Confidentialité du DNS : ce qu’elle protège et quelles sont ses limites

Avant qu’un site web n’apparaisse à l’écran, il se produit généralement quelque chose de moins visible : une application demande quelle adresse correspond au nom que nous voulons ouvrir. Cette requête peut révéler des informations sur nos centres d’intérêt et nos habitudes avant même que la page n’ait fini de charger. Qui peut la voir et qu’est-ce qui change lorsque nous utilisons un DNS chiffré ?

La réponse brève est que la confidentialité du DNS réduit l’exposition de ces requêtes, surtout durant leur parcours entre l’appareil et le résolveur. C’est une amélioration concrète, mais limitée : elle ne rend pas la navigation anonyme, ne dissimule pas tout le trafic et n’élimine pas non plus la nécessité de faire confiance à un intermédiaire.

Comprendre ces limites permet de choisir avec plus de discernement et d’éviter une confusion fréquente : protéger une partie de la communication n’équivaut pas à rendre l’ensemble invisible.

Ce qui se passe lorsque nous consultons un domaine

Nous retenons des noms comme ejemplo.org ; les réseaux ont besoin d’autres données pour trouver le service correspondant. Le Système de noms de domaine, ou DNS, rend cette traduction possible.

Lors d’une opération habituelle, l’appareil transmet la question à un résolveur récursif. Celui-ci peut répondre à l’aide d’informations conservées en mémoire cache ou interroger d’autres serveurs jusqu’à obtenir la réponse. La mémoire cache fait varier le parcours exact, mais la fonction essentielle demeure : résoudre le nom demandé.

Ici, « DNS privé » fait référence à la protection des requêtes d’un utilisateur. L’expression est également employée pour décrire les zones DNS internes d’une entreprise ou d’une organisation, ce qui constitue un sujet distinct.

Le problème de confidentialité ne vient pas du fait qu’un nom de domaine soit secret. De nombreux enregistrements DNS sont publics. L’élément sensible réside dans la possibilité d’associer ce qui a été consulté, depuis quelle origine et à quel moment. La RFC 9076 sur les considérations de confidentialité du DNS explique que les requêtes et leurs schémas peuvent être associés à des personnes ou à des appareils.

Idée clé : Un domaine peut être public et, malgré tout, la séquence de requêtes d’une personne constituer une information privée.

Une requête isolée ne prouve pas non plus à elle seule que quelqu’un a visité une page et ne révèle pas nécessairement son intention. Les applications effectuent des requêtes en arrière-plan, une page peut faire appel à plusieurs domaines et une partie des informations peut provenir d’une mémoire cache. Toutefois, une succession de requêtes peut suggérer des routines, des horaires, des services utilisés ou des centres d’intérêt sensibles.

Qui peut observer quoi

Il convient de distinguer les acteurs, car tous ne reçoivent pas les mêmes informations et n’occupent pas la même place dans la chaîne.

Dans le DNS traditionnel non chiffré, une personne en mesure d’observer le réseau entre l’appareil et le résolveur — par exemple l’opérateur d’un réseau local ou un fournisseur d’accès — peut lire les requêtes qui transitent par ce tronçon ou interférer avec elles. La visibilité effective dépend de la configuration et du parcours réel des données.

Le résolveur se trouve dans une position différente. Il a besoin de recevoir la question pour y répondre, ce qui fait qu’il conserve une visibilité potentielle sur les requêtes qu’il traite. Il peut conserver des journaux ou appliquer des mesures de minimisation ; cela dépend tant de sa conception technique que des pratiques de l’opérateur.

Plus loin interviennent les serveurs faisant autorité, responsables des informations relatives aux domaines. Des techniques comme la minimisation de QNAME, décrite dans la RFC 9156, réduisent la portion du nom révélée à certains serveurs durant la résolution. Elles ne dissimulent pas la requête au résolveur auquel nous la transmettons.

La distinction importe : une mesure peut protéger contre des observateurs situés sur le trajet sans pour autant protéger face au destinataire de la requête.

Ce que changent DoT et DoH

Les deux formes les plus connues de DNS chiffré sont le DNS sur TLS (DoT) et le DNS sur HTTPS (DoH). Toutes deux établissent un canal chiffré entre le client et un résolveur compatible, bien qu’elles utilisent des modes de transport différents.

DoT envoie des messages DNS au sein d’une connexion TLS. La RFC 7858 spécifie ce mécanisme et lui attribue par défaut le port 853. DoH, défini dans la RFC 8484, échange des requêtes et des réponses DNS au moyen de HTTPS avec un point de terminaison configuré.

Dans les deux cas, le chiffrement rend difficile la lecture du contenu de la requête par un observateur passif situé entre l’appareil et le résolveur. Il apporte également une protection contre les modifications sur ce canal lorsque la connexion est correctement authentifiée.

Il ne s’ensuit pas que DoH soit toujours plus protecteur de la vie privée que DoT, ni l’inverse. La confidentialité réelle dépend de la mise en œuvre, des métadonnées disponibles, du résolveur choisi et du risque que l’on souhaite réduire. De plus, DoH fonctionne dans l’environnement de HTTP et peut partager certains de ses risques de corrélation.

Distinction utile : DoT et DoH protègent un trajet de la requête. Ils ne chiffrent pas automatiquement toutes les étapes ultérieures de la résolution ni tout le trafic de navigation.

Ils ne doivent pas non plus être confondus avec DNSSEC. Ce dernier aide à vérifier l’authenticité et l’intégrité des données DNS, mais n’a pas pour but de dissimuler les requêtes. Confidentialité, intégrité et authenticité répondent à des problèmes liés, mais non interchangeables.

