Un rapport qui se bonifie d'années en années en ajoutant des métriques intéressantes : en plus de BGP/route/RPKI+ROA et DNS/DNSSEC, on a désormais la dispersion des serveurs de mails entrants (introduit en 2014) et TLS (introduit en 2015).

L’observatoire encourage l’ensemble des acteurs de l’Internet à s’approprier les bonnes pratiques d’ingénierie admises pour les protocoles BGP [3], DNS [4], et TLS, et à anticiper la menace que représentent les DDoS [5]. D’autre part, l’observatoire énonce les recommandations suivantes :

• surveiller les annonces de préfixes et se tenir prêt à réagir aux usurpations ;
  
  
• utiliser des algorithmes supportant la confidentialité persistante, et abandonner SSLv2 et SHA-1 au profit de mécanismes plus robustes ;
  
  
• diversifier le nombre de serveurs SMTP et DNS afin d’améliorer la robustesse de l’infrastructure ;
  
  
• appliquer les bonnes pratiques notamment celles rappelées dans ce document, pour limiter les effets des pannes et des erreurs d’exploitation ;
  
  
• poursuivre les déploiements d’IPv6, de DNSSEC, et de la RPKI, afin de développer les compétences et d’anticiper d’éventuels problèmes opérationnels.

[...]

BGP

[...]

En 2015, à l’aide de la méthode définie dans les précédents rapports, l’observatoire a identifié 1588 AS français. Parmi ceux-ci, 1001 sont visibles dans les archives BGP, c’est-à-dire qu’ils ont annoncé au moins un préfixe pendant l’année. Un noyau dur de 869 AS actifs annonce au moins un préfixe par jour tout au long de l’année 2015, ce qui représente environ 87 % du nombre total d’AS distincts visibles au cours de l’année. Parmi les 13 % d’AS visibles restant, environ 50 % d’entre eux l’ont été pendant la moitié de l’année. Enfin, 587 AS répertoriés n’ont pas annoncé de préfixe en 2015.

[...]

[...] Pour IPv6, il est intéressant de noter que le graphe de connectivité comporte beaucoup moins d’AS qu’en IPv4.

[...]

L’Internet français dépend d’AS étrangers pour faire transiter le trafic entre certains AS français. L’enveloppe de l’Internet français contient l’ensemble des AS français et tous les AS se trouvant entre deux AS français sur un AS_PATH. La figure 1.5 montre, qu’en IPv4, leur nombre a crû lentement tout au long de l’année pour atteindre 293, un nombre légèrement inférieur à celui observé en 2014. En IPv6, comme en 2013 et 2014, une cinquantaine d’AS étrangers sont nécessaires pour interconnecter tous les AS français.

[...]

L’impact de la panne d’AS pivots est un élément important qui permet d’évaluer la robustesse de la connectivité. La figure 1.7 montre qu’en IPv4, seuls 7 AS pivots affecteraient au moins 10 AS en cas de défaillance. Il s’agit d’une légère amélioration par rapport à 2014. En revanche, l’AS pivot le plus critique aurait un impact sur 42 AS, contre 35 en 2014. Ce résultat, sans être dramatique, pointe cependant la nécessité d’être vigilant quant aux évolutions de dépendance des AS. Pour IPv6, la figure 1.8 montre qu’il existe moins d’AS pivots qu’en IPv4 [ NDLR : 4 versus 7 en IPv4 ]. Cependant, vis-à-vis de 2014, le nombre d’AS pouvant être déconnectés a augmenté. Il s’agit d’un résultat intéressant qui découle naturellement de l’évolution de l’Internet IPv6 français, et de la croissance du nombre d’AS IPv6 pivots.

[...]

En IPv6, le nombre d’AS a augmenté de 13 % en 2015, contre 6 % l’année précédente. Le nombre d’AS pivots a quant à lui légèrement augmenté. Cela semble indiquer un accroissement du déploiement d’IPv6 par les AS français.

[...]

