Fin décembre 2020, la Commission européenne présentait une série de mesures dans le domaine de la cybersécurité. Elle souhaitait « contribuer à la sécurisation de la connexion Internet en soutenant le développement d'un service public européen de résolveur du DNS ». Cette initiative est baptisée DNS4EU afin de proposer un « service européen alternatif d'accès à Internet », comme l’expliquait l’ICANN.

Début 2022, l'Agence européenne pour la santé et le numérique (HaDEA) lançait un appel à projet de 14 millions d'euros en vue du déploiement de DNS4EU. Dans les lignes directrices du résolveur, il devait « être facile à configurer par des non-experts » et proposer des « services de filtrage de contrôle parental strictement opt-in et entièrement transparents ». Autres promesses : données de résolution et métadonnées devaient être traitées dans l'UE, sans monétisation des données personnelles. Ce projet est désormais disponible.

Nous l’avons longuement détaillé dans notre dossier sur le fonctionnement (pour de vrai) d’Internet : le DNS occupe une place très importante, car il permet de transformer une URL en une adresse IP, et ainsi joindre le serveur avec les données attendues.

• [Dossier] Internet, mode d’emploi : de l’URL à l’IP avec le DNS (partie 2)

« Pas d'intérêt pratique […] mais c'est toujours bien »

DNS4EU se lance désormais dans le grand bain, comme annoncé sur X. Stéphane Bortzmeyer, spécialiste des réseaux et du DNS, a publié une première analyse (déjà bien complète pour le commun des mortels) :

« Il ne présente pas d'intérêt pratique (il y a déjà beaucoup de résolveurs, y compris publics, y compris européens) mais c'est toujours bien d'élargir le parc. La diversité est une bonne chose ».

« Comme tous les résolveurs sérieux, il a, en plus des traditionnels UDP et TCP, les transports DoT et DoH (mais pas DoQ [DNS over QUIC (Quick UDP Internet Connections), ndlr] mais, bon, ce dernier est nettement moins fréquent aujourd'hui). Comme tous les résolveurs sérieux, il a une adresse IPv4 et une IPv6 ».

• Qu’est-ce que DNS over HTTPS (DoH), qu’est-ce que cela peut vous apporter ?

Un résolveur, cinq options (avec ou sans filtres)

Dans la pratique, le résolveur propose cinq options en fonction de vos besoins (la première adresse est une IPv4, la seconde une ipV6) :

• Résolveur sans filtre : 86.54.11.100 ou 2a13:1001::86:54:11:100
• Résolveur avec « protection » : 86.54.11.1 ou 2a13:1001::86:54:11:1
• Résolveur avec « protection » et « protection des enfants » : 86.54.11.12 ou 2a13:1001::86:54:11:12
• Résolveur avec « protection » et « blocage des publicités » : 86.54.11.13 ou 2a13:1001::86:54:11:13
• Résolveur avec « protection », « protection des enfants » et « blocage des publicités » 86.54.11.11 ou 2a13:1001::86:54:11:11

Le premier niveau de « protection » comprend « 20 millions de domaines malveillants dans la base de données » et DNS4EU annonce en ajouter « environ 150 000 par jour ». Dans la pratique, il s’agit de « bloquer l’accès aux sites web malveillants et frauduleux connus ». Il existe un formulaire pour signaler des faux positifs.

Pour la « protection des enfants », le résolveur bloque l’accès à certains types de contenus : « Jeux d’argent, sexuel, armes, maltraitance des enfants, drogues, racisme, terrorisme, violence ». Les domaines de la liste sont issus « de dizaines de flux publics (comme Bon-Apetit) et du moteur de détection de contenu Webshrinker ». Dans ce cas, les utilisateurs sont redirigés vers une page de blocage avec une explication.

Protection (relative) contre les publicités

Sur le blocage des publicités, DNS4EU rappelle que « certains sites et applications peuvent avoir mis en place des systèmes de détection anti-publicité, ce qui pourrait empêcher le site de s’afficher correctement ou entraîner un dysfonctionnement de l’application ». Dans la pratique, la liste des domaines publicitaires est tirée « de diverses listes telles que goodbyeads ou ads-tracking » avec une résolution de l’adresse IP en 0.0.0.0.

« Bien que ce service soit censé protéger de la pub, il dit la vérité (malheureusement) pour des noms comme google-analytics.com. Pour googletagmanager.com, il renvoie un amusant 0.0.0.0. Aucune utilisation n'est faite des Extended DNS Errors du RFC 8914, hélas, contrairement à ce que fait Google Public DNS quand il ment », explique Stéphane Bortzmeyer.

Blocage DNS, censure étatique et anonymat

Le spécialiste en profite pour revenir sur la question du blocage DNS : « Curieusement, alors que le cahier des charges de DNS4EU prévoyait explicitement la mise en œuvre de la censure des 27 États membres de l'UE, je n'ai pas trouvé de domaine censuré. Même Sci-Hub marche ». De manière générale, il n’a « pas encore vu de signe de censure étatique (par exemple au profit des ayant-droits) ».

« L’adresse IP du client est entièrement anonymisée avant d’être envoyé au résolveur. Aucune donnée privée n’est collectée nulle part, ce qui garantit un alignement total avec le RGPD et les autres réglementations européennes en matière de protection des données ; vos données restent les vôtres », affirme DNS4EU. De plus amples détails sont disponibles par ici.

Sachez enfin que DNS4EU a été mis en place par neuf partenaires : Whalebone (coordinateur, une société tchéque), CZ.NIC, Czech Technical University (ČVUT), Time.lex, deSEC, SZTAKI, Abi Lab, NASK et DNSC.

Bien évidemment, DNS4EU propose des explications sur comment changer son résolveur DNS sur de nombreux systèmes d’exploitations et produits tels que des routeurs et des terminaux mobiles.