DNS : Passerelle vers l'Internet plus sécurisé

DNS : Gateway to the more secure Internet

• Auteur / Autrice : Olivier Hureau
• Direction : Andrzej Duda, Maciej Korczynski
• Type : Thèse de doctorat
• Discipline(s) : Informatique
• Date : Soutenance le 19/12/2024
• Etablissement(s) : Université Grenoble Alpes
• Ecole(s) doctorale(s) : École doctorale Mathématiques, sciences et technologies de l'information, informatique (Grenoble, Isère, France ; 1995-....)
• Partenaire(s) de recherche : Laboratoire : Laboratoire d'informatique de Grenoble (Isère, France ; 2007-....)
• Partenaire(s) de recherche : Equipe de recherche : Equipe de recherche Drakkar (Grenoble ; 20..-....)
• Jury : Président / Présidente : Nadia Brauner
• Jury : Examinateurs / Examinatrices : Maciej Korczynski, Michaël Hauspie
• Jury : Rapporteurs / Rapporteuses : Mathieu Cunche, Radu State
• DOI : 10.70675/a9dfb43dzb4b7z4777z85c8za469510b8052

Mots clés

Mots clés contrôlés

Réseaux d'ordinateurs -- Mesures de sûreté

Serveur de noms de domaine

Mots clés libres

Réseau

Sécurité

Dns

Network

Security

Dns

Résumé

Internet permet à des milliards d’êtres humains de partager des informations, d’accéder aux connaissances et de se connecter les uns aux autres. Ce réseau de réseaux est un ensemble d’ordinateurs interconnectés grâce à leurs identifiants numériques, les adresses IP.Le système des noms de domaine (DNS) a été introduit afin de simplifier l’accès aux ressources en traduisant des chaînes de caractères (noms de domaine) en informations textuelles ou numériques,faisant de ce protocole un maillon applicatif fondamental d’Internet. Conçu initialement sans prendre en compte la sécurité, l’Internet et ses protocoles développés par l’IETF ont dû évoluer pour faire face aux menaces de sécurités croissantes. De nombreux systèmes de sécurité, basés sur des certificats d’identité délivrés par des autorités de certification, ont émergé. Cependant, le DNS, présent depuis les débuts d’Internet, permet déjà de transmettre des identités numériques à travers les noms de domaine.Cette thèse explore comment l’écosystème des noms de domaine ne se limite pas à la simple résolution d’adresses IP, mais peut également jouer un rôle de vecteur de confiance dans l’authentification et la sécurisation des communications sur Internet. Ce travail met en lumière l’information et la confiance qu’un propriétaire de domaine peut propager via le DNS, ainsi que la manière dont les utilisateurs peuvent identifier les acteurs associés aux noms de domaine.De ce fait, ces travaux examinent le protocole DMARC, qui répond à un besoin crucial d’authentification des noms de domaines des expéditeurs de courriels, ainsi que le protocole RDAP , protocole en première ligne dans la lutte contre l’abus des noms de domaines, fournissant des informations relatives à l’enregistrement des noms de domaine. en première ligne de la lutte contre l’abus des noms de domaine et répond aux limitations de l’ancien protocole WHOIS, souffrant d’un manque de normalisation des formats de données, d’un accès sécurisé insuffisant et ne prenait pas en compte le volet international des noms de domaine.La première contribution de cette thèse aborde certaines incompréhensions et mauvaises utilisations du protocole DMARC. Ces comportements, observés chez différents acteurs tels que les professionnels, les bibliothèques open-source et les propriétaires de noms de domaine, sont mesurés et analysés. Nous proposons ainsi une méthode de mesure et d’analyse, comprenant un outil d’analyse syntaxique, une méthode de collecte de données et une étude panoramique des noms de domaine. Notre analyse de l’écosystème DMARC fournit des informations sur la mauvaise utilisation de ce protocole et révèle une utilisation inappropriée et répandue du système de rapport associé.Dans un second temps, nous étudions plus en profondeur le système de rapports et les retours d’informations des fournisseurs de services de courrier électronique, ainsi que leur rôle dans le cadre du protocole DMARC. En outre, nous identifions les acteurs clés de ces partenariats à travers l’analyse de 40 000 rapports. Par ailleurs, nous mettons en évidence un problème lié à la spécification du standard par l’IETF, qui conduit à deux formats de rapport distincts, contribuant à la confusion lors de la génération ou de l’analyse des rapports.Enfin, nous nous intéressons au protocole RDAP, successeur du protocole WHOIS.En effet, bien que les données WHOIS soient essentielles pour fournir des informations sur l’enregistrement des noms de domaine, elles sont devenues peu fiables et incohérentes à travers les bureaux d’enregistrement et les registres. RDAP comble ces lacunes en offrant un format structuré et standardisé pour l’accès aux informations d’enregistrement de noms de domaine via un modèle RESTful. Nous évaluons l’aptitude de RDAP à remplacer WHOIS pour les bureaux d’enregistrement et les registres, et analysons la conformités des services avec les normes et standards émis par l’IETF et l’ICANN.

The Internet enables billions of people worldwide to share information, access knowledge, andconnect with one another. This global network relies on interconnected machines using IPaddresses-numerical identifiers that allow hosts to be reached. The Domain Name System(DNS) was introduced to simplify access to hosts relevant to the user. DNS maps characterstrings (domain names) to numerical or textual information, making it a fundamental part of theInternet’s application infrastructure.Though initially designed without security considerations, the Internet and its protocolshave evolved to address growing cyber threats. Numerous security systems have based onlineidentity validation on certificates issued by certification authorities. However, DNS, a systemin use since the early days of the Internet, already spread digital identities through the domainnames.This thesis investigates how the domain name ecosystem not only resolves domain namesto IP addresses but can also act as a trusted actor of the Internet. It considers theinformation and trust the domain owners can propagate through the DNS (e.g., entities authorized tosend emails for a domain) and how users can identify domain stakeholders (e.g., domain nameregistrars). The thesis explores the Domain-based Message Authentication, Reporting, andConformance (DMARC) protocol, which addresses the lack of domain name authenticationof the email ''From'' address, and the Registration Data Access Protocol (RDAP), a prominentprotocol in the fight against domain name abuse, providing domain name registration-relatedinformation.The first contribution of this thesis addresses common misunderstandings surrounding theDMARC standard and the unexpected behaviors associated with its implementation. Thesebehaviors, observed across a range of actors, including professionals, open-source libraries anddomain owners are analyzed. We propose measurement and analysis methods, including aDMARC record parser, a dataset collection methodology, and a study of the domain namelandscape. Our analysis offers insights into the DMARC ecosystem and reveals widespreadmisuse of the protocol’s reporting system.Second, we examine the DMARC reporting system in greater detail, focusing on thebehavior of Email Service Providers (ESPs) and their role within the DMARC framework.Byanalyzing over 40,000 reports, we identify key players in report generation.Furthermore, we highlight an intrinsic issue in DMARC’s specification from the IETF standards,which leads to two distinct types of formalization, contributing to confusion in its implementation.Finally, we turn our attention to RDAP, the successors of WHOIS. WHOIS data, whichprovides critical information about who owns and manages a domain, has become unreliableand inconsistent across registries and registrars, leading to difficulties in identifying domainstakeholders. RDAP addresses these shortcomings by offering a standardized, structured, andextensible format for accessing domain registration information using a RESTful model.We evaluate the readiness of RDAP as a replacement for WHOIS by examining its deploymentacross different registries and registrars, and assessing the adherence to the standards