En 2015, l’observatoire a détecté 6392 conflits d’annonces. Ils ciblent 344 AS français distincts, et 1350 préfixes. [...] Ainsi, seuls 2070 conflits anormaux seront considérés lors de l’identification des usurpations. [...] Sur les 2070 conflits anormaux, 1480 conflits correspondent à des réannonces de table globale [ NDLR : 71 %, quoi ] . [...] Au cours de l’année 2015, l’observatoire a mis en évidence 149 conflits anormaux qui correspondent à des protections contre les DDoS [...] Le filtrage basé sur la similarité des noms des AS a permis d’identifier 4 conflits entre un opérateur et sa filiale française. Celui sur les numéros d’AS a mis en évidence une erreur de configuration d’un routeur BGP ayant engendré 5 conflits distincts. Ces filtres automatiques limitent efficacement les analyses manuelles à effectuer. Seuls 89 conflits anormaux, doivent ainsi être étudiés attentivement. À l’issue des analyses automatiques et manuelles, il reste 40 conflits anormaux qui pourraient être des usurpations de préfixes. Afin de réduire leur nombre, seuls les conflits anormaux comportant des annonces plus spécifiques sont conservés. Il apparait ainsi que 26 conflits anormaux correspondent à des usurpations dont les durées vont de cinq minutes à quatre jours.

[...]

Une fois la corrélation effectuée, seuls 35 AS sont à l’origine de réannonces de table globale. Certains AS ayant fait des réannonces plusieurs fois en 2015, ces résultats correspondent à 38 réannonces de table globale dans l’année, soit plus de 3 par mois. Parmi ces 35 AS, seulement 14 ont été en conflit avec des AS français aux dates où les réannonces de table globale ont été détectées, impactant 175 AS français au total.

[...]

L’algorithme utilisé est restrictif et tend à minimiser le nombre de faux positifs au détriment du nombre de faux négatifs. Une analyse manuelle a confirmé que le nombre total de réannonces de table globale dépasse les 38 détectées.

[...]

Au cours de l’année 2015, l’observatoire a mis en évidence 149 conflits anormaux qui correspondent à des protections contre les DDoS, allant de quelques heures à plusieurs mois. Les AS français protégés sont de natures différentes, comme des hébergeurs, des assurances, ou des sites de paris en ligne. Il est intéressant de souligner qu’aucun des opérateurs spécialisés utilisés n’était français.

[...]

Début juillet, un AS russe a été à l’origine de 5 conflits distincts ciblant un AS français. Ce comportement est suspect, et similaire aux observations effectuées en 2014 liées aux campagnes de spam [17]. Durant l’année, il a annoncé près de 150 préfixes différents ne lui appartenant pas. Parmi les autres conflits anormaux, une dizaine correspond très probablement à d’autres campagnes de spam utilisant BGP. Un AS roumain identifié dans le rapport précédent a effectué ce type d’usurpations en 2015.

[...]

Finalement, 15 conflits anormaux possèdent des caractéristiques semblant indiquer qu’il s’agit très probablement d’usurpations de préfixes ayant touché des AS français.

[...]

Les destructions d’objets route et objets route6 inutilisés ne sont pas systématiques et restent très marginales par rapport aux nouvelles déclarations.

[...]

RPKI+ROA

[...]

L’étude des déclarations effectuées dans le dépôt du RIPE-NCC de la RPKI montre que le nombre d’AS participants a crû au cours de l’année 2015. Au début du mois de janvier, 198 AS français avaient des ROA dans la RPKI. Au 31 décembre, la RPKI contient des déclarations issues de 237 AS français, ce qui représente une croissance de près de 20 %. On remarque que cette augmentation est bien plus faible que celle observée au cours de l’année précédente. En 2014, le nombre d’AS participant à la RPKI avait augmenté de près de 80 % entre le début du mois de janvier et la fin du mois de décembre.

[...]

Au 31 décembre 2015, environ 65 % de l’espace d’adressage est valide selon la RPKI. En parallèle, les pourcentages de l’espace d’adressage non couvert et de l’espace d’adressage invalide sont restés stables au cours de l’année. Au 31 décembre 2015, 34,4 % de l’espace d’adressage n’était pas couvert. Le pourcentage de l’espace d’adressage invalide reste, quant à lui, relativement faible au cours de l’année. À la fin de l’année 2015, ce pourcentage est de 0,4 %. En ce qui concerne IPv6, l’espace d’adressage géré par les AS français est très faiblement couvert par les déclarations de la RPKI. À la fin de l’année 2015, les ROA couvraient moins de 1 % de cet espace d’adressage. Il n’y a donc pas eu d’évolution significative de cette couverture depuis 2014.

