bloqué la création du nouveau domaine : le ministère du Commerce américain, sous la pression de pétitions d’organisations conservatrices, avait en effet signifié son refus de créer le .xxx.

D’autres faits, comme les conditions d’attribution des délégations pour la gestion des noms de domaine .iq, pour l’Irak, et .af, pour l’Afghanistan, montrent une mainmise politique américaine sur Internet.

Une histoire de politique

De fait, en imaginant un scénario de fiction de conflit armé, les Etats-Unis, de par le contrôle qu’ils exercent sur l’Icann et son partenaire technique, la société VeriSign, sont la seule nation qui pourrait « rayer » d’Internet un pays entier, en décidant de couper soudainement son extension.

La Commission européenne, par le biais d’une communication de Viviane Reding, commissaire chargée de la Société de l’information et des médias, a appelé, en juin dernier, à plus de transparence et de responsabilité multilatérale dans la gouvernance de l’Internet. Mais les faits ne semblent pas lui donner raison : depuis les attentats du 11 septembre, l’attitude des Etats-Unis, qui étaient en passe de se retirer progressivement afin de laisser la gouvernance d’Internet au secteur privé, s’est complètement modifiée. Une échéance très importante approche, car le 30 septembre 2009 se termine le contrat qui lie l’Icann au gouvernement américain.

Une occasion de mettre en place une nouvelle approche plus multilatérale ? Certainement pas. Le gouvernement américain a donné un signal fort, il y a quelques semaines, en choisissant le nouveau président de l’Icann. L’homme, Rod Beckstrom, n’est autre que l’ancien directeur du Centre national de la cybersécurité (NCSC) des Etats-Unis. Le message est on ne peut plus clair : Internet est un domaine stratégique dont, pour des raisons de défense nationale, les Etats-Unis ne sont pas prêts à lâcher le contrôle

Lire l’article sur : 01net…

Partager cette information :

En recherchant des informations sur IPv6, je viens de tomber sur une perle : une véritable bible sur TCP/IP incluant bien entendu plein d’informations sur IPv6 et donc forcément très utile en ces temps où se posent plein de questions sur le sujet

TCP/IP Fundamentals for Microsoft Windows
Chapitre 1  : Introduction à TCP/IP
Chapitre 2  : Vue d’ensemble de l’architecture de la suite de protocoles TCP/IP
Chapitre 3  : L’adressage IP
Chapitre 4  : Le sous-adressage, la segmentation
Chapitre 5  : Le routage IP
Chapitre 6  : DHCP
Chapitre 7  : La résolution de noms d’hôtes
Chapitre 8  : Vue d’ensemble du DNS
Chapitre 9  : Le support de DNS dans Windows
Chapitre 10 : TCP/IP de bout en bout
Chapitre 11 : NetBIOS sur TCP/IP
Chapitre 12 : Vue d’ensemble de WINS
Chapitre 13 : IPsec et le filtrage de paquets
Chapitre 14 : Les réseaux privés virtuels (VPN)
Chapitre 15 : Technologies de transition IPv6
Chapitre 16 : Dépannage TCP/IP

Un document qui fait 560 pages… de quoi s’informer pendant les vacances à venir

Par ailleurs, on parcourera aussi avec intérêt l’article sur IPv6 de ce site pour obtenir plus d’information sur la transition IPv4 / IPv6

Télécharger le PDF (Anglais) : TCP/IP Fundamentals for Microsoft Windows…

Lire l’article complet sur : Stanislas Quastana’s Blog…

Partager cette information :

Est-ce que la mégafaille DNS de cet été est désormais un problème résolu dans le monde d’Internet ?

Cricket Liu : Malheureusement non. Nous venons justement de réaliser, en octobre 2008, une étude sur les serveurs DNS. Sur les 11,9 millions de serveurs existants, 44 % répondent à des requêtes dites « récursives ouvertes », c’est-à-dire que n’importe qui peut les interroger sur des adresses DNS. Ce qui constitue déjà un risque en soi.

Parmi ces serveurs déjà fragilisés, le quart d’entre eux n’appliquent pas le patch de Dan Kaminsky. Ce correctif complique la tâche aux pirates en introduisant un choix aléatoire du numéro de port dans les requêtes DNS. Au final, cela représente donc plus d’un million de serveurs qui ne sont pas protégés vis-à-vis de la faille de cet été. C’est encore beaucoup trop. Il reste encore du pain sur la planche.

