Validation DNSSEC en 2022 : Les FAI canadiens doivent prendre la sécurité DNS au sérieux

Picture of Dan York
Senior Advisor, Internet Society
Catégories:
Twitter logo
LinkedIn logo
Facebook logo
March 23, 2023

Dans le premier article de cette série, j’ai souligné la croissance étonnante de la validation DNSSEC dans les pays d’Afrique.

Dans ce billet, je traverserai l’océan Atlantique pour mettre en lumière les changements mixtes que nous avons observés dans la validation DNSSEC au cours de l’année écoulée en Amérique du Nord et en Amérique du Sud.

Amérique du Sud et centrale Montée en puissance

La croissance se poursuit en Amérique du Sud, la Guyane, le Venezuela et l’Argentine enregistrant tous des gains significatifs en 2022.

La validation des DNSSEC dans les réseaux des Caraïbes est passée de 20 à 25 %, tandis que les réseaux d’Amérique centrale ont progressé de quelques points de pourcentage.

Figure 1 – Utilisation de la validation DNSSEC pour l’Amérique centrale (2014-2023). Source : APNIC Labs : APNIC Labs.

Haïti (.ht) a également rejoint récemment les 148 pays qui disposent de domaines de premier niveau de code pays (ccTLD) compatibles avec les DNSSEC. La signature du domaine et l’installation des clés de sécurité dans la zone racine du DNS constituent une première étape importante vers un déploiement plus large du DNSSEC.

Observez l’augmentation constante de l’adoption des DNSSEC par les ccTLD et l’adoption de la validation des DNSSEC via notre page Pulse Enabling Technologies.

Amérique du Nord Chutes

En Amérique du Nord, nous avons constaté une baisse de la validation DNSSEC, qui est passée de près de 40 % au début de 2022 à environ 32 % à la fin de l’année.

Graphique montrant l'utilisation de la validation DNSSEC pour l'Amérique du Nord de 2014 à 2023.
Figure 2 – Utilisation de la validation DNSSEC pour l’Amérique du Nord (2014-2023). Source : APNIC Labs : APNIC Labs.

Une partie de cette baisse peut être attribuée à une diminution de 5 % (de 40 % à 35 %) aux États-Unis.

Les États-Unis sont un exemple de pays où la validation du DNSSEC se produit en grande partie à cause d’un très grand fournisseur d’accès à Internet, Comcast. Si vous regardez le tableau montrant les 20 premiers réseaux dont APNIC Labs reçoit des échantillons, Comcast est le seul réseau qui effectue une validation DNSSEC significative jusqu’à ce que vous descendiez au numéro 16 de la liste.

Étant donné que Comcast est le plus grand fournisseur d’accès à Internet des États-Unis, c’est en grande partie ce qui donne aux États-Unis leur taux de validation global de 35 %. Pour l’instant, les autres grands fournisseurs de téléphonie mobile (AT&T, T-Mobile, Verizon) ne valident pas, pas plus que les autres grands fournisseurs de câble tels que Charter, Cox et Time Warner.

Tableau présentant les 20 premiers réseaux aux États-Unis en fonction du nombre d'échantillons reçus par APNIC Labs.
Figure 3 – Les 20 premiers réseaux aux États-Unis en fonction du nombre d’échantillons reçus par APNIC Labs. Source : APNIC Labs : APNIC Labs.

La chute pour l’Amérique du Nord est principalement attribuée au Canada, où la validation DNSSEC a diminué de près de 50 % – la ligne bleue de la figure 4 en témoigne.

Graphique montrant l'utilisation de la validation DNSSEC pour le Canada de 2014 à 2023.
Figure 4 – Utilisation de la validation DNSSEC pour le Canada (2014-2023). Source : APNIC Labs : APNIC Labs.

Plusieurs FAI ont enregistré de légères baisses, comme Xplornet qui est passé d’une validation de 30 % à 10 %. Mais la baisse la plus importante a été enregistrée par Cogeco Communications, qui validait jusqu’à 95 à 98 % de toutes les requêtes depuis 2018. Puis, en décembre 2022, il semble qu’ils l’aient tout simplement désactivé ! 🤷 A noter qu’ils ne sont pas responsables de l’ensemble du déclin. Comme le montre la figure 5, il y a eu une chute soudaine (lignes bleues et jaunes) alors que les totaux par pays (lignes vertes et violettes) étaient en baisse sur l’ensemble de l’année. Espérons que Cogeco Communications rétablira bientôt la validation DNSSEC.

Graphique montrant l'utilisation de la validation DNSSEC par l'AS11290 de 2014 à 2023.
Figure 5 – Utilisation de la validation DNSSEC par AS11290 (2014-2023). Source : APNIC Labs : APNIC Labs.

Le problème du Canada est que ses plus grands fournisseurs de services Internet ne valident pas les DNSSEC. Il faut descendre à la 9e place de la liste (figure 6), où SaskTel fait un travail remarquable en validant les DNSSEC depuis 2020. Mais contrairement aux États-Unis, où Comcast est le chef de file du secteur, aucun des plus grands fournisseurs d’accès à Internet du Canada ne semble prendre la sécurité DNS au sérieux.

Figure 6 – Les 20 premiers réseaux aux États-Unis en fonction du nombre d’échantillons reçus par APNIC Labs. Source : APNIC Labs : APNIC Labs.

Par ailleurs, compte tenu de tout le travail que nous avons effectué l’année dernière avec les satellites en orbite basse (LEO), j’ai été heureux de constater que le réseau Starlink de SpaceX au Canada a été validé à près de 99 %.

Dans l’ensemble, cependant, l’histoire de l’Amérique du Nord est que les États-Unis et le Canada doivent inciter un plus grand nombre de leurs grands fournisseurs d’accès à Internet à commencer à valider le DNSSEC.

Qu’en est-il de l’Europe et de l’Asie ?

À un niveau élevé, l ‘Europe a terminé l’année 2022 légèrement au-dessus de son niveau initial, grâce à une évolution positive en Italie et en Russie, mais à des baisses en France et au Royaume-Uni.

De même, l’Asie a enregistré une moyenne légèrement plus élevée en 2022, bien qu’il y ait eu une augmentation au début de 2023 avec le Bangladesh qui a fait un grand pas et l’Iran qui a fait un grand bond.

J’en parlerai plus en détail dans mon prochain article.