Donc RPKI+ROA progresse mais doucement et uniquement en IPv4.

[...]

Ces résultats montrent qu’en cas de filtrage strict basé sur la RPKI, près de 12 % des AS actifs à la fin de l’année 2015 verraient l’ensemble de leurs préfixes propagé dans l’Internet. Cette proportion est comparable à la valeur observée en 2014.

DNS

[...]

Le risque d’un TLD indisponible n’est pas théorique. Par exemple, en décembre 2015, le TLD .tr a subi une attaque DDoS 7 pendant trois semaines [21], avec des périodes où l’ensemble de ses serveurs DNS étaient inaccessibles.

[...]

Le nombre d’enregistrements NS par zone déléguée reste suffisant pour permettre une bonne résilience, du point de vue de cet indicateur. En effet, moins de 1 % des zones n’utilisent qu’un seul enregistrement NS, qui pourrait donc constituer un SPOF.

[...]

[...] Le déploiement d’IPv6 sur les serveurs DNS faisant autorité a stagné en 2015. Ainsi, environ 41 % des zones ne sont accessibles qu’en IPv4.

[...]

En 2015, le nombre moyen d’AS par zone reste équivalent à celui de 2014, et stagne à 1,2. Par ailleurs, la quantité de zones hébergées par un seul AS reste stable depuis 2011, culminant à 83 % des zones étudiées.

[...]

Répartir, ou être en mesure de répartir, ses serveurs de noms dans des préfixes /24 en IPv4 et /48 en IPv6 distincts peut également constituer une bonne pratique de résilience 9 . Cela permet notamment de limiter les zones de pollution BGP et d’accroître l’agilité face aux dénis de service distribués.

Ha ouaiiiis, j'y avais jamais pensé : si l'on ne peut pas externaliser ses zones dans plusieurs AS, une dispersion par préfixe permettra de réagir, certes de manière rustique, à une attaque DDoS.

L’étude de la répartition des serveurs de noms dans des préfixes est effectuée uniquement sur les zones étant hébergées sur au moins deux adresses IP. En IPv4, la figure 2.4a montre que 87 % des zones peuvent être ou sont annoncées dans des préfixes /24 distincts. En IPv6, ce chiffre s’élève à 98 % pour des préfixes /48 distincts, comme détaillé dans la figure 2.4b.

[...]

Comme pour les années précédentes, en 2015, tant en IPv4 qu’en IPv6, près de 82 % des zones étudiées sont servies exclusivement par des serveurs faisant autorité situés dans un même pays. *En IPv4, les zones dont tous les serveurs DNS faisant autorité sont dans un même pays étranger représentent 27 % des zones étudiées. Il convient néanmoins de noter que 75 % d’entre elles sont hébergées dans un pays ayant une frontière terrestre avec la France métropolitaine. Cette situation ne présente donc, a priori, pas un risque significatif. Pour près de 20 % de ces zones, le constat est plus mitigé, ces dernières étant hébergées en Amérique du Nord.

Pour IPv6, les zones hébergées dans un seul pays étranger représentent 30 % des zones ayant des serveurs DNS accessibles en IPv6. Parmi celles-ci, près de 85 % sont hébergées dans un pays ayant une frontière terrestre avec la France métropolitaine.

[...]

DNSSEC

[...]

Un peu moins de 9 % des zones étudiées mettent en œuvre DNSSEC en 2015. La croissance est essentiellement due à la création de nouvelles zones en 2015.

On voit le poids de l'inertie mais aussi la centralisation : il suffit qu'un gros hébergeur DNS propose une option "DNSSEC en 1 clic" et lala.

[...]

Près de 92 % des zones étudiées mettent en œuvre l’algorithme de hachage SHA-1, jugé insuffisant d’après les bonnes pratiques actuellement admises en cryptographie. À l’inverse, près de 98 % des zones étudiées utilisent bien l’algorithme de hachage recommandé SHA-256 pour créer la chaîne de confiance DNSSEC.

Parce que c'est les bureaux d'enregistrement qui poussent en SHA-256 de manière automatique, peut-être ?

[...]

SMTP

[...]

Un seul relais de messagerie est renseigné pour 38 % des zones déléguées. Le risque d’impossibilité de recevoir de nouveaux messages électroniques est donc accru par la présence d’un SPOF.

[...]

