Microsoft a dévoilé Zero Trust DNS, appelé aussi ZTDNS, une nouvelle fonctionnalité destinée à renforcer la sécurité des réseaux grâce au DNS. Elle être intégrée à Windows par la suite. Faisons le point sur cette annonce.

Microsoft veut renforcer l'implémentation et l'utilisation de DNS dans Windows pour qu'il puisse s'aligner sur le modèle de sécurité Zero Trust. Modèle qui implique d'authentifier et de vérifier l'activité du réseau, que ce soit sur le périmètre interne ou externe. Avec Zero Trust DNS, Microsoft veut lutter contre les abus du protocole DNS et offrir une meilleure protection contre les cybermenaces.

ZTDNS va intégrer Windows 11

"ZTDNS sera utile à tout administrateur qui tente d'utiliser les noms de domaine comme identifiant fort du trafic sur le réseau.", précise Microsoft dans son article. Au sein de Windows, ZTDNS va intégrer le client DNS du système d'exploitation ainsi que la plateforme de filtrage Windows (WFP).

Dans la pratique, l'objectif étant de forcer la machine Windows 11 à communiquer uniquement avec des serveurs DNS approuvés et sécurisés, via l'utilisation du DNS-over-HTTPS (DoH) ou DNS-over-TLS (DoT). Ceci permet de s'assurer que les échanges DNS entre la machine et le serveur DNS sont chiffrés.

De plus, la machine ne pourra pas communiquer avec un autre serveur DNS : "Windows bloque tout le trafic IPv4 et IPv6 sortant, à l'exception des connexions aux serveurs DNSainsi que du trafic DHCP, DHCPv6 et NDP nécessaire pour découvrir les informations de connectivité du réseau.", peut-on lire.

La requête DNS sert de validation pour autoriser ou non l'accès à un hôte. ZTDNS permettra de bloquer les flux suspects ou inhabituels. "Lorsque des applications et des services tentent d'envoyer du trafic IPv4 ou IPv6 à une adresse IP qui n'a pas été apprise par ZTDNS (et qui ne figure pas sur la liste des exceptions manuelles), le trafic est bloqué.", précise Microsoft.

Une sélection stricte de serveurs DNS

La liste de "Protective DNS servers", c'est-à-dire de serveurs DNS protégés et de confiance, pourra uniquement contenir des serveurs DNS compatibles DoH ou DoT. Pour mettre au point son mécanisme de sécurité ZTDNS, Microsoft s'est appuyé sur des protocoles existants tout en veillant à l'interopérabilité.

À ce sujet, il est précisé : "Dans tous les cas, le ZTDNS n'introduit pas de nouveaux protocoles de réseau, ce qui en fait une approche interopérable prometteuse pour le verrouillage basé sur les noms de domaine. - Microsoft évoque Windows 11 sur ses différents schémas, mais pour le moment, une éventuelle prise en charge par Windows 10 ou par Windows Server n'est pas évoquée.

Dès à présent, Zero Trust DNS est accessible à certaines personnes dans le cadre d'une préversion privée. Par la suite, Zero Trust DNS devrait être disponible pour les membres du programme Windows Insiders. Pour approfondir le sujet, vous pouvez lire cet article.

The post Avec Zero Trust DNS, Microsoft veut sécuriser les accès réseau sous Windows 11 first appeared on IT-Connect.

Tiens, Microsoft nous prépare un nouveau bébé baptisé Zero Trust DNS, ou ZTDNS pour les intimes. Alors c’est quoi encore ce truc ? Eh bien c’est tout simplement un système permettant de sécuriser le DNS sur nos chers Windows.

Pour ceux qui auraient loupé un épisode, le DNS c’est un peu comme l’annuaire téléphonique d’Internet. Il permet de traduire les noms de domaine tout mignons comme korben.info en adresses IP bien moins sexy. Le problème, c’est que jusqu’à présent, le DNS c’était un peu le maillon faible de la sécurité. Les communications n’étaient pas chiffrées, ce qui ouvrait la porte à plein de menaces comme l’espionnage, le détournement de trafic ou même les attaques de type « DNS spoofing« . D’ailleurs, selon une étude de Cisco, plus de 70% des attaques de phishing utilisent des techniques de DNS spoofing pour tromper leurs victimes.

