Comprendre le DNS over HTTPS (DoH) : Comment le chiffrement bloque la surveillance des FAI

Le talon d'Achille du DNS traditionnel (Port 53)

Lors de l'élaboration du Domain Name System dans les années 1980 (RFC 1034 / 1035), la tolérance aux pannes et la rapidité ont été privilégiées au détriment de la confidentialité. Par conséquent, les requêtes DNS ont été standardisées en clair via le port UDP 53.

Dès que vous consultez un site web, un paquet non chiffré transite par votre réseau Wi-Fi local et votre fournisseur d'accès à Internet (FAI). Dans de nombreux pays, les FAI exploitent ces journaux de connexion à des fins de profilage ou pour appliquer des blocages administratifs.

Comment le RFC 8484 (DoH) transforme la sécurité en ligne

En octobre 2018, l'IETF a ratifié le standard RFC 8484, officialisant le DNS over HTTPS :

1. Chiffrement de bout en bout en TLS 1.3: L’intégralité des requêtes et réponses circule dans des sessions HTTPS sécurisées sur le port TCP 443.
2. Indiscernable du trafic Web ordinaire: Puisque les paquets DoH partagent le même port et les mêmes suites cryptographiques que le Web moderne, les pare-feux et boîtiers DPI ne peuvent pas les filtrer.
3. Multiplexage HTTP/2 et HTTP/3: Les clients DoH modernes exécutent plusieurs résolutions sur une seule connexion TCP ou QUIC, éliminant les délais de négociation.

DNSSEC : Confidentialité contre Intégrité des données

Tandis que le DoH assure la confidentialité (personne ne peut espionner vos recherches), DNSSEC assure l’intégrité (personne n’a falsifié l’adresse IP retournée). Grâce aux enregistrements signés RRSIG et DS, une chaîne de confiance cryptographique est établie jusqu'à la racine de l'IANA.

Essayez l'outil interactif en direct ci-dessous

Découvrez le protocole RFC 8484 en direct. L’outil intégré ci-dessous interroge directement les résolveurs sécurisés de Cloudflare (1.1.1.1) et de Google (8.8.8.8) sans aucune collecte de données.