Un Résolveur DNS Européen, Bientôt Une Réalité ?

Tribune : L’initiative “DNS4EU” vise à créer une “infrastructure européenne de services de résolution DNS au service des utilisateurs d’Internet basés dans l’UE qui ont besoin d’une résolution DNS respectueuse de la vie privée et sécurisée” explique Sarah Duyndam, de Infoblox.
Par Sarah Duyndam, Infoblox | Mercredi 13 Avril 2022 Un résolveur DNS européen, bientôt une réalité ? L’Union européenne pourrait bientôt disposer de son propre résolveur DNS (Domain Name System). L’initiative “DNS4EU” vise à créer une “infrastructure européenne de services de résolution DNS au service des utilisateurs d’Internet basés dans l’UE qui ont besoin d’une résolution DNS respectueuse de la vie privée et sécurisée pour accéder aux ressources en ligne”.
Pour sélectionner un opérateur pour ce futur service, la Commission européenne a publié en janvier un appel à propositions, dont la date limite a été repoussée au 20 avril prochain. Le prestataire choisi sera révélé au cours du second semestre 2022. L’initiative DNS4EU a été évoquée pour la première fois par l’UE en 2020, avec l’annonce de la stratégie européenne en matière de cybersécurité. L’accélération du projet intervient à une période où l’Europe prend des mesures pour accroître sa souveraineté numérique et réduire sa dépendance à l’égard des acteurs étrangers. La France a encore mis l’accent sur cet objectif dans le cadre de sa présidence européenne, en plaçant la souveraineté et la régulation numérique parmi ses principales priorités.

Pourquoi la Commission européenne veut-elle construire son propre résolveur, plutôt que de simplement changer sa politique ou ses règles ? Un tel changement de politique serait sans doute trop compliqué, puisque l’Internet n’a pas de frontières. Même si la CE visait à appliquer des règles à l’Europe, elle finirait par cibler tous les services DNS du monde. Par ailleurs, si elle tentait d’appliquer les règles à chaque entreprise basée dans l’Union européenne, elles ne s’appliqueraient pas aux plus grands acteurs commerciaux mondiaux tels que Google et Cloudflare, voire Quad9, basé en Suisse.
En exigeant une liste de caractéristiques de sécurité et de confidentialité, l’UE vise à protéger les utilisateurs du futur résolveur. À cet égard, DNS4EU se distingue des parties commerciales et des fournisseurs d’accès à Internet. Prenons par exemple le service DNS public de Google, qui prétend ne pas faire grand-chose pour protéger les utilisateurs et se veut un canal neutre. C’est différent des résolveurs DNS commerciaux, qui sont souvent destinés aux grandes entreprises.
Ils font beaucoup pour protéger les utilisateurs contre les logiciels malveillants et les sites de phishing. Les résolveurs publics s’en tiennent souvent à l’écart. Les fournisseurs d’accès à Internet ont la même attitude lorsqu’il s’agit des résolveurs DNS qu’ils utilisent ou gèrent eux-mêmes. Bien qu’il s’agisse de sociétés commerciales, ils aiment aussi se considérer comme assurant une sorte de fonction utilitaire qui garantit la transmission neutre des informations. C’est une manière de se protéger contre des poursuites en justice.
En outre, si les internautes peuvent choisir d’utiliser le résolveur DNS de Google, ce dernier a toujours la possibilité d’en faire ce qu’il veut. Google ne l’offre pas gratuitement par pure bonté d’âme ; il offre ce service afin d’obtenir des données. Les fournisseurs de services Internet pourraient donc bénéficier d’un nouveau service DNS public sur lequel ils pourraient compter.

Dans les semaines à venir, on devrait savoir quelles entreprises peuvent prétendre à la construction du résolveur. Il est peu probable qu’il s’agisse d’une petite start-up aux grandes ambitions. En même temps, le montant que l’Europe est prête à mettre de côté pour le projet est plutôt faible. Selon l’appel à propositions, seule une somme unique de 14 millions d’euros est disponible pour construire le projet.

La souveraineté numérique, sujet bien connu dans le paysage technologique français, est intégrée dans le plan de l’UE. Toutes les données et métadonnées de résolution DNS doivent être traitées dans l’UE. Toutefois, l’appel à propositions ne fait aucune mention de la nationalité du fournisseur potentiel, ce qui signifie que si les datacenters impliqués dans le traitement de ces données doivent être en Europe, le siège de la société choisie peut se trouver n’importe où dans le monde.
Bien entendu, le résolveur DNS4EU doit se conformer au RGPD. Le cas échéant, il doit également se conformer aux règles nationales de protection des données et de la vie privée des différents pays. En France, il s’agit notamment de la loi Informatique et Libertés.