Mais ça, c’était avant ! Avec ZTDNS, Microsoft promet de changer la donne. Déjà, toutes les communications entre les clients Windows et les serveurs DNS seront chiffrées et authentifiées grâce aux protocoles DNS over HTTPS (DoH) ou DNS over TLS (DoT), ce qui devrait rendre la vie plus difficile aux vilains cyber criminels qui voudraient mettre leur nez dans nos petites affaires.

Ensuite, et c’est là que ça devient vraiment intéressant, ZTDNS va permettre aux admins réseau de contrôler finement quels domaines peuvent être résolus par les serveurs DNS. En gros, si un domaine n’est pas sur la liste blanche, et bien le client Windows ne pourra tout simplement pas s’y connecter !

Mais attention, mettre en place un truc pareil, ça ne va pas être une partie de plaisir. Il va falloir bien planifier son coup pour éviter de tout casser, du genre bloquer sans faire exprès l’accès à des services importants ! Mais bon, c’est le prix à payer pour renforcer la sécurité et se rapprocher doucement d’un modèle « Zero Trust » où on ne fait confiance à personne par défaut.

Alors concrètement, comment ça va marcher ?

Eh bien déjà, il faudra que les serveurs DNS supportent les protocoles de chiffrement comme DoH ou DoT. Ça tombe bien, ZTDNS est conçu pour être compatible avec tout ça. Pas besoin de réinventer la roue.

Ensuite, lorsqu’un client Windows aura besoin de résoudre un nom de domaine, il va discuter avec un des fameux serveurs DNS « protecteurs » et si le domaine est autorisé, le serveur lui filera l’adresse IP correspondante. Et hop, le pare-feu Windows sera dynamiquement mis à jour pour autoriser la connexion vers cette IP. Par contre, pour le reste, c’est niet ! Le trafic sera bloqué direct !

Bon après, faut quand même avouer qu’il y aura des trucs qui vont morfler à cause de ZTDNS. Tous les protocoles réseaux un peu exotiques qui n’utilisent pas le DNS, comme le multicast DNS (mDNS) par exemple, ça va être coupé. Pareil pour les partages de fichiers sur le réseau local ou les imprimantes qui utilisent des protocoles de découverte archaïques. Ça risque donc de râler dans les chaumières !

Mais heureusement, les ingénieurs de Microsoft ne sont pas nés de la dernière pluie et ont prévu pas mal de mécanismes pour « mitiger » ces problèmes. Par exemple, on va pouvoir définir des exceptions pour autoriser certaines plages d’adresses IP sans passer par le DNS. Ou encore favoriser des solutions plus modernes et sécurisées, comme l’impression via Universal Print qui passe, lui, gentiment par le DNS.

Un autre truc à prendre en compte, c’est que certaines applications un peu spéciales risquent de ne plus fonctionner du tout avec ZTDNS. Celles qui utilisent des adresses IP codées en dur ou des mécanismes de résolution maison, c’est mort. Mais bon, ce sera l’occasion de faire le ménage et de moderniser tout ça.

Microsoft a d’ailleurs prévu un mode « Audit » qui permet dans un premier temps de voir ce qui serait bloqué par ZTDNS, sans pour autant péter la prod. Comme ça, on peut analyser tranquillement les flux réseau et identifier les applications ou les flux problématiques. C’est un bon moyen d’anticiper les éventuels soucis avant de passer en mode bloquant !

Bon après, faut pas non plus se voiler la face. Même avec ZTDNS, il restera toujours des failles de sécurité potentielles. Les connexions VPN ou SASE/SSE par exemple, qui encapsulent le trafic dans un tunnel chiffré, pourront toujours passer entre les mailles du filet si on n’y prend pas garde. Sans parler des technologies de virtualisation qui court-circuitent carrément la pile réseau de Windows !

Mais bon, rien n’est parfait et il faut bien commencer quelque part… ZTDNS représente déjà une sacrée avancée pour renforcer la sécurité réseau des parcs Windows et avec un peu de rigueur et de persévérance, les admins sys pourront en tirer le meilleur parti.

Pour l’instant, ZTDNS est en preview privée chez Microsoft. On ne sait pas encore exactement quand il débarquera dans nos Home Sweet Home. En attendant, je vous invite à aller jeter un œil à l’article sur le blog Techcommunity qui rentre dans les détails techniques de la bête. C’est dense mais ça vaut le coup de s’y plonger si vous voulez être informé.

