Le DNS over HTTPS peut-il cacher du trafic à la surveillance de sécurité ?

Il peut cacher les requêtes DNS, pas les connexions qui suivent. DNS over HTTPS (DoH, RFC 8484) et DNS over TLSTLS: Transport Layer Security. Le chiffrement qui protège la plupart du trafic internet, comme HTTPS. (DoT, RFC 7858) chiffrent les questions qu'un appareil pose à son résolveur. Si des navigateurs ou des applications utilisent un résolveur DoH extérieur, votre serveur DNS d'entreprise et ses journaux ne voient plus quels noms sont résolus, ce qui affaiblit le filtrage DNS et les investigations. Un logiciel malveillant peut utiliser DoH pour la même raison. Les connexions vers les destinations réelles traversent toujours le réseau avec leurs adresses IP, leurs horaires et leurs volumes, et souvent avec le nom du serveur dans la négociation TLS. Mesures pratiques : exploitez votre propre résolveur, ou celui d'un fournisseur, compatible avec le DNS chiffré et faites-le utiliser par les appareils gérés ; empêchez par des politiques de navigateur et de système d'exploitation l'usage d'autres résolveurs ; et repérez les appareils qui parlent directement à des services DoH publics. DoT se repère facilement, car il utilise le port 853 ; DoH ressemble à du HTTPS ordinaire. NetSenX alerte sur le tunnel DNS ; il ne filtre ni ne bloque le DNS.

← Les 40 questions sur Chiffrement et trafic chiffréTous les thèmes