Devinez qui se lance dans le DNS « sécurisé » ? La NSA…

Devinez qui se lance dans le DNS « sécurisé » ? La NSA…

Devinez qui se lance dans le DNS « sécurisé » ? La NSA…

D’un côté, nous avons la National Security Agency, connue pour ses dérives sur la surveillance (de masse) – largement mises en avant par Edward Snowden – au niveau mondial. De l’autre, le DNS dont le rôle (du résolveur) est notamment de faire correspondre un nom de domaine à une adresse IP. Cet élément, presque aussi simple qu’incontournable, est au centre de nombreux enjeux sur la sécurité et le respect de la vie privée.

Et voilà que les deux se mélangent… on se demande donc bien ce qui pourrait mal se passer. La semaine dernière, la NSA a en effet présenté un programme pilote d’un DNS « sécurisé », dont les premiers retours seraient « très très positifs ». Il ne s’adresse pas à tout le monde, mais aux fournisseurs/sous-traitants de la défense américaine. But officiel de l’opération : améliorer la cybersécurité des partenaires, comme le rapporte Cyberscoop.

« Notre analyse a mis en évidence que l'utilisation d'un DNS sécurisé réduirait de 92 % la capacité des attaques des logiciels malveillants… passant par des serveurs de commande et contrôle, déployant ainsi des logiciels malveillants sur un réseau », explique  Anne Neuberge, directrice de la NSA.

Elle ajoute : « il s’agit d’un modèle qui peut aider à relancer la cybersécurité, en particulier pour les petites et moyennes entreprises qui n’ont peut-être pas la capacité d’investir des ressources ou n’ont pas le personnel qualifié ». Ces PME sont des cibles car elles développent des technologies d’armements pour la Défense. 

Commentaires (26)


<img data-src=" />&nbsp;on ne peut que saluer l’audace!



Bon pour le moment ce n’est que pour un usage interne et je comprends la démarche.


La NSA à vraiment deux facettes une qui veut espionner tout le monde quitte à baisser la sécurité pour cela. Et une autre qui veux qui veut protéger l’Amérique et les américains des risques de piratages qui veut augmenter la sécurité .


À quand leur offre de stockage cloud ? <img data-src=" />








DoWnR a écrit :



À quand leur offre de stockage cloud ? <img data-src=" />





C’est pas déjà en place ?

NSA Cloud Backup



<img data-src=" /> J’avais jamais vue celle-là









millman42 a écrit :



La NSA à vraiment deux facettes une qui veut espionner tout le monde quitte à baisser la sécurité pour cela. Et une autre qui veux qui veut protéger l’Amérique et les américains des risques de piratages qui veut augmenter la sécurité .





C’est en effet Dr Jekill & Mr Hyde la NSA. Et depuis longtemps.

Plutôt de faire une remarque type “on se demande donc bien ce qui pourrait mal se passer”, on pourrait se poser la question de ce qui est fait chez nous pour aider les entreprises à être des proies moins faciles… pour le côté obscur de la NSA et tous les autres.



Si j’ai tout bien compris même en utilisant DOH le serveur voit les requêtes en clair ? Donc ça sous entend une confiance absolu envers ce serveur non ?



Si c’est bien ça qui fait “une confiance absolue” à la NSA ? <img data-src=" />


C’est plutôt une bonne idée pour augmenter la sécurité lors d’échange d’infos confidentielles entre elle et ses fournisseurs en complément du classique VPN. Rien n’empêche le fournisseur d’avoir un poste dédié à sa relation client avec la NSA et configuré sur ce DNS et d’autres postes de travail sur un réseau à part sur un autre DNS.








secouss a écrit :



Si c’est bien ça qui fait “une confiance absolue” à la NSA ? <img data-src=" />







En théorie, juste les citoyens américains et les sociétés américaines. <img data-src=" />



Parfois ça dérape un peu mais le but à toujours été le même, protéger leur nation des vilains méchants que sont tout les autres qui peuplent le reste de la planète.



Tapez 3615 code NSA sur votre minitel <img data-src=" />


Bah les “méchants” qui sont contre les USA c’est parfois le peuple des USA xD



J’ai vu une phrase marrante la dessus :

Si les USA voyaient ce que les USA font subir aux USA, nul doute que les USA envahiraient les USA pour libérer les USA du joug des USA.

<img data-src=" />


La backdoor mon ami, la backdoor…


Les deux ne sont pas incompatibles. Comme dit ci-dessus, mettre une backdoor dans un système hyper-sécurisé est un moyen d’atteindre les deux objectifs… Du moins tant que la backdoor reste secrète et inaccessibles aux ennemis.


Mince, grillé.



C’est clair:&nbsp;NSA Backdoor inside :-)

&nbsp;

Je parie qu’ils ont récupéré un code github, ils y ont intégré quelques backdoors et ont recompilé tout cela.