Source

Vous n’allez pas en croire vos yeux ! Je viens de tomber sur un truc de malade qui s’appelle SharpCovertTube et qui permet de contrôler des systèmes Windows à distance en uploadant des vidéos sur Youtube. Si si, je vous jure, c’est pas une blague !

En gros, le programme surveille en permanence une chaîne Youtube jusqu’à ce qu’une nouvelle vidéo soit uploadée. Et là, attention les yeux, il décode un QR code planqué dans la miniature de la vidéo et exécute la commande cachée dedans. Franchement, les mecs qui ont pondu ça sont des génies du mal ! Ce projet c’est en fait un portage d’un autre projet vachement cool réalisé en Python en 2021 qui s’appelle covert-tube.

Le plus dingue, c’est que les QR codes dans les vidéos peuvent contenir du texte en clair ou même des valeurs chiffrées en AES. Autant vous dire que ça rigole pas niveau sécurité. Et en plus, y a même deux versions du programme : un binaire classique et un binaire qui s’installe comme un service. Ils ont vraiment pensé à tout ces petits malins.

Ah oui, j’oubliais de vous dire, y a même un script Python fourni avec pour générer les vidéos piégées. En gros, ce truc est une méthode de persistance qui utilise juste des requêtes web vers l’API Google. C’est quand même super vicieux comme technique !

Bon, je vous explique un peu comment ça marche. Déjà, faut lancer le listener sur votre système Windows. Ensuite, il va checker la chaîne Youtube toutes les 10 minutes par défaut, jusqu’à ce qu’une nouvelle vidéo soit uploadée.

Et devinez quoi ? Dès qu’il a détecté la nouvelle vidéo sur la chaîne, il décode directement le QR code planqué dans la miniature, exécute la commande et tadaaaa : la réponse a été encodée en base64 puis exfiltrée par une requête DNS. Sérieux, c’est super smart comme méthode d’exfiltration !

Ça fonctionne aussi avec des QR codes qui contiennent des payloads.

Bon après, c’est sûr, y a quelques petits trucs à configurer pour que ça marche nickel. Déjà faut renseigner son ID de chaîne Youtube et sa clé API dans un fichier de configuration. Là c’est obligatoire sinon vous pouvez aller vous brosser. Après si vous voulez utiliser le chiffrement AES pour vos QR codes, faudra aussi mettre une clé et un IV (Initialization Vector), mais c’est optionnel, on n’est pas non plus obligés d’être parano.

Autre détail qui peut être pratique : on peut choisir le délai en secondes entre chaque check de nouvelle vidéo sur la chaîne. Par défaut c’est 10 minutes, mais faut pas trop abuser non plus, sinon on va vite se prendre un gros râteau par l’API à cause du nombre de requêtes.

Plein d’autres petits paramètres sont configurable comme la journalisation dans un fichier, l’exfiltration par DNS, le nom d’hôte pour l’exfiltration, etc. Bref, c’est du solide, bien pensé. Et même si on a les droits admin, on peut installer une version « service » pour plus de discrétion. Bien vu les artistes !

Le seul petit hic, c’est qu’il faut que le binaire soit en 64 bits à cause du code utilisé pour décoder les QR codes. Mais bon, on va pas chipoter, ça reste quand même mega impressionnant comme outil.

Bref, j’espère que cet article vous aura donné envie de tester ! Perso je trouve ça fascinant ce genre de projets un peu border-line. Évidemment, n’allez pas utiliser ce genre de trucs à des fins malveillantes hein ? Mais bon, avouez que d’un point de vue techno et créativité, c’est quand même hyper cool !

Allez, la bonne journée, et la prochaine fois, essayez de mater d’un peu plus près les miniatures des vidéos Youtube, on sait jamais sur quoi vous allez tomber !

DNS Jumper est un programme gratuit édité par Sordum qui permet de gérer les serveurs DNS en quelques clics.
Il propose les fonctionnalités suivantes :

• Changer de serveurs DNS depuis une liste de services DNS préconfigurés
• Modifier les DNS de Windows avec des serveurs personnalisés
• Vider le cache DNS
• Mesurer le temps de résolution DNS. Vous pouvez l’utiliser pour comparer la vitesse des DNS
• Restaurer les serveurs DNS d’origines

Dans ce tutoriel, je vous guide pour utiliser DNS Jumper.