Ce que le DNS chiffré ne dissimule pas

L’amélioration est réelle précisément parce qu’elle peut être décrite sans exagération. Le DNS chiffré comporte plusieurs limites :

• Le résolveur reçoit la requête. Le canal évite que des tiers ne la lisent facilement sur ce tronçon, mais le service qui la résout a besoin d’en avoir connaissance.
• D’autres métadonnées subsistent. Le fournisseur d’accès peut continuer à voir les adresses IP, les volumes, les horaires et la durée des connexions, même s’il ne lit plus le contenu DNS protégé.
• Le trafic ultérieur est une autre question. Résoudre un domaine et se connecter au service sont des opérations distinctes. Le fait de chiffrer la première ne protège pas à lui seul l’ensemble de la seconde.
• La corrélation demeure possible. Les horaires et les profils des connexions peuvent permettre des déductions, en particulier lorsque différentes sources de données sont combinées.
• Aucun anonymat n’est obtenu. Le chiffrement du DNS ne sépare pas nécessairement la requête de l’identité, du compte, de l’adresse IP ou de l’appareil qui en est à l’origine.
• Il ne garantit pas d’éviter la censure, les logiciels malveillants ou le traçage. Ces problèmes exigent des mesures différentes et dépendent de davantage de couches du système.

Par exemple, une personne peut faire en sorte qu’il soit difficile pour l’opérateur d’un réseau local de lire le domaine sensible qu’elle consulte. Malgré cela, le résolveur choisi reçoit cette demande et le fournisseur d’accès observe une connexion ultérieure vers une certaine adresse IP. Chaque acteur voit une partie distincte ; aucun outil isolé n’efface tous les signaux.

Avertissement : « Chiffré » décrit comment le canal est protégé. Cela ne répond pas en soi à la question de savoir qui conserve les données, pendant combien de temps ni avec qui elles sont partagées.

Chiffrer signifie aussi choisir à qui faire confiance

Lorsque le résolveur du réseau est remplacé par un autre service, la confiance ne disparaît pas : elle se déplace. L’exposition face au réseau local ou au fournisseur d’accès peut diminuer et, dans le même temps, un ensemble de requêtes peut se retrouver concentré chez un nouvel opérateur.

Cela ne signifie pas que tout changement soit inutile. Cela signifie que l’évaluation ne peut pas s’arrêter à la présence d’un cadenas ou au nom du protocole. La RFC 8932, destinée aux opérateurs de services de confidentialité DNS, souligne l’importance de pratiques telles que la minimisation des données, la conservation limitée et la transparence.

Sous l’angle de la liberté individuelle, la question centrale est le contrôle éclairé sur des données capables de décrire notre comportement. Ce contrôle requiert des options, mais aussi des informations compréhensibles sur les intermédiaires. Un choix technique est authentique lorsque la personne peut savoir ce qu’elle protège, ce qu’elle cède en échange et quels risques subsistent.

Comment évaluer une option de DNS privé

Il n’existe pas de réponse universelle, car chaque personne fait face à des acteurs et à des risques différents. Avant de choisir une configuration ou un résolveur, il convient de se poser quelques questions :

1. Face à qui est-ce que je cherche une protection ? Un réseau Wi-Fi partagé n’est pas la même chose qu’un fournisseur d’accès, que le résolveur lui-même ou qu’un adversaire capable de corréler le trafic.
2. Quel tronçon est chiffré ? Il faut vérifier si l’appareil ou l’application utilise réellement DoT ou DoH jusqu’au résolveur prévu et ce qui se passe lorsque la connexion protégée échoue.
3. Quelles données l’opérateur conserve-t-il ? Les journaux, la durée de conservation, la finalité déclarée et les conditions de partage des informations importent.
4. Comment le service est-il financé et gouverné ? Les incitations et la reddition de comptes aident à évaluer si une politique de confidentialité est crédible.
5. Où opère-t-il et selon quelles règles ? La juridiction peut conditionner les obligations légales et les possibilités de recours.
6. Concentre-t-il plus d’informations que nécessaire ? Un service très répandu peut offrir une capacité technique et, en même temps, rassembler les requêtes de nombreux utilisateurs en un seul point.

Ces questions constituent un petit modèle de menaces : elles identifient quelles informations nous voulons protéger, qui pourrait les obtenir et quel coût ou quelle complexité nous sommes disposés à assumer. Elles évitent également de choisir un outil en raison d’une promesse abstraite de « confidentialité maximale ».

Une couche utile, non une couche magique

La confidentialité du DNS ne consiste pas à cacher le fait que les domaines existent. Elle consiste à limiter l’exposition des requêtes et à rendre plus difficile leur association à une personne ou à un appareil par des tiers. DoT et DoH aident à protéger le trajet jusqu’au résolveur ; d’autres mesures prennent en charge l’intégrité, le trafic ultérieur ou la réduction des données à différentes étapes.

La décision raisonnable dépend du risque réel. Pour une personne connectée à des réseaux qu’elle ne contrôle pas, chiffrer les requêtes peut réduire une exposition immédiate. Pour qui redoute l’accumulation d’historiques, la politique du résolveur sera aussi importante que le protocole. Et face à des adversaires dotés d’une capacité de corrélation, des protections supplémentaires seront nécessaires.

La confidentialité numérique se construit par couches. Le DNS chiffré est l’une d’elles : précieuse lorsqu’elle est comprise avec précision, insuffisante lorsqu’elle est confondue avec l’invisibilité.