Faille DNS : une grande frayeur mais tout est "sous contrôle"

Les grands fournisseurs de solutions réseaux se sont coordonnés pour réparer une vulnérabilité affectant le système de noms de domaine.

En termes de sécurité IT, ce serait la plus grande coordination que le Web ait connue. Et pourtant, l'alliance entre les grands éditeurs pour réparer une faille DNS est restée discrète.

Dan Kaminsky collabore avec la société IOActive basée à Seattle. Il y a six mois, cet expert dans le domaine de la sécurité informatique qui a découvert il y a six mois une faille jugée importante qui portait sur le Domain Name System (DNS), du nom du système permettant d'associer une adresse IP à un nom de domaine. Autrement dit, un pilier pour le bon fonctionnement du Réseaux des réseaux.

Sur un blog professionnel, Dan Kaminsky fournit des précisions dans une contribution datée du 9 juillet. La situation est résumée en quatre points sous une forme rassurante : "C'est un bug sur plusieurs plates-formes (...)C'est exactement le même bug quelque soit la plate-forme(...)Après un énorme effort fourni sous le sceau de la confidentialité, nous avons réparé toutes les principales plates-formes en une seule journée(...)Cela n'est jamais arrivé avant. Nous contrôlons la situation."

Les grands éditeurs comme Microsoft, Sun Microsystems, Cisco ou Juniper ont été mis à contribution. Chacun a diffusé des patches pour réparer cette faille DNS sur leurs principales plates-formes. Quelle coïncidence : c'est la période du Patch Day de Microsoft. Dans ses bulletins de sécurité mensuels, l'éditeur a jugé cette faille "importante" mais pas "critique".

Corruption de cache DNS, le coeur du problème

Sur le front des agences de sécurité gouvernementale, les Etats-Unis sont à la pointe. L'organisme US-CERT (The United States Computer Emergency Readiness Team) a diffusé le 8 juillet une alerte ad hoc évoquant une faille de type corruption de cache DNS ("DNS Implementations Vulnerable to Cache Poisoning").

De son côté, son homologue français Certa, rattaché à la Direction centrale de la sécurité des systèmes d'information et au Service du Premier ministre, se contente d'évoquer une "vulnérabilité dans l'implémentation du protocole DNS par Juniper" dans une alerte en date du 9 juillet.

vnunet

Add this page to your favorite Social Bookmarking websites