DNS détourné : quand un autre répond à votre place
Si la requête part vers la mauvaise adresse, tout le reste continue de fonctionner et vous ne le remarquez pas tout de suite. C'est pourquoi savoir vérifier compte.
Ce qu'est un détournement de DNS
Un détournement de DNS, c'est quand les requêtes de l'appareil n'atteignent plus le vrai serveur de noms et arrivent chez un serveur choisi par quelqu'un d'autre. Cela arrive de trois façons : la configuration du routeur a été modifiée, un logiciel malveillant sur l'appareil a changé l'adresse, ou quelqu'un au milieu du réseau répond avant le serveur légitime.
L'effet est grave précisément parce qu'il est silencieux. Les adresses renvoyées ne sont pas aléatoires : l'attaquant peut pointer vers ses propres serveurs, capturer ce que vous envoyez et, dans les cas courants, simplement déclarer un serveur publicitaire à la place du site.
Les signes observés dans la pratique
Le premier signe est dans le navigateur : des sites qui s'ouvraient ne s'ouvrent plus, s'ouvrent lentement ou affichent un avertissement de certificat invalide sur des pages qui fonctionnaient avant. Le deuxième est le contenu : des publicités ou des redirections apparaissent sur tous les sites, y compris ceux que vous ne frequentez pas d'habitude.
Le troisième est la réponse elle-même. Si le même nom, interrogé auprès de deux résolveurs différents, renvoie des adresses différentes, il y a une incohérence qui mérite d'être examinée. Des adresses dans des plages inattendues, ou toujours la même adresse pour des noms qui devraient être sur des serveurs différents, sont une raison de vérifier la configuration.
Comment vérifier et corriger
La vérification la plus simple consiste à comparer : interrogez le même nom auprès de deux résolveurs indépendants et regardez si les adresses concordent. Si elles diffèrent, le problème est entre votre appareil et l'un des deux, et la cause est généralement la configuration du routeur ou de l'appareil lui-même.
Après la correction, il vaut la peine de figer le choix. Utiliser un DNS chiffré avec un serveur que vous avez choisi, et journaliser les requêtes par appareil, fait que tout changement dans les réponses apparaît comme quelque chose que vous avez fait. Sur les réseaux publics, le DNS chiffré empêche le réseau local de répondre à la place du serveur.