Quad9 : plus de con­fi­den­tia­lité et de sécurité dans le DNS

Le système de noms de domaine (Domain Name System, DNS), c’est ce qui nous évite d'avoir à connaître les adresses IP par cœur lorsque nous surfons sur Internet. Il nous permet de ren­seig­ner dans le na­vi­ga­teur une adresse Web bien plus facile à retenir ou à re­cher­cher. Le DNS se charge alors de ce qu'on appelle la ré­so­lu­tion de noms : dans le serveur de noms, l'URL est traduite en une adresse IP.

En général, on bénéficie du service de DNS de son four­nis­seur d'accès à Internet, mais il est également possible de passer par un autre serveur de DNS. Ces dernières années, de plus en plus de four­nis­seurs de serveurs publics d'accès libre et gratuit sont apparus sur le marché. Le plus connu d’entre eux est cer­tai­ne­ment le résolveur DNS de Google. Mais si vous vous méfiez des pratiques de Google en matière de sécurité de vos données, vous pouvez aussi utiliser un service aux di­men­sions plus modestes, comme Quad9. Ce n’est pas une en­tre­prise mais bien une or­ga­ni­sa­tion à but non lucratif qui est ici à l'œuvre.

Derrière l'or­ga­ni­sa­tion de Quad9, qui fournit le service DNS du même nom, on retrouve entre autres IBM, Packet Clearing House (PCH) et Global Cyber Alliance (GCA). Ces deux dernières or­ga­ni­sa­tions sont engagées par ailleurs dans les domaines de la sécurité et la pro­tec­tion de la vie privée sur Internet. L'idée centrale est de fournir un résolveur DNS qui soit à la fois in­dé­pen­dant des intérêts com­mer­ciaux privés et librement ac­ces­sible à tout uti­li­sa­teur.

Quad9 accorde en outre une grande im­por­tance à la sécurité des données et au respect de la vie privée. L'équipe qui gère ce résolveur DNS assure qu'aucune donnée d'uti­li­sa­teur n'est collectée. C'est surtout dans le domaine de la sécurité des données que Quad9 joue vé­ri­ta­ble­ment un rôle avant-gardiste. Le service prend en charge à la fois le DNS over TLS (DOT) et le DNS over HTTPS (DOH). Ces dernières années, il est devenu de plus en plus évident que le DNS classique souffrait de lacunes majeures en matière de sécurité liées à l'absence de chiffrage. Les attaques par dé­tour­ne­ment de DNS sont de plus en plus courantes. Mais au-delà de la cy­ber­cri­mi­na­lité, les nouvelles tech­niques mises en œuvre per­met­tent aussi de lutter contre la censure pratiquée par les gou­ver­ne­ments.

Autre point fort, Quad9 utilise le DNSSEC, qui garantit l'exac­ti­tude des résultats fournis. Quad9 travaille avec des filtres : les listes noires fournies et mises à jour par divers pres­ta­taires de sécurité, con­tien­nent des sites Internet classés comme nuisibles. Afin de ne pas se trans­for­mer en organe de censure (car rien ne garantit qu’un site ne peut pas se retrouver sur une liste noire par mal­veil­lance), chaque or­ga­ni­sa­tion par­ti­ci­pante vérifie le travail des autres. Cela permet d'éviter que certains intérêts par­ti­cu­liers ne gardent la main sur l’identité des sites placés sur liste noire. De même, les demandes de censure émanant de sources ju­di­ciaires ne sont prises en compte que sur la base de décisions de justice avérées. Même en prenant cela en compte, la censure reste limitée à un niveau local.

Le nom Quad9 indique l'adresse IP qui lui cor­res­pond : quatre fois neuf - 9.9.9.9. Au passage, on peut y voir une référence au service de Google, dont l’IP est 8.8.8.8. Il faut toutefois préciser que le service DNS de Quad9 est également dis­po­nible à d'autres adresses (à la fois IPv4 et IPv6) :

Quad9 offre donc un accès à la fois sécurisé et non sécurisé. Les con­nexions sé­cu­ri­sées sont bien sûr celles qui sont re­com­man­dées par le four­nis­seur. Vous disposez ici de filtres DNSSEC et de listes noires. Toutefois, si vous souhaitez bé­né­fi­cier d’une ex­pé­rience de na­vi­ga­tion to­ta­le­ment non filtrée, quitte à vous exposer à certains risques, vous avez la pos­si­bi­lité d’accéder à des adresses IP non sé­cu­ri­sées. Quad9 fournit sys­té­ma­ti­que­ment deux adresses IP, qui peuvent toutes deux être saisies dans le système d'ex­ploi­ta­tion : lorsqu’un canal de com­mu­ni­ca­tion est tem­po­rai­re­ment in­dis­po­nible, vous pouvez passer di­rec­te­ment à l'autre adresse.

En outre, Quad9 fournit un sous-réseau client EDNS. Toutefois, cette offre est prin­ci­pa­le­ment destinée aux réseaux de diffusion de contenu (Content Delivery Networks, CDN), qui sont utilisés pour rendre les fichiers mul­ti­mé­dia dis­po­nibles sur les sites Internet sans sur­char­ger le serveur concerné. L'EDNS assure l'équi­li­brage des charges et permet donc de répondre plus ra­pi­de­ment aux demandes des CDN. En outre, nous tra­vail­lons avec des four­nis­seurs d’IdO dans le but de créer un accès DNS sécurisé pour les dis­po­si­tifs connectés.

Si vous souhaitez utiliser l'une des deux con­nexions chiffrées, vous devez utiliser certains ports. Pour le DoT, utilisez le port 853 ; pour le DoH, choi­sis­sez le port HTTP standard 443.

Quad9 ne fournit pas l'accès à un seul serveur DNS. Le service fait appel à plus d’une centaine de serveurs répartis dans le monde entier. L’uti­li­sa­tion du service vous achemine via Anycast vers l’un d’entre eux. Avec Anycast, dif­fé­rents serveurs peuvent avoir la même adresse, mais le chemin le plus court est toujours pri­vi­lé­gié.

Quels sont les avantages du passage au résolveur DNS Quad9 ?

• Dis­po­nible gra­tui­te­ment
• Les données des uti­li­sa­teurs ne sont pas en­re­gis­trées
• Con­nexions sé­cu­ri­sées
• Pas de censure d'État
• DNS over TLS et DNS over HTTPS
• DNSSEC
• Filtrage par liste noire
• Plus de 100 serveurs à dis­po­si­tion
• Géré par une or­ga­ni­sa­tion à but non lucratif