Le système de noms de domaine (DNS) constitue l'annuaire fondamental de l'Internet, traduisant les noms d'hôtes lisibles par l'humain en adresses IP requises pour l'acheminement des paquets. Conçues dans les années 1980 au sein d'une communauté scientifique fondée sur la confiance mutuelle, les spécifications initiales du DNS reposaient sur le protocole UDP via le port 53 en texte clair, dépourvu de chiffrement ou d'authentification cryptographique.

Face à la prolifération des attaques réseau, les ingénieurs ont développé deux familles de solutions distinctes : les extensions de sécurité DNSSEC pour garantir l'authenticité des enregistrements, et les protocoles de DNS chiffré (DoH, DoT et DoQ) pour préserver la confidentialité des échanges. Cependant, ces technologies sont souvent confondues. De nombreux administrateurs supposent à tort que le déploiement de DoH rend DNSSEC superflu, ou que l'activation de DNSSEC empêche les fournisseurs d'accès d'observer leurs requêtes.

En pratique, DNSSEC et le DNS chiffré répondent à des modèles de menace radicalement différents. DNSSEC certifie l'origine et l'intégrité des données au repos, tandis que le DNS chiffré protège la confidentialité du canal de transit entre le client et le résolveur récursif.

Deux objectifs de sécurité distincts : intégrité contre confidentialité

Pour comprendre la complémentarité de ces normes, il convient de dissocier les principes d'intégrité et de confidentialité :

  1. Authenticité et intégrité (DNSSEC) : Répond à la question : « L'adresse IP retournée provient-elle véritablement du titulaire légitime du nom de domaine, sans altération malveillante lors du transit ou de la mise en cache ? »
  2. Confidentialité du transit (DoH / DoT / DoQ) : Répond à la question : « Mon fournisseur d'accès local ou un tiers présent sur le réseau Wi-Fi peut-il intercepter les noms de domaine que je consulte ? »

DNSSEC construit une chaîne de confiance cryptographique ascendante depuis la racine (.) jusqu'à la zone d'autorité finale. Toutefois, les données signées restent transmises en clair : un observateur passif peut lire l'intégralité des noms interrogés.

À l'inverse, le DNS chiffré encapsule les transactions dans des sessions TLS ou QUIC. L'intermédiaire réseau ne voit qu'une connexion chiffrée vers un résolveur. En revanche, le chiffrement du canal n'atteste en rien de la légitimité des enregistrements si le résolveur lui-même n'effectue aucune validation DNSSEC.

Critère d'évaluation DNS conventionnel (UDP 53) DNSSEC (RFC 4033) DNS chiffré (DoH/DoT/DoQ) Modèle combiné (DoH/DoT + DNSSEC)
Chiffrement du canal Aucun (texte clair) Aucun (texte clair) TLS 1.3 / QUIC TLS 1.3 / QUIC
Authenticité des données Vulnérable à l'empoisonnement Signature numérique RRSIG Dépendance totale au résolveur Validation cryptographique de bout en bout
Confidentialité face au FAI Nulle Nulle Masque les noms de domaine Masque les noms de domaine
Protection du cache Faible (randomisation de port) Protection éprouvée Limitée au segment client-résolveur Protection intégrale contre l'empoisonnement
Résilience au filtrage Nulle (interception aisée) Nulle Élevée (fusion avec HTTPS) Élevée

Fonctionnement de DNSSEC : la chaîne de signatures cryptographiques

DNSSEC (RFC 4033–4035) s'appuie sur la cryptographie asymétrique et introduit des enregistrements spécifiques au sein de la zone DNS :

  • RRSIG (Resource Record Signature) : Signature numérique appliquée à un ensemble d'enregistrements (RRset), générée par la clé privée de signature de zone (ZSK).
  • DNSKEY : Clés publiques hébergées dans la zone pour vérifier les signatures.
  • DS (Delegation Signer) : Hachage cryptographique de la clé publique de la sous-zone, publié dans la zone parente afin d'établir la chaîne d'approbation.
  • NSEC / NSEC3 : Preuves cryptographiques d'inexistence d'un enregistrement, empêchant la falsification de réponses négatives.

