DNS over TLS (DoT) est un protocole de sécurité pour le chiffrement et l'encapsulation des requêtes et des réponses DNS via le protocole TLS. Le but de la méthode est d'augmenter la confidentialité et la sécurité des utilisateurs en empêchant les écoutes et la manipulation des données DNS par des attaques man-in-the-middle .
En avril 2018, Google a annoncé que Android Pie allait supporter cette technologie, permettant ainsi aux utilisateurs de se connecter à un serveur DNS aussi bien en Wi-Fi qu'en connexion cellulaire, une option qui restait possible jusqu'à présent seulement aux utilisateurs ayant rooté leur téléphone. DNSDist, de PowerDNS, a également annoncé le support de la technologie en version 1.3.0[9]. Les utilisateurs de BIND peuvent aussi utiliser DoT en utilisant un proxy avec stunnel[10]. Unbound supporte DoT depuis le 22 janvier 2018[11],[12]. Unwind supporte DoT depuis le 29 janvier 2019[13],[14]. Avec le support de la technologie par Android Pie et supérieur, des bloqueurs de publicité supportent eux aussi l'utilisation de ce protocole chiffré[15],[16],[17].
Implémentations
De nombreux serveurs récursifs publics prennent en charge DoT, mais les systèmes clients sont souvent tenus de s'inscrire.
Les clients Android exécutant Android 9 (Pie) ou plus récent prennent en charge DNS sur TLS[18].
Les utilisateurs de Linux et de Windows peuvent utiliser le DNS sur TLS comme client par l'intermédiaire du démon Stubby Labs de NLnet Labs ou du Knot Resolver[19]. Ils peuvent également installer des getdns-utils[20] pour utiliser DoT directement avec l'outil getdns_query. Le résolveur de DNS non lié de NLnet Labs prend également en charge le DNS over TLS[21].
iOS 14 d'Apple a introduit le support de DoT (et DNS over HTTPS) au niveau du système d'exploitation. iOS ne permet pas la configuration manuelle des serveurs DoT, et nécessite l'utilisation d'une application tierce pour effectuer les changements de configuration[22].
Systemd-resolved est une implémentation Linux uniquement qui peut être configurée pour utiliser DNS over TLS, en éditant /etc/systemd/resolved.conf et en activant le paramètre DNSOverTLS[23],[24]. La plupart des principales distributions Linux ont systemd installé par défaut.
PersonalDNSfilter [25] est un filtre DNS open source prenant en charge DoT et DoH (DNS over HTTPS) pour les appareils compatibles Java, y compris Android.
Nebulo [26] est une application Open Source permettant de changer la configuration DNS pour Android, et prend en charge DoT et DoH.
Considérez son contenu avec précaution ou discutez-en. Il est possible de souligner les passages non neutres en utilisant {{passage non neutre}}.
N.B. Ce modèle est à réserver à des cas simples d'articles pouvant être neutralisés par un contributeur seul sans qu'un débat soit nécessaire. Lorsque le problème de neutralité est plus profond, préférez le bandeau {{Désaccord de neutralité}} et suivez la procédure décrite.
DoT peut entraver l'analyse et la surveillance du trafic DNS à des fins de cybersécurité. DoT a été utilisé pour contourner les contrôles parentaux qui fonctionnent au niveau DNS standard (non chiffré); Circle, un routeur de contrôle parental qui s'appuie sur des requêtes DNS pour vérifier les domaines par rapport à une liste de blocage, bloque DoT par défaut pour cette raison[27]. Cependant, il existe des fournisseurs DNS qui offrent le filtrage et le contrôle parental ainsi que la prise en charge de DoT et DoH[28],[29],[30],[31]. Dans ce scénario, les requêtes DNS sont vérifiées par rapport aux listes de blocage une fois qu'elles sont reçues par le fournisseur plutôt qu'avant de quitter le routeur de l'utilisateur.
Le chiffrement protège des observations par des tiers, mais ne permet pas de se protéger du serveur DoT (qui, lui, a accès aux données déchiffrées).
Les clients DoT n'interrogent directement aucun serveur de noms faisant autorité. Au lieu de cela, le client s'appuie sur le serveur DoT à l'aide de requêtes traditionnelles (port 53 ou 853) pour enfin atteindre les serveurs faisant autorité. Ainsi, DoT ne se qualifie pas comme un protocole chiffré de bout en bout, seulement chiffré de saut en saut et uniquement si DNS sur TLS est utilisé de manière cohérente.
↑Port spécifié dans les sections 3.1 et 6 de la RFC 7858, quel que soit le protocole de transport TCP ou UDP, et distinct du port 53 alloué par défaut au protocole DNS non encapsulé.