Cela fait plusieurs années que CIA et NSA cherchent à imposer l’implémentation de backdoor aux éditeurs logiciels qui vendent sur le territoire américain. Un responsable de la CIA aurait même déclaré en substance “I don’t want to enter the backdoor but the frontdoor” (je ne veux pas rentrer par la porte de derrière mais par l’entrée principale).



Dire qu’en Europe l’ENISA, ANSSI, BSI… continuent de prêcher les critères communs, les certifications locales, les qualifications, les pens test, les bugs bounties… Finalement, c’est sympa l’Europe surtout quand on a rien à se reprocher :-)








JohnHostfil a écrit :



C’est plutôt une bonne idée pour augmenter la sécurité lors d’échange d’infos confidentielles entre elle et ses fournisseurs en complément du classique VPN. Rien n’empêche le fournisseur d’avoir un poste dédié à sa relation client avec la NSA et configuré sur ce DNS et d’autres postes de travail sur un réseau à part sur un autre DNS.







Tout à fait ! Autant les commentaires en mode « LOL, ils nous ont pris pour des pigeons ou quoi ? » sont rigolos, et le titre de la brève y pousse pas mal, mais si on la lit entièrement et avec attention, c’est plutôt une bonne chose qu’ils aient mis ce service en place.



Leur DNS ne s’adresse pas au grand public, auquel cas il est clair que ça aurait été un peu du foutage de gueule, mais uniquement à l’agence elle-même et ses fournisseurs. Et c’est objectivement dans l’intérêt de la sécurité américaine (et par extension de leurs alliés) que ces acteurs ne soient pas corrompus par différentes attaques. Ainsi, la NSA pourrait immédiatement intervenir si un de ses services ou fournisseurs se mettait à chercher à résoudre l’adresse d’un serveur C&C connu, ou pourquoi pas identifier de nouvelles attaques.



Parce que de toute façon, si tu bosses déjà pour la NSA ou un de ses fournisseur, ils sont déjà très bien informés sur toi, et je pense que ça doit être à peu près pareil pour n’importe-quel service de renseignements ou sécurité intérieure.



Perso moi je ne vois qu’une facette : America first.&nbsp;&nbsp;


Ce sont de faux américains cela. <img data-src=" />








Stéphane Bortzmeyer a écrit :



J’ai un peu commenté ce projet enhttps://write.as/bortzmeyer/le-resolveur-dns-securise-de-la-nsa





<img data-src=" /> vais lire avec attention votre billet ;-)



Je ne suis même pas sûr que ça augmente réellement la sécurité : Rien n’empêche un malware de contacter des IP directement sans passer pas DNS.


La généralisation progressive du chiffrage de connexion doit pas mal les emmerder dans leur “boulot”, du coup ils essayent de se placer à un des rares endroits stratégiques et restant encore non chiffré aujourd’hui.



Le fait de limiter ça à un très faible nombre de personne je vois plus ça comme une expérimentation de fonctionnement/faisabilité/intérêt “taille réelle” qu’autre chose.

Quoi qu’il se passe, quoi qu’il en ressorte ça restera en interne et c’est le but.


Est-ce qu’il y a, ou a eu, une backdoor dans SE Linux?








fofo9012 a écrit :



Je ne suis même pas sûr que ça augmente réellement la sécurité : Rien n’empêche un malware de contacter des IP directement sans passer pas DNS.





C’est rarement utilisé, car une telle méthode serait très vulnérable à une saisie de la machine (d’où l’intérêt des noms de domaine, qui ajoutent une indirection). Ce que font certains logiciels malveillants est plutôt de résoudre les noms par une méthode à eux (protocole privé, par exemple).



Et tous les logiciels malveillants ne sont pas perfectionnés, certains sont simples, et vulnérables à des solutions comme le résolveur menteur.









fofo9012 a écrit :



Je ne suis même pas sûr que ça augmente réellement la sécurité : Rien n’empêche un malware de contacter des IP directement sans passer pas DNS.





Le but n’est pas a mon sens de se protéger de ce type d’attaque, mais plutôt d’éviter que le solveur DNS utilisé par le fournisseur de la NSA (par exemple celui du FAI du fournisseur dont la NSA ne maitrise pas le niveau de sécurité, ni l’accès au LOG) ait accès à l’historique des connexions vers les serveurs de la NSA.









Guinnness a écrit :



La généralisation progressive du chiffrage de connexion doit pas mal les emmerder dans leur “boulot”, du coup ils essayent de se placer à un des rares endroits stratégiques et restant encore non chiffré aujourd’hui.







Ils ne sont pas les seuls. On fait la même chose hein. <img data-src=" />



Tout le monde fait la même chose, faudrait vivre dans le monde des bisounours pour imaginer le contraire, mais à ma connaissance c’est la 1ère fois qu’une agence étatique spécialisée dans l’espionnage se lance dans le service web “sécurisé” <img data-src=" />

Parti comme ça on pourrait bientôt voir apparaître un nouvel opérateur de téléphonie mobile : NSA mobile, et pourquoi pas un nouveau FAI : NSA-net, ça donne carrément envie <img data-src=" />


Fermer