Cette faille a-t-elle déjà servi pour des actes de piraterie ?

Elle a servi dès le jour de sa publication. Cela a été relevé dans des rapports de sécurité. Mais il très difficile d’évaluer l’étendu du problème. On ne peut pas ausculter tous les serveurs DNS pour voir s’ils sont corrompus ou non. Ce serait comme chercher une aiguille dans une botte de foin.

Mais le danger est réel. Grâce à cette faille, les hackers malintentionnés peuvent, par exemple, détourner le trafic e-mail ou usurper le nom de sites Internet.

…

Ne vaudrait-il pas mieux réécrire le protocole DNS ?

Ce serait beaucoup trop compliqué vu l’adoption d’Internet aujourd’hui. C’est pourquoi au sein de l’Internet Engineering Task Force, aucun projet de refonte du DNS n’a vu le jour jusqu’à maintenant. Déployer un nouveau système DNS nécessiterait la mise à jour de tous les équipements Internet. C’est une tâche titanesque, à comparer avec l’IPv6 qui, on le voit, a beaucoup de mal à se faire une place. A ce jour, seul 0,44 % des serveurs DNS utilisent IPv6.

Donc la seule solution, c’est DNSsec ?

En effet, c’est la solution qu’il convient d’adopter aujourd’hui. Elle permet de signer électroniquement les échanges de données pendant les requêtes DNS et donc d’identifier clairement les serveurs DNS. Malheureusement, l’adoption de DNSsec est très lente. Nous avons testé près d’un million de zones Internet. Parmi elles, seules 45 utilisent DNSsec. C’est très peu.

Il faut dire que ce protocole de sécurité est assez difficile à implémenter. Les outils mis à disposition des administrateurs sont très rudimentaires. Par ailleurs, il y a un effet réseau : pour que DSNsec servent à quelque chose, il faut qu’un grand nombre de serveurs l’utilisent. En Europe, DNSsec est davantage implémenté qu’aux Etats-Unis. Des pays comme la Suède ou la Hollande sont particulièrement en avance sur ce sujet.

Lire l’article sur : 01net…

Partager cette information :

DNSSEC a été créé il y a dix ans pour éviter la corruption des données et l’usurpation d’identité au sein du système DNS. En effet, chaque navigation Internet fait intervenir des requêtes DNS pour traduire les noms des sites Web en adresses IP. Cela se fait de manière récursive et hiérarchique : quand un serveur de nom d’un sous-domaine ne sait pas répondre, il se réfère aux serveurs du domaine supérieur qui fera de même. Pour un hacker, les occasions d’intercepter les données et de les modifier sont donc nombreuses. DNSSEC propose d’assurer l’intégrité des informations fournies par l’ajout, à chaque échange, d’une signature chiffrée qui va authentifier le serveur de nom. Et le tour est joué.

Seulement voilà, l’implémentation de DNSSEC est loin d’être simple. Tout d’abord, l’adjonction d’une signature chiffrée nécessite des paquets DNS de plus grande taille. Il faut donc utiliser le protocole Extended DNS. « Mais seuls 40 % des "resolvers" [logiciels client pour la traduction DNS, NDLR] supportent actuellement EDNS », explique Raphaël Marichez, consultant sécurité chez Hervé Schauer Consultants.

Le ticket d’entrée est élevé

La signature fait également augmenter sensiblement le trafic réseau et ajoute des temps de calcul. Par ailleurs, DNSSEC suppose la mise en place d’une véritable architecture PKI, ce qui est complexe et coûteux. Enfin, pour que la sécurité soit vraiment assurée, il faudrait installer la technologie dans tous les pays et à tous les niveaux, du serveur DNS dans l’entreprise aux serveurs racines.

Ces différents obstacles expliquent pourquoi, en l’espace d’une décennie, les déploiements DNSSEC sont encore peu nombreux. A ce jour, seuls quatre pays ont implanté ce protocole de sécurité : la Suède, la Bulgarie, le Brésil et Porto Rico. « D’un point de vue économique, le déploiement de DNSSEC à grande échelle ne se justifie pas », poursuit Raphaël Marichez.

