Le système de noms de domaine (DNS) constitue depuis longtemps l’une des sources de données les plus précieuses pour l’interception légale et le renseignement réseau. Les requêtes DNS révèlent les sites web consultés par un utilisateur, les services auxquels il accède et les applications qu’il utilise — le tout sans nécessiter d’accès au contenu de la communication elle-même. Pendant des décennies, le trafic DNS a été transmis en clair, ce qui le rendait facilement accessible à l’interception au niveau du réseau. L’émergence de protocoles DNS chiffrés — DNS sur HTTPS (DoH) et DNS sur TLS (DoT) — modifie fondamentalement ce paysage, avec des implications importantes pour les capacités d’interception légale.
Cet article examine le fonctionnement des protocoles DoH et DoT, les raisons de leur adoption, leur incidence sur l'interception légale, ainsi que les mesures que les opérateurs peuvent prendre pour continuer à respecter leurs obligations de conformité dans un contexte où le trafic DNS est de plus en plus chiffré.
Le défi du DNS chiffré pour les opérateurs
La résolution DNS traditionnelle utilise le port UDP 53 et transmet les requêtes et les réponses en clair. Toute personne ayant accès au chemin réseau entre l'utilisateur et le résolveur DNS — y compris l'opérateur, les éléments réseau intermédiaires et d'éventuels espions — peut observer les requêtes DNS et déterminer quels noms de domaine l'utilisateur est en train de résoudre.
Le protocole DNS over TLS (DoT), défini dans la RFC 7858, chiffre le trafic DNS en l'encapsulant dans une connexion TLS sur le port TCP 853. Les requêtes et réponses DNS sont chiffrées pendant leur transit, ce qui empêche toute surveillance par des intermédiaires. Cependant, l'utilisation d'un port dédié (853) rend le trafic DoT identifiable au niveau du réseau : un observateur peut déterminer qu'une résolution DNS est en cours, même si le contenu des requêtes est chiffré.
Le DNS sur HTTPS (DoH), défini dans la RFC 8484, va encore plus loin en matière de chiffrement en acheminant le trafic DNS via des connexions HTTPS standard sur le port TCP 443. Le trafic DoH étant impossible à distinguer du trafic web HTTPS classique, il est extrêmement difficile à identifier et à bloquer au niveau du réseau. Le DoH masque efficacement la résolution DNS au sein du vaste volume de trafic web chiffré qui traverse les réseaux modernes.
Ces deux protocoles sont conçus pour protéger la vie privée des utilisateurs en empêchant les intermédiaires du réseau d'observer les requêtes DNS. Les principaux éditeurs de navigateurs — notamment Mozilla Firefox et Google Chrome — ont intégré la prise en charge du DoH, et certains systèmes d'exploitation prennent désormais en charge le DoH et le DoT de manière native. L'adoption du DNS chiffré s'accélère, sous l'impulsion des défenseurs de la vie privée, des paramètres par défaut des navigateurs et de la tendance générale au chiffrement de l'ensemble du trafic réseau.
L'impact sur l'interception légale
Le chiffrement du trafic DNS a un impact direct et significatif sur les capacités d’interception légale. Les données relatives aux requêtes DNS constituent depuis toujours un élément clé des informations issues de l'interception, fournissant aux enquêteurs un historique détaillé de l'activité en ligne de la personne ciblée. Lorsqu'une personne ciblée consulte un site web, envoie un e-mail ou utilise une application, les requêtes DNS correspondantes révèlent les noms de domaine concernés, même lorsque le contenu de la communication est chiffré.
Avec les protocoles DoH et DoT, les opérateurs ne peuvent plus surveiller les requêtes DNS au niveau du réseau si l'appareil cible est configuré pour utiliser un résolveur DNS chiffré qui n'est pas géré par l'opérateur. Le processus de résolution DNS est chiffré de bout en bout entre l'appareil et le résolveur, et les équipements réseau de l'opérateur ne peuvent pas déchiffrer les requêtes sans avoir accès aux clés de session TLS.
Cette perte de visibilité DNS affecte à la fois l'interception en temps réel et l'analyse des données historiques. Dans le cadre de l’interception en temps réel, l’IRI généré pour la session de données d’une cible ne contiendra plus les informations relatives aux requêtes DNS qui fournissaient auparavant le contexte de l’activité en ligne de la cible. Dans le cadre de l’analyse historique, l’absence de journaux DNS réduit la capacité de l’opérateur à reconstituer l’historique de navigation d’une cible et ses habitudes d’utilisation des services à partir des données conservées.