Pour répondre aux exigences de couverture géographique étendue, de haute fiabilité et de faible latence, le fournisseur aurait besoin d’un nombre important de serveurs, afin de concurrencer un service comme Google ou Cloudflare en termes de performance et de capacité. Bien entendu, les serveurs ne devraient couvrir que l’Europe. Néanmoins, le projet nécessitera des serveurs pour la France, pour le Benelux, pour la Scandinavie, pour l’Espagne… Cela est principalement dû à la latence ; un utilisateur en Norvège utilisant un serveur en Espagne souffrira rapidement d’une connexion lente. La stabilité et la redondance sont également importantes. En les assurant, il sera possible de mettre les serveurs hors ligne pour la maintenance sans provoquer d’interruption de service. Par conséquent, seule une entreprise disposant déjà d’une infrastructure DNS étendue peut répondre à ce besoin.
Un résolveur DNS a besoin de plusieurs autres techniques qui nécessitent beaucoup de maintenance. Par exemple, le fournisseur doit disposer d’une bonne infrastructure Anycast, afin que les utilisateurs puissent toujours utiliser la même adresse IP. La capacité à évoluer horizontalement est également essentielle.

La CE a souligné la nécessité que l’infrastructure choisie réponde à toutes les dernières normes en matière de sécurité et de confidentialité. Par exemple, elle doit se conformer aux dernières normes de sécurité comme HTTPS, DNSSEC et les protocoles de cryptage DNS comme DNS over TLS (DoT) et DNS over HTTPS (DoH). Le projet doit également être entièrement conforme à l’IPv6, la version la plus récente du protocole de communication.
Le projet doit également fournir une protection de pointe contre les logiciels malveillants, le phishing et d’autres menaces. À cette fin, le fournisseur devra analyser ses propres renseignements sur les menaces ainsi que les informations provenant de partenaires de confiance tels que les équipes CERT (computer emergency response teams). Ces groupes d’experts analysent les menaces, alertent le public des nouvelles menaces et coordonnent les réponses aux cyberattaques.
Par exemple, le CERT du gouvernement français, CERT-FR, publie régulièrement des alertes sur les vulnérabilités, les menaces, les incidents de sécurité, les indicateurs de compromission et les recommandations de protection. Le futur opérateur DNS4EU collaborera avec les CERT gouvernementales et privées, qui l’enverront enregistrements DNS des serveurs de commande et de contrôle des malwares. Cela permettra au fournisseur de bloquer les logiciels malveillants au niveau du DNS, une mesure bénéfique pour les utilisateurs.

L’un des critères de l’appel à propositions de l’UE est la nécessité de filtrer les URL qui renvoient à des contenus illégaux. Mais il existe une grande zone grise autour du contenu considéré comme “légal” ou “illégal”. Bien sûr, lorsqu’il s’agit de serveurs de commande et de contrôle, il est clair que tout le monde a intérêt à ce que ces sites soient bloqués, à l’exception de certains chercheurs en sécurité. Mais au-delà, le sujet entre rapidement dans cette zone ambiguë.
Que se passe-t-il si quelqu’un publie en ligne un manuel sur la façon de fabriquer une bombe ? Qu’en est-il des textes incendiaires ? De la pornographie ? Des contenus de jeux d’argent ? De ce fait, il est important que l’utilisation de tout résolveur soit volontaire, comme le prévoit actuellement le plan. En outre, de solides définitions de ce que signifie un tel filtre sont nécessaires, afin que la politique soit claire à l’avance.
En effet, le caractère facultatif du résolveur est la clé de l’initiative. Mais il reste à voir à quel point le futur résolveur européen sera utilisé. Stéphane Bortzmeyer, informaticien à l’Afnic, s’interroge sur l’adoption par les utilisateurs du futur résolveur DNS4EU dans une interview accordée au média allemand Heise. Il souligne que de nombreux utilisateurs utilisent encore leur propre résolveur DNS ou celui de leur fournisseur d’accès à Internet, et insiste sur la sécurité relative des résolveurs plus décentralisés et locaux. Les réflexions depuis longtemps à l’œuvre sur les sujets numériques au sein des institutions européennes sont en voie de se concrétiser en initiatives.
Tandis que la législation sur les marchés numériques (DMA) évolue rapidement, il semble que l’Union Européenne cherche à faire valoir, pour ses administrés, une vision de l’économie numérique et de la confidentialité des données (RGPD) qui diffère de celle qui s’était imposée jusque-là. L’initiative DNS4EU s’inscrit dans cette volonté de fournir à ceux qui le souhaitent un service essentiel qui corresponde à cette vision, en même temps qu’elle dote l’UE d’un outil lui permettant de renforcer sa souveraineté numérique et sa cybersécurité.
Le géant de la tech doit payer une nouvelle amende en Europe, pour avoir enfreint le RGPD avec sa messagerie WhatsApp….
Sujet: RGPD Internet Internet mobile Web
Par Sarah Duyndam, Infoblox | Mercredi 13 Avril 2022
Publicité ciblée : 4 opérateurs télécom européens font front commun contre les GAFA
11/01/2023
Quatre ans après le RGPD, les DPO manquent toujours de ressources
06/01/2023
RGPD : 390 millions d’euros d’amendes pour Meta, 8 millions pour Apple
05/01/2023
Droit à l'effacement : Informer, oui, mais pas à tout prix
09/12/2022