En savoir plus sur : 01net

Partager cette information :

Hors une faille de DNS Cache Poisonning (connue depuis longtemps mais non corrigé car elle semblait compliquer à exploiter) vient d’être publiquement dévoilée lors d’une conférence par Dan Kaminsky) (avant qu’il fasse la démonstration début août de son exploitation). Tous les serveurs DNS sont concernés (ceux connectés sur Internet) par cette faille de sécurité et il est urgent d’appliquer un correctif (déjà publiés entre autre par Cisco, Microsoft, Red Hat,… pour leurs produits) car cette faille permet à un pirate de se faire passer pour un serveur « fiable » et autorisé.

C’est la première fois qu’une telle coordination a lieu. Mardi, alors qu’au cours d’une conférence de presse, un chercheur en sécurité, Dan Kaminsky, dévoilait une faille importante dans le protocole DNS (Domain Name System), pierre angulaire du fonctionnement d’Internet, plusieurs éditeurs parmi lesquels Microsoft, Cisco, Red Hat, Sun Microsystems et l’Internet Software Consortium publiaient, dans un timing parfait, un correctif de cette faille pour leurs propres produits.

Il faut dire que cette faille, si elle est exploitée pourrait avoir des effets « horribles ». « Les conséquences de cette faille sont gravissimes et leur ampleur est difficile à imaginer », assure un consultant d’Hervé Schauer Consulting, HSC, cabinet spécialisé dans la sécurité.

Cette vulnérabilité qui touche le coeur du protocole DNS et concerne donc, a priori, tous les systèmes d’exploitation, est une attaque de type DNS Cache Poisoning – contamination du cache DNS. Les serveurs dont le cache est contaminé accueillent les informations de serveurs pirates comme étant celles de vrais serveurs. Ainsi, un internaute se retrouvera à utiliser des services contrôlés par les pirates alors que son serveur lui dira qu’il est sur le bon service. Est concerné le trafic Web, mais aussi les e-mails qui peuvent être détournés.

« Cette faille du protocole DNS est connue depuis longtemps, assure le consultant d’Hervé Schauer Consulting, ce que le chercheur a démontré, c’est surtout qu’elle pouvait être exploitée beaucoup plus facilement qu’on ne le pensait jusque là ». Pour l’instant, aucune attaque exploitant la faille n’a été répertoriée.

Si Cisco, Microsoft et les autres, ont pu réagir avec cette précision de métronome, c’est parce que le chercheur Dan Kaminsky les a alertés depuis six mois sur sa découverte. Une quinzaine d’experts se sont alors réunis fin mars de manière confidentielle pour travailler sur les correctifs.

…

Mais qui est réellement concerné ? Toutes les entreprises qui gèrent leurs propres DNS, c’est à dire généralement les grandes entreprises, et toutes la chaîne de gestion des DNS, des fournisseurs d’accès à Internet, des hébergeurs, etc. Pour vérifier si l’on est vulnérable aux attaques, le chercheur a mis au point un test en ligne sur Doxpara.com.

Si votre site se révèle vulnérable, « il faut vous adresser au prestataire de service qui gère votre DNS », explique Loïc Damilaville, adjoint au directeur général de l’Afnic, ou faire la mise à jour de vos matériels si vous les gérez vous-même.

« De nombreux matériels, comme les box grand public, intègrent un serveur DNS », ajoute le consultant de HSC. Du côté de chez Cisco, quatre gammes de produits sont concernées à cause de leur implémentation du protocole DNS. Les plus répandus sont les routeurs qui utilisent le système d’exploitation IOS de Cisco. « Mais, pour être vulnérable à cette faille, il faut que le serveur DNS soit activé dans le routeur, or, par défaut, il est désactivé », note Christophe Perrin, responsable du développement du marché de la sécurité chez Cisco, « la criticité est plus grande pour les matériels et logiciels qui sont directement utilisés en tant que serveurs DNS ». Il conseille donc de ne faire la mise à jour immédiate que pour ces matériels.

Microsoft et Red Hat dans la même faille

C’est le cas de Microsoft qui a publié un correctif, concernant Windows 2000, XP, 2003 et 2008. Vista échappe à la faille comme Windows Server 2008 pour les systèmes Itanium.

Autres correcteurs : Red Hat et ICS. Red Hat a fourni les patchs pour les principales distributions Entreprise (2.1, 3 et 4 et 5) qui utilisent les versions de BIND (9.3, 9.4 et 9.5) d’ICS, elles-mêmes contaminées et corrigées.

Si le patch comble la faille, il risque aussi de ralentir les performances du serveur DNS. En effet, la correction consiste à rajouter des routines qui vont compliquer le dialogue entre le serveur DNS et celui qui l’interroge (serveur ou client), et par là même le ralentir.

