Une nouvelle assez importante circule sur le net ces jours-ci.
Il semblerait qu’aujourd’hui (27 Janvier 2010) va commencer la migration des principaux serveurs DNS qui sont au nombre de 13 (enfin…je crois), vers le nouveau protocole DNSSEC.
L’importance de ce changement, qui je le conviens n’est pas évidente pour le moment, relève du fait qu’un nombre non négligeable de matériels (routeurs, pare-feux,…) ne seraient pas tous adaptés à cette nouvelle technologie. Ce protocole a pour but de sécuriser le Système de Noms de Domaines qui à l’heure actuelle présente des risques de sécurité (voir article sur korben.info). Pour faire simple, les paquets contenant la résolution DNS, qui indiquent à votre ordinateur vers quel adresse IP pointe un nom de domaine, ne pèsent pas de plus de 512 Octets. Or avec le système DNSSEC, les paquets ne sont plus bridés en termes poids, afin de que les données qui transitent puissent être cryptées et ainsi protégées de bout en bout. Par conséquent il y a un risque que quelques problèmes pour naviguer tranquillement apparaissent ça et là dans les prochains mois, en fonction de la capacité des matériels réseau à pouvoir gérer des paquets plus lourds.
Toutefois il existe une méthode pour vérifier si votre réseau est compatible avec ce nouveau standard. Je ne la détaille pas ici car un peu longue et il est tard, mais je peux déjà vous dire que les DNS de Google ne fonctionnent pas pour l’instant avec DNSSEC, ce qui est bien dommage vu que j’avais configuré ma box (Numéricable) avec ceux du géant américain (je sais pas trop ce qu’il m’avait pris d’ailleurs ce jour là -_-). La méthode est consultable en français ou en anglais.
En effet dans mon terminal la commande :
dig +short rs.dns-oarc.net txt
donne :
rst.x476.rs.dns-oarc.net.
rst.x485.x476.rs.dns-oarc.net.
rst.x490.x485.x476.rs.dns-oarc.net.
"209.85.228.94 DNS reply size limit is at least 490"
"209.85.228.94 lacks EDNS, defaults to 512"
"Tested at 2010-01-27 02:05:53 UTC"
Ce qui, une fois qu’on a lu la méthode, laisse penser que ce n’est pas bon signe du tout 
.
Pour d’autres infos, je vous conseille les différents articles à partir desquels je me suis inspiré :
http://labs.ripe.net/content/preparing-k-root-signed-root-zone (en anglais)
http://www.bortzmeyer.org/dns-size.html
https://www.dns-oarc.net/oarc/services/replysizetest
http://www.korben.info/migration-dns-racines.html
http://fr.wikipedia.org/wiki/Domain_Name_System
http://fr.wikipedia.org/wiki/Domain_Name_System_Security_Extensions
! Je dirais même que je trouve ça plus élaboré que certains rappeurs français.
.