L'impact est particulièrement important lorsque la cible utilise un résolveur DoH tiers — tel que ceux exploités par Cloudflare, Google ou d'autres fournisseurs — plutôt que l'infrastructure DNS propre à l'opérateur. Dans ce cas, les requêtes DNS sont résolues entièrement en dehors du réseau de l’opérateur, et celui-ci n’y a absolument aucun accès. Si la cible utilise le résolveur DNS de l’opérateur lui-même avec DoT ou DoH, l’opérateur conserve l’accès aux données de requête au niveau du résolveur, mais pas aux points intermédiaires du réseau.
Stratégies d'atténuation à l'intention des exploitants
Les opérateurs ne peuvent pas empêcher l’adoption du DNS chiffré, mais ils peuvent mettre en œuvre des stratégies visant à atténuer son impact sur l’interception légale. La première stratégie consiste à exploiter leurs propres résolveurs DoH et DoT et à encourager, voire à exiger, de leurs abonnés qu’ils utilisent ces résolveurs. Si l’opérateur contrôle le résolveur DNS, il conserve l’accès aux données des requêtes DNS, même lorsque la transmission entre l’appareil et le résolveur est chiffrée. Cette approche préserve la visibilité du DNS tout en offrant aux abonnés les avantages du DNS chiffré en matière de confidentialité face à la surveillance par des tiers.
La deuxième stratégie consiste à utiliser des sources de données alternatives pour reconstituer les informations fournies auparavant par les requêtes DNS. La fonction SNI (Server Name Indication) dans les handshakes TLS fournit le nom de domaine du serveur auquel le client se connecte, et cette information était traditionnellement transmise en clair. Cependant, l’adoption du protocole ECH (Encrypted Client Hello, anciennement ESNI) commence également à chiffrer le SNI, réduisant encore davantage la visibilité. L’analyse des adresses IP peut également fournir certaines informations sur les services auxquels une cible accède, mais l’utilisation généralisée des réseaux de diffusion de contenu (CDN) et de l’hébergement mutualisé rend souvent ambigu le mappage entre adresses IP et noms de domaine.
La troisième stratégie consiste à mettre en œuvre l'interception au niveau de la couche applicative ou au niveau des terminaux, plutôt que de se fonder uniquement sur les données au niveau du réseau. Cette approche dépasse le cadre de l'interception traditionnelle des télécommunications, mais elle est actuellement étudiée par certains services chargés de l'application de la loi afin de répondre au chiffrement croissant du trafic réseau. Pour les opérateurs, il ne s'agit pas d'une solution viable, mais cela s'inscrit dans le contexte plus large dans lequel il convient d'appréhender le DNS chiffré.
Une quatrième stratégie consiste à intervenir au niveau réglementaire et politique. Certains gouvernements ont envisagé ou mis en œuvre des obligations imposant aux opérateurs de bloquer l’accès aux résolveurs DNS tiers ou d’exiger l’utilisation de leur propre infrastructure DNS. Ces approches sont controversées et soulèvent des questions concernant la neutralité du réseau, la liberté des utilisateurs et la faisabilité technique, mais elles constituent une réponse politique au défi posé par le DNS chiffré.
La tendance générale au chiffrement
Le DNS chiffré s'inscrit dans une tendance plus large au chiffrement de l'ensemble du trafic réseau, motivée par des préoccupations en matière de confidentialité, les bonnes pratiques de sécurité et les configurations par défaut des principales plateformes logicielles. TLS 1.3, ECH, QUIC et d’autres technologies chiffrent progressivement une part croissante des métadonnées et du contenu sur lesquels reposaient traditionnellement les interceptions au niveau du réseau. Chaque étape de cette évolution vers le chiffrement réduit la visibilité dont disposent les opérateurs et, par extension, celle dont bénéficient les interceptions légales.