Le CERT (Computer Emergency Readiness Team) US a publié une liste des constructeurs et des produits qui sont vulnérables à la faille. Le niveau de la vulnérabilité de la plupart des constructeurs et éditeurs cités est actuellement « inconnu », seuls ceux ayant publié des patchs étant identifiés comme « vulnérables ».

Pour les principaux intéressés, il reste quelques semaines pour faire la mise à jour. Début août, lors de la Black Hat Conference, Dan Kaminsky a annoncé qu’il donnerait plus de détail sur la faille en question. Et notamment, comment elle peut être exploitée. A vos patchs !

Lire l’article sur : 01net…

Partager cette information :

Verisign met le paquet et sort le Titan
Selon les informations dont nous disposons déjà grâce à nos confrères du site BetaNews, Verisign devrait consacrer pour trois ans de valeur en ressources humaines ainsi que quelques 100 millions de dollars (76 millions d’euros) afin de moderniser les DNS (Domain Name System) dont elle a la charge. Pour rappel, les serveurs DNS sont chargés de faire la correspondance entre un nom de domaine (adresse virtuelle, www.generation-nt.com ) et son adresse IP (adresse physique, 83.243.23.80).
VeriSign a aussi déterminé que si le système des DNS voulait rester en phase avec la croissance exponentielle à laquelle nous allons assister, ses serveurs roots devront augmenter leur capacité en terme de bande passante, en passant de 20 gigabits par second (Gbps) à 200 Gbps.
Si elle veut réaliser ceci, la compagnie devra commencer à décentraliser la distribution de ses serveurs DNS au niveau mondial, avec de nouvelles constructions en Inde, en Allemagne, au Chili, ainsi qu’en Afrique du Sud, sites qui seront supervisés par des centres qui seront construits en Europe et aux Etats-Unis. 

En savoir plus sur : Generation Nouvelles Technologies…

Partager cette information :

Avec IPv6, nous disposerons d’environ 340 milliards de milliards de milliards de milliards d’adresses IP et cela permettra de supporter un milliard de réseaux IP public. Avec l’IPv4, le protocole aujourd’hui prédominant, la pénurie guette (depuis plus de 10ans quand même, merci le NAT pour ce sursis)- le nombre d’adresses IP uniques est limité à 4 milliards environ

Les avantages de l’IPv6

• Un espace d’adressage inépuisable et hiérarchique
• L’optimisation des traitements et l’amélioration des performances des routeurs
• L’autoconfiguration automatique qui met l’Internet à la portée de tous : "je branche mon terminal : il a automatiquement une adresse IP, il est aussitôt opérationnel" (pas de configuration)
• La sécurité, intégrée dans le protocole, qui conduit à des offres de services hautement sécurisées (authentification et confidentialité)
• La simplification des architectures des services réduit les coûts de déploiement et de gestion/exploitation
• La renumérotation automatique : un changement d’opérateurs ou d’ISP ne remet pas en cause le plan d’adressage de l’entreprise (opération lourde, coûteuse et longue en IPv4)
• L’intégration du protocole de mobilité (Mobile IPv6) permet une mise en œuvre facile et optimisée de services liés à la mobilité et assure la continuité de service entre différents réseaux d’accès (ADSL, WLAN, GPRS…) en toute transparence pour l’utilisateur
• L’introduction de nouveaux services à grande échelle et à moindre coût par simple intégration de nouvelles fonctions, sans équipements supplémentaires alors que ce n’est pas le cas en IPv4
• La capacité de multi-homing (un client peut être raccordé à plusieurs ISP) : un équipement peut avoir plusieurs adresses IPv6
• Le service de diffusion sur Internet est mieux rendu (espace multicast IPv4 difficile à gérer)

Lire l’article sur… ZDNet.fr

En savoir plus sur… Internet Society France

Partager cette information :

Dans cette nouvelle vidéo, Laura Chappell de Wireshark University, vous explique son fonctionnement en détail (au sein du Novell Connection Magazine) ainsi que les problèmes que l’on peut rencontrer et cela en utilisant le logiciel wireshark (anciennement ethereal).

Lien vers la vidéo (en anglais)…

Autre ressource, un livre sur DNS (chez l’éditeur O’Reilly) : DNS et Bind, 5^e édition

Mots clés Technorati : wireshark,DNS

Partager cette information :