Mozilla explique que : « DNS est une base de données qui relie un nom convivial, tel que www.mozilla.org, à une série de nombres informatisés, appelée une adresse IP (par exemple 192.0.2.1). En effectuant une «recherche» dans cette base de données, votre navigateur Web peut trouver des sites Web en votre nom. En raison de la conception initiale du DNS il y a des décennies, les navigateurs effectuant des recherches DNS pour les sites Web - même les sites https:// chiffrés - devaient effectuer ces recherches sans chiffrement ».
Et d’indiquer que « parce qu’il n’y a pas de chiffrement, d’autres appareils en cours de route peuvent également collecter (ou même bloquer ou modifier) ces données. Les recherches DNS sont envoyées à des serveurs qui peuvent espionner l’historique de navigation de votre site Web sans vous en informer ou publier une politique sur ce qu’ils font de ces informations. »
Selon Mozilla, « lors de la création d’Internet, ce type de menaces à la vie privée et à la sécurité des personnes était connu, mais n’était pas encore exploité. Aujourd’hui, nous savons que le DNS non chiffré est non seulement vulnérable à l’espionnage, mais également exploité, et nous aidons donc Internet à opter pour des alternatives plus sécurisées. Pour ce faire, nous effectuons des recherches DNS dans une connexion HTTPS chiffrée. Cela permet de masquer votre historique de navigation aux attaquants sur le réseau, d’empêcher la collecte de données par des tiers sur le réseau qui relie votre ordinateur aux sites Web que vous visitez ».
C’est ainsi que le protocole DNS-over-HTTPS a vu le jour ; il donne la possibilité aux navigateurs Web de masquer les requêtes et les réponses DNS dans le trafic HTTPS d’apparence normale afin de rendre le trafic DNS d’un utilisateur invisible. Il compromet par la même occasion la capacité des observateurs tiers du réseau (tels que les FAI) à détecter et filtrer le trafic de leurs clients. En théorie, la mise en œuvre à grande échelle de cette technologie permettrait aussi de lutter plus efficacement contre l’Eavesdropping et la manipulation de DNS par des attaques de l’homme du milieu.
Tandis que les défenseurs de la vie privée et les éditeurs de navigateurs dans leur grande majorité considèrent le DOH comme une aubaine pour les utilisateurs, les fournisseurs de services Internet et les fabricants d’appareils de sécurité réseau, plus sceptiques à l’égard de cette technologie, mettent en garde contre les dangers et abus qui découleraient de la mise en œuvre de ce projet. Aux USA par exemple, les géants de l’industrie des télécommunications et de la câblodistribution soutiennent que l’initiative DoH « pourrait interférer à grande échelle avec des fonctions Internet critiques et soulever des problèmes de concurrence des données ». Ils assurent par ailleurs que l’adoption de ce protocole va les empêcher de surveiller l’activité de leurs utilisateurs et qu’elle permettra à des acteurs tels que Google de transférer des millions d’utilisateurs vers leurs propres serveurs DNS, ce qui peut conduire à une concentration dangereuse du contrôle sur le DNS.
Mozilla est à l’origine de la création du DoH avec Cloudflare. L’éditeur de Firefox va progressivement transférer l’ensemble des utilisateurs de son navigateur Web vers son système DoH maison, que le fournisseur DNS existant de ces derniers supporte ou non la nouvelle fonctionnalité. Ce mouvement fera de Cloudflare le fournisseur DNS par défaut pour les utilisateurs de Firefox, quels que soient les paramètres DNS du système d’exploitation sous-jacent.
En décembre, Firefox a annoncé un nouveau partenariat avec NextDNS pour fournir aux utilisateurs de Firefox des services privés et sécurisés de DNS (Domain Name System) via son programme Trusted Recursive Resolver (il s’agit du paramètre DNS-over-HTTPS utilisé par Firefox). La société s’est engagée à donner la priorité à la confidentialité des utilisateurs dans les efforts de modernisation du DNS.