Les opérateurs doivent prendre conscience que la visibilité dont ils ont toujours bénéficié au niveau du réseau est en train de diminuer et continuera de diminuer. La réponse à cette tendance ne peut pas être purement technique : elle nécessite une collaboration avec les régulateurs, les organismes de normalisation et les forces de l'ordre afin de développer de nouvelles approches en matière d'interception légale qui tiennent compte des réalités d'un environnement réseau fortement chiffré.
Parallèlement, les opérateurs doivent continuer à transmettre toutes les données d’interception qu’ils sont techniquement en mesure de fournir. Le chiffrement du DNS ne supprime pas l'obligation légale des opérateurs d'intercepter ; il modifie simplement l'étendue de ce qui peut être intercepté. Les opérateurs doivent faire preuve de transparence vis-à-vis des forces de l'ordre concernant ces limitations et veiller à ce que leurs systèmes d'interception soient mis à jour pour gérer cette visibilité réduite de manière adéquate — en générant des IRI qui reflètent fidèlement les données disponibles, plutôt que de produire des données incomplètes ou trompeuses.
Conséquences en matière de conformité et de reporting
La perte de visibilité sur le DNS a des répercussions sur la manière dont les opérateurs rendent compte de leurs capacités d'interception et sur la façon dont les autorités de régulation évaluent la conformité. Les opérateurs devraient communiquer de manière proactive avec leur autorité de régulation nationale au sujet de l'impact du DNS chiffré sur leurs capacités d'interception, en répertoriant les éléments de données spécifiques qui ne sont plus disponibles et les mesures qu'ils prennent pour atténuer cet impact.
Dans certaines juridictions, les autorités de régulation pourraient devoir actualiser leurs exigences et attentes techniques afin de tenir compte de la réalité du DNS chiffré. Les opérateurs peuvent jouer un rôle constructif dans ce processus en apportant leur expertise technique et leurs connaissances pratiques pour éclairer l'élaboration de la réglementation. Le pire scénario pour toutes les parties serait que les autorités de régulation exigent des opérateurs qu'ils fournissent des données auxquelles ils n'ont techniquement pas accès — une situation qui engendre un risque de non-conformité sans apporter de valeur ajoutée aux enquêtes.
Conclusion
Le DNS chiffré marque un changement significatif dans l'équilibre entre la vie privée et les capacités de surveillance au sein des réseaux de télécommunications. Les protocoles DoH et DoT protègent la vie privée des utilisateurs en empêchant les intermédiaires du réseau d'observer les requêtes DNS, mais ils réduisent également la visibilité dont disposent les systèmes d'interception légaux. Les opérateurs doivent s’adapter en mettant en œuvre leurs propres résolveurs DNS chiffrés, en exploitant des sources de données alternatives, en collaborant avec les régulateurs sur l’évolution des exigences et en veillant à ce que leurs systèmes d’interception légale reflètent fidèlement les données réellement disponibles. La tendance vers un chiffrement complet des réseaux est irréversible, et les opérateurs qui s'adaptent de manière proactive seront mieux placés pour rester en conformité et apporter un soutien significatif aux forces de l'ordre dans le cadre des contraintes imposées par un paysage technique en constante évolution.
Le débat autour du DNS chiffré met également en évidence la tension entre les droits à la vie privée des individus et les besoins légitimes des forces de l’ordre. Trouver le juste équilibre nécessite une collaboration entre les experts en technologie, les décideurs politiques, la société civile et les forces de l’ordre. Les opérateurs se trouvent au carrefour de ces intérêts et ont la responsabilité particulière de veiller à ce que les capacités techniques, les obligations légales et les mesures de protection de la vie privée soient harmonisées. En participant activement à l'élaboration des normes, aux consultations réglementaires et aux forums sectoriels, les opérateurs peuvent contribuer à définir des solutions qui respectent la vie privée tout en préservant la capacité des sociétés démocratiques à mener une surveillance légale, conformément à l'État de droit.
Articles connexes
Pour en savoir plus sur des sujets connexes, consultez les articles suivants :
- Le « network slicing » dans la 5G en mode autonome : en quoi cela complique (et peut simplifier) le ciblage LI
- Enquête criminelle assistée par l'IA : ce que l'automatisation implique pour les opérateurs et les processus opérationnels des forces de l'ordre
- IRI vs CC : ce que signifient en pratique les informations relatives à l'interception
Ressources externes
Les ressources externes suivantes fournissent un contexte supplémentaire et une documentation officielle :