Comment télécharger DNS Jumper

DNS Jumper est une application portable sous la forme d’un fichier ZIP.
Il est facile à télécharger et à installer dans votre système.

• Téléchargez l’utilitaire depuis ce lien :

• Sur la page du site, descendez tout en bas pour cliquer sur le bouton Download
• Vous obtenez le fichier DnsJumper.zip que vous pouvez décompressez dans l’emplacement de votre choix, par exemple avec 7-zip

• Puis double cliquez sur DnsJumper.exe pour l’exécuter

Comment gérer les serveurs DNS De Windows avec DNS Jumper

DNS Jumper intègre une liste de services DNS préconfigurés.
Mais vous pouvez aussi configurer un serveur DNS personnalisés.
Suivez ces étapes pour y parvenir.

Changer les serveurs DNS

• En haut, sélectionnez l’adaptateur réseau (Ethernet / Wi-Fi) avec lequel vous souhaitez travailler

• Puis cliquez sur l’icône dossier pour choisir la liste des serveurs DNS :
  • Liste de DNS par défaut – Les services de DNS “classiques”
  • Liste DNS sûr pour la famille – Ces DNS appliquent un filtre sur les sites pour adultes et agissent comme contrôle parental. Plus de détails :
  • Liste DNS Sécurisé – Appliquent un filtre sur les sites malveillants

• Enfin depuis la liste, choisissez les serveurs DNS à appliquer dans Windows

• Les adresses des serveurs DNS IPv4 et IPv6 s’affichent en bas. Au besoin : IPv4 VS IPv6 : Les différences

Utiliser des serveurs DNS personnalisés

• Sélectionnez l’interface réseau en haut
• Puis en bas, cochez Serveur DNS personnalisé
• Saisissez l’adresse IPv4 du serveur DNS. Par exemple, ici le serveur DNS de Cloudflare 1.1.1.1

• Pour changer le serveur DNS IPV6, cochez Utiliser le DNS IPv6 et saisissez l’adresse. Par exemple ici, celui de Google : 2001:4860:4860::8888

Ajouter un service de DNS

Nous venons de le voir, DNS Jumper propose des listes de serveurs DNS.
Vous pouvez modifier ou ajouter un serveur DNS au sein de ces listes ou vous pouvez créer votre propre liste de serveurs DNS.

• Cliquez sur l’icône
  
  bleue à droite

• Pour travailler avec les DNS IPv4, décochez à gauche Afficher la liste DNS IPv6
• Pour ajouter une liste personnalisé, cliquez sur l’icône + bleu

• Saisissez le nom de la liste

• Saisissez le nom du serveur DNS et les adresses primaires et secondaires
• Puis cliquez sur Ajouter

• Répétez l’opération pour en ajouter d’autres
• Une fois les modifications faites, cliquez sur Sauvegarder Changements
• Puis cliquez sur la croix pour fermer la fenêtre
• Ensuite, depuis l’icône dossier, vous pouvez sélectionner la nouvelle liste

• Enfin dans le menu déroulant choisissez un serveur DNS, se trouve(nt) le ou les DNS que vous avez ajouté(s)

Comment mesurer la vitesse des serveurs DNS de Windows

Une autre excellente fonctionnalité de DNS Jumper est la possibilité de mesurer le temps de résolution DNS.

Voici comment mesurer le temps de résolution DNS d’un serveur DNS :

• Configurez le serveur DNS comme expliqué précédemment
• Puis cliquez sur l’icône double flèche
• Les temps de résolutions DNS s”affichent en bas en millisecondes

Mais vous pouvez aussi mesurer le temps de résolution DNS de plusieurs serveurs DNS.
Voici comment faire :

• Sélectionnez la liste des serveurs DNS que vous souhaitez tester depuis l’icône dossier

• A gauche, cliquez sur le menu DNS plus rapide
• Toues les serveurs DNS sont cochés, vous pouvez décocher ceux que vous ne souhaitez pas tester
• Puis cliquez sur Lancer test DNS

• La vitesse de résolution DNS s’affichent pour chaque serveur

Comment vider le cache DNS de Windows

Pour accélérer la résolution DNS et atténuer l’utilisation des serveurs DNS, Windows possède un cache DNS.
Ainsi si vous avez besoin de retrouver l’adresse IP d’un serveur que vous venez de résoudre, Windows pioche dans ce cache.

