BIND : Berkeley Internet Name Domain
Réseau
BIND : Berkeley Internet Name Domain, logiciel de serveur DNS né à l'université de Berkeley et maintenu par l'ISC (Internet Systems Consortium). « Le serveur qui répond depuis quarante ans à la question « quelle adresse pour ce nom ? » », par analogie avec l'annuaire téléphonique historique, que tout le monde consulte et que l'on oublie de mettre à jour.
Origine : Écrit au début des années 1980 à Berkeley, il a été réécrit pour sa version 9, publiée en 2000, qui reste la branche maintenue. Le démon s'appelle named. Il peut jouer le rôle de serveur faisant autorité pour une zone, de résolveur récursif, ou les deux, ce dernier mélange étant justement déconseillé.
TSIG et mises à jour dynamiques : BIND authentifie les transferts de zone et les mises à jour dynamiques par TSIG (Transaction Signature, RFC 8945), une signature HMAC à clé partagée. Pour la validation DNS-01 d'ACME, une clé TSIG dédiée, limitée par une politique update-policy au seul enregistrement _acme-challenge, évite de confier au client de certificats le droit de réécrire toute la zone.
Homonyme : bind est aussi, en minuscules, l'appel système qui attache un socket à une adresse et un port. Le DNS et les sockets se rencontrent souvent, mais pas dans le même paragraphe.
Ce qui arrive si on s'en passe
Un serveur BIND qui fait à la fois autorité et résolution ouverte à tous sert d'amplificateur aux attaques par déni de service et d'aimant à empoisonnement de cache. Une clé TSIG unique, autorisée à modifier la zone entière et copiée sur chaque client d'émission de certificats, permet à quiconque la vole de rediriger le domaine ou d'obtenir des certificats valides à son nom. Enfin, un BIND qui n'est pas mis à jour reste exposé aux failles de déni de service régulièrement corrigées par l'ISC, qui font tomber le DNS, et avec lui tout ce qui en dépend, c'est-à-dire tout.
Explication de la marmotte
Sur Internet, on retient des noms comme exemple.fr, mais les ordinateurs ont besoin d'adresses numériques. Le DNS fait la traduction entre les deux, et BIND est l'un des logiciels les plus anciens et les plus utilisés pour faire ce travail. Il peut être protégé par des clés secrètes qui limitent qui a le droit de modifier les informations. Si ces clés sont mal gérées, un attaquant peut détourner le trafic d'un site vers ses propres machines.
Où ce terme est utilisé
- DNS over TLS (DoT) : chiffrer la résolution de noms (2 occurrences)
- DNSSEC : chaîne de confiance, validation et exploitation des clés (2 occurrences)
- Empoisonnement de cache DNS de Kaminsky à SAD DNS et parades (2 occurrences)
- Sécuriser la validation de domaine HTTP-01 et DNS-01 (2 occurrences)
- DNSSEC, DoH, DoT, ODoH et perte de visibilité pour la défense (1 occurrence)