CNAME : Canonical Name, enregistrement DNS d'alias
Réseau
CNAME : Canonical Name, type d'enregistrement DNS qui déclare qu'un nom est l'alias d'un autre. « Pour ce nom, aller demander à tel autre nom », par analogie avec le panneau « la boutique a déménagé », qui reste vissé au mur bien après la fermeture de la nouvelle adresse.
Règles : Définies par les RFC 1034 et 1035 puis précisées par la RFC 2181 : un nom qui porte un CNAME ne peut porter aucun autre enregistrement (hors ceux propres à DNSSEC), ce qui l'interdit en pratique au sommet d'une zone, où se trouvent déjà les enregistrements NS. Les fournisseurs proposent pour cela des pseudo-enregistrements maison, dont aucun ne porte le même nom.
Prise de contrôle de sous-domaine : Un CNAME qui pointe vers une ressource abandonnée (site d'hébergement, compartiment de stockage, CDN) permet à quiconque recrée cette ressource de servir du contenu sous le nom de l'organisation, avec ses cookies et parfois un certificat valide obtenu au passage.
Validation de certificats : Avec ACME et le défi DNS, on peut déléguer par CNAME le nom _acme-challenge vers une zone dédiée, où l'automate n'a le droit que d'écrire des enregistrements TXT. La délégation limite les droits de l'automate, à condition que l'autorité de certification suive correctement le CNAME, ce qui se teste plutôt que se suppose.
Ce qui arrive si on s'en passe
Des enregistrements CNAME jamais inventoriés finissent par pointer vers des services résiliés. Un attaquant qui revendique la ressource orpheline héberge alors une page d'hameçonnage sous un sous-domaine authentique, lit les cookies de domaine parent et peut obtenir un certificat au nom de l'organisation en répondant lui-même au défi de validation. Le nom de domaine fait le travail de confiance à sa place, et la victime n'a techniquement rien fait d'autre que d'oublier.
Explication de la marmotte
Dans l'annuaire d'Internet, le DNS, un enregistrement CNAME dit qu'un nom est un surnom d'un autre nom. Par exemple, boutique.exemple.fr peut renvoyer vers le nom d'un hébergeur. Si l'entreprise arrête ce service sans supprimer le CNAME, quelqu'un d'autre peut réserver le service chez l'hébergeur et afficher ce qu'il veut sous le nom de l'entreprise.
Où ce terme est utilisé
- Sécuriser ACME wildcard et external account binding (5 occurrences)
- Sécuriser la validation de domaine HTTP-01 et DNS-01 (3 occurrences)
- DNS, DHCP, NTP : services d'infrastructure réseau (1 occurrence)
- OSINT défensif : mesurer et réduire l'exposition publique (1 occurrence)