Pour différentes raisons, par exemple lorsque le cache DNS est corrompu, vous pouvez avoir besoin de le vider.
DNS Jumper permet de vider le cache DNS en clic. Pour cela, utilisez simplement le menu vider DNS.
Une notification vous confirme alors que le cache DNS a été effacé avec succès.

Je vous rappelle que vous pouvez aussi vider le cache DNS à l’aide de la commande ipconfig /flushdns.
Plus de détails : Vider le cache DNS de Windows

Comment restaurer serveurs DNS de Windows

La première fois que vous exécutez DNS Jumper, il sauvegarde automatiquement les paramètres DNS de votre carte réseau actuelle.

• Cliquez sur l’icône Étoile à droite (Configuration rapide)
• Puis “Restaurer DNS“. Vous pouvez aussi utiliser le raccourci clavier CTRL+R

Vous pouvez aussi enregistrer une configuration DNS particulière.
Pour sauvegarder les paramètres manuellement, cliquez sur “Configuration rapide” (le bouton “étoile”), puis sélectionnez “Sauvegarde DNS“.

Alternatives à DNS Jumper

Si vous cherchez des alternatives, consultez ce guide :

L’article DNS Jumper : gérer les DNS de Windows facilement est apparu en premier sur malekal.com.

Les DNS sont les annuaires d’Internet. C’est grâce à eux qu’il est possible d’accéder aux sites web et aux ressources sur Internet via les noms de domaine tels que www.google.fr : les DNS traduisent en effet automatiquement les noms de domaine en adresses IPv4 ou IPv6 qui sont ensuite interprétées par les ordinateurs. Chaque fois que vous faites quelque chose sur Internet, vous interrogez de manière invisible les DNS.

Par défaut, vous utilisez les serveurs DNS de votre fournisseur d’accès à Internet.

En utilisant des serveurs DNS plus performants, vous pouvez augmenter sensiblement la rapidité de votre connexion Internet : vous réduirez de quelques millisecondes le temps nécessaire pour accéder aux sites web, vous gagnez ainsi en confort et en productivité !

De plus, certains DNS proposent des fonctionnalités supplémentaires comme le filtrage de sites web sensibles ou encore une protection contre les sites web malveillants.

Envie de connaître les meilleurs serveurs DNS à installer dès maintenant sur votre ordinateur ou votre box/routeur ?

Dans ce guide, nous allons voir les meilleurs serveurs DNS en 2024 !

Liste des meilleurs serveurs DNS en 2024

Serveurs DNS rapides

En se basant sur les résultats des tests de rapidité effectués par DNSPerf, voici la liste serveurs DNS les plus rapides en 2024 :

Dans les colonnes « Adresses IPv4 » et « Adresses IPv6 », vous trouverez sur la première ligne le serveur DNS primaire et sur la seconde, le serveur DNS secondaire.

Le DNS de Cloudflare (1.1.1.1) est celui à privilégier : il est rapide, sécurisé et respectueux de la vie privée.

Quad9 est également un excellent choix, il est respectueux de la vie privée et offre en plus une protection contre les menaces (exploits, logiciels malveillants, rançongiciels, logiciels espions et autres sites potentiellement dangereux).

Serveurs DNS sécurisés

Si vous recherchez des serveurs DNS qui fournissent une protection contre les sites web sensibles ou malveillants, voici ceux que vous pouvez configurer sur votre ordinateur ou votre box/routeur :

Dans les colonnes « Adresses IPv4 » et « Adresses IPv6 », vous trouverez sur la première ligne le serveur DNS primaire et sur la seconde, le serveur DNS secondaire.

Choisissez le DNS qui offre la protection adaptée à vos besoins.

Les DNS de CleanBrowsing et Quad9 sont à privilégier.

Comment changer ses serveurs DNS ?

Pour changer les serveurs DNS sur votre PC Windows, suivez ces instructions :

Changer les DNS sur Windows [10, 8, 7]

Plus pratique et plus simple, vous pouvez aussi utiliser le logiciel gratuit DNS Jumper :

DNS Jumper : changer les DNS de Windows en un clic !

Liens utiles

• Vider le cache DNS sur Windows [10, 8, 7]
• Bloquer les sites porno et le contenu choquant d’Internet sur un PC
• Windows 10 : ouvrir les Connexions réseau
• Connaître son adresse IP publique

Source