Le programme Trusted Recursive Resolver (TRR) vise à normaliser les exigences dans trois domaines : limiter la collecte et la conservation des données, assurer la transparence de toute rétention de données qui se produit et limiter le blocage ou la modification du contenu. Pour toute entreprise partenaire de Mozilla, l’éditeur s’attend à ce qu’elles respectent les normes modernes de confidentialité et de sécurité pour nos utilisateurs. Plus précisément :
Limiter les données : Vos données DNS peuvent révéler de nombreuses informations sensibles vous concernant, et actuellement les fournisseurs DNS ne sont soumis à aucune limite quant à ce qu’ils peuvent faire avec ces données; Mozilla voudrait changer cela. Sa politique exige que vos données ne soient utilisées qu’aux fins de l’exploitation du service, ne doivent pas être conservées pendant plus de 24 heures et ne peuvent pas être vendues, partagées ou concédées sous licence à d’autres parties.
Transparence : Il ne suffit pas que les partenaires informent en privé Mozilla de leurs politiques de conservation et d’utilisation des données. Ce qui est plus important, c’est qu’ils attestent publiquement de ces bonnes politiques et qu’ils s’engagent à ce que les utilisateurs puissent voir et comprendre comment leurs données sont traitées. C’est pourquoi la politique de Mozilla exige que les résolveurs publient un avis de confidentialité public qui documente quelles données sont conservées et comment elles sont utilisées.
Blocage et modification : Le DNS peut être utilisé pour contrôler les informations que vous êtes autorisé à voir. Les fournisseurs DNS peuvent potentiellement censurer votre activité de navigation, vous donner de mauvais résultats ou faire apparaître leur propre contenu. Mozilla pense que c’est vous qui devez décider des informations dont vous avez besoin, pas votre fournisseur DNS. Ses exigences empêchent les résolveurs de bloquer, filtrer, modifier ou fournir des réponses inexactes, sauf si la loi l’exige strictement. Alternativement, Mozilla prend en charge l’opération de filtrage lorsqu’un utilisateur opte explicitement, comme avec les contrôles parentaux.
Firefox a annoncé que l’activation du DoH par défaut n’est faite qu’aux USA : « Nous n’activons DoH par défaut qu’aux États-Unis. Si vous êtes en dehors des États-Unis et que vous souhaitez activer DoH, vous pouvez le faire en allant dans Paramètres, puis Général, puis faites défiler jusqu’à Paramètres de mise en réseau et cliquez sur le bouton Paramètres à droite. Une fois rendus à ce niveau, vous pourrez activer DNS-over-HTTPS en cliquant dessus et une case à cocher apparaîtra. Par défaut, cette modification enverra vos demandes DNS chiffrées à Cloudflare ».
Les utilisateurs ont la possibilité de choisir entre deux fournisseurs - Cloudflare et NextDNS - qui sont tous deux des résolveurs de confiance. Allez dans Paramètres, puis Général, puis faites défiler jusqu’à Paramètres réseau et cliquez sur le bouton Paramètres à droite. À partir de là, accédez à Activer DNS-over-HTTPS, puis utilisez le menu déroulant pour sélectionner le fournisseur comme résolveur.
Le chiffrement des données DNS avec DoH n’est que la première étape. Pour Mozilla, exiger que les entreprises qui manipulent ces données aient des règles en place, comme celles décrites dans le programme TRR, garantit que l’accès à ces données n’est pas abusé. Il s’agit donc d’une nécessité.
« Pour la plupart des utilisateurs, il est très difficile de savoir où vont leurs demandes DNS et ce que le résolveur fait d’elles », a déclaré Eric Rescorla, CTO de Firefox. « Le programme Trusted Recursive Resolver de Firefox permet à Mozilla de négocier avec les fournisseurs en votre nom et d’exiger qu’ils aient des politiques de confidentialité strictes avant de gérer vos données DNS. Nous sommes ravis d’avoir NextDNS partenaire avec nous dans notre travail pour remettre les gens en contrôle de leurs données et de leur vie privée en ligne ».
L’éditeur est persuadé qu’en associant la bonne technologie (DoH dans le cas d’espèce) et des exigences opérationnelles strictes pour ceux qui la mettent en œuvre, en trouvant de bons partenaires et en établissant des accords juridiques donnant la priorité à la confidentialité, il va améliorer par défaut la vie privée des utilisateurs.