Le résolveur configuré avec une ancre de confiance pour la racine vérifie la correspondance entre l'enregistrement DS du parent et la clé DNSKEY de l'enfant. Si un acteur malveillant modifie une adresse IP, la signature cryptographique devient invalide et le résolveur renvoie une erreur SERVFAIL, interrompant net la tentative de redirection frauduleuse.

Protocoles de transit chiffré : DoT, DoH et DoQ

Les protocoles modernes de DNS chiffré se concentrent sur la sécurisation du dernier kilomètre réseau :

DNS over TLS (DoT - RFC 7858)

DoT fonctionne sur le port TCP 853 dédié, établissant une session TLS standard pour convoyer les paquets DNS. Ce protocole offre une gestion réseau rigoureuse et une authentification serveur transparente via certificats X.509. Cependant, son port unique permet une identification directe par les filtres de périmètre en entreprise.

DNS over HTTPS (DoH - RFC 8484)

DoH transporte les requêtes DNS au sein de trames HTTP/2 ou HTTP/3 via le port TCP 443 usuel. En se fondant dans le trafic web général, DoH résiste remarquablement aux tentatives d'analyse discriminatoire. Il bénéficie également des mécanismes d'optimisation HTTP comme le multiplexage et le Server Push.

DNS over QUIC (DoQ - RFC 9250)

DoQ s'exécute sur le protocole QUIC (UDP). Il combine un temps de connexion quasi nul (0-RTT), l'élimination du blocage en tête de ligne (head-of-line blocking) et un chiffrement natif TLS 1.3. Cette conception le rend particulièrement stable et réactif lors des transitions réseau sur appareils mobiles.

Pourquoi le DNS chiffré ne remplace pas DNSSEC

Un canal chiffré protège uniquement la liaison entre votre équipement et le serveur de résolution. Si ce dernier interroge des zones amont compromises ou subit une injection de cache sans vérifier les signatures DNSSEC, il transmettra fidèlement une adresse falsifiée au client au travers de la liaison TLS.

Une protection rigoureuse exige que le résolveur valide l'ensemble de la chaîne DNSSEC jusqu'à la racine, puis indique cette réussite au client en positionnant l'indicateur de données authentifiées (AD — Authenticated Data).

Taille des messages et gestion de la fragmentation

L'adjonction des signatures RRSIG et des clés DNSKEY porte la taille d'une réponse DNS typique de 100 octets à plus de 1500 octets. En UDP classique, ce volume provoquait une fragmentation IP fréquente ou imposait un repli vers des sessions TCP coûteuses.

Les protocoles DoH, DoT et DoQ éliminent cette contrainte : TLS et QUIC intègrent une gestion native de la segmentation et de la réexpédition, permettant de transférer des enregistrements DNSSEC volumineux sans perte de paquets.

L'architecture de résolution sécurisée de VPNRice

Pour garantir une protection complète en ligne, le chiffrement du transport local doit impérativement s'associer à la validation cryptographique des sources. VPNRice applique cette architecture au cœur de son réseau.

Dès l'établissement de la connexion VPNRice, toutes les requêtes DNS sont automatiquement acheminées à l'intérieur du tunnel RiceGuard de niveau 3 (Layer 3). Cette isolation prévient les fuites DNS et prive les opérateurs locaux de toute visibilité sur votre navigation.

Sur les passerelles de sortie, les résolveurs récursifs sans journalisation de VPNRice appliquent une vérification stricte des signatures DNSSEC à partir de l'ancre racine mondiale. Les enregistrements falsifiés sont rejetés avant d'atteindre le terminal. En associant la confidentialité de son tunnel à l'authenticité de DNSSEC, VPNRice assure la fiabilité et l'intégrité de vos connexions réseau. Télécharger VPNRice.