Un unique enregistrement MX ne signale pour autant pas la présence d’un SPOF au niveau du plan d’adressage. En effet, plusieurs adresses IP peuvent être indiquées pour un même nom de domaine ou une IP peut être annoncée sur l’Internet en employant la technique de l’anycast. De même, une adresse IP peut être virtuelle et répartie sur plusieurs serveurs physiques, grâce à des répartiteurs de charge.

[...]

IPv6 reste peu déployé. Ainsi, pour près de 89 % des zones, aucun des noms de serveur contenus dans les enregistrements MX n’a d’adresse IPv6 associée. Parmi les 11 % restants, pour 81 % de ces zones, un seul nom contenu dans les enregistrements MX peut être résolu en une unique IPv6.

Ainsi, IPv6 progresse au niveau routage mais on ne voit pas encore de répercussions au niveau service (DNS et SMTP) ?

[...]

Jusqu’à 86 % des zones étudiées introduisent au moins un SPOF dû au choix des noms de leurs relais de messagerie. En particulier, 64 % des zones étudiées créent deux SPOF en utilisant des noms situés dans un nom public situé sous un unique TLD tiers.

[...]

[...] En particulier, 71 % des relais de messagerie sont hébergés par quatre opérateurs. Cette concentration peut parfois aider à la mutualisation des moyens. Cela peut présenter un intérêt pour la défense contre certaines attaques en déni de service. Le filtrage du courrier indésirable peut également être partagé. Il convient de noter, néanmoins, un risque de défaillance collective en cas d’incident affectant les composants mis en commun.

Concentration SMTP aussi forte que DNS (70 % des zones hébergées par 4 hébergeurs DNS en 2013 selon le même rapport.

[...]

L’essentiel des relais de messagerie des zones étudiées est localisé en France, tant en IPv4 qu’en IPv6.

[...]

La concentration des relais de messagerie entrants sur quelques opérateurs réseaux est significative. En IPv4, un opérateur est responsable de la connectivité de 47 % des relais des zones étudiées. En IPv6, ce chiffre monte à 69 %.

[...]

TLS

[...]

Les mesures de l’observatoire se sont concentrées sur les ressources web accessibles à travers l’Internet français. Elles concernent plus spécifiquement les ressources exposées via le port 443, traditionnellement alloué par les serveurs aux échanges HTTPS. Les enjeux liés aux ressources de messagerie en ligne diffèrent en plusieurs points [45] et ne sont pas abordés dans le présent rapport.

Les noms de domaine issus du registre maintenu par l’Afnic 5 ont été préfixés de www. avant d’être résolus. Par exemple, les mesures effectuées sur le domaine afnic.fr correspondent à l’adresse IPv4 résolue pour www.afnic.fr. Lorsque le port 443 du serveur interrogé était ouvert, l’observatoire a envoyé différents stimulus ClientHello, dont les variations visaient à évaluer plusieurs capacités du serveur, telles que sa prise en charge de la confidentialité persistante ou encore sa tolérance envers des versions obsolètes du protocole.

[...]

L’extension SNI 6 [41] n’ayant pas été utilisée au sein des ClientHello, les mesures ne réunissent pas l’ensemble des ressources exposées via HTTPS sur la zone .fr. En interrogeant de ce fait un serveur par nom de domaine résolu, un sous-ensemble de 61 216 serveurs accessibles a ainsi été interrogé en juillet 2015, contre 26 261 en février 2014.

[...]

75 % des serveurs sont aptes à négocier une session TLS 1.2, en nette augmentation par rapport aux 54 % de 2014.

[...]

TLS 1.2 est couramment pris en charge par les serveurs de la zone .fr en 2015. TLS 1.0 est présent à égale mesure, mais clients comme serveurs devraient privilégier la version la plus récente du protocole.

[...]

En 2015, l’offre de confidentialité persistante s’est généralisée sur la zone .fr. Les serveurs doivent privilégier cette méthode auprès des clients qui la prennent en charge.

On passe de 50 % à 74 %.

[...]

En 2015, de nombreux serveurs tolérant SSLv2 sont apparus. Cette version de protocole doit être abandonnée au plus vite.

WTF sérieux…

[...]

Le tableau 3.1 fait état du nombre de certificats distincts relevés au cours des deux campagnes de mesure lancées sur la zone .fr en 2014 puis 2015. À près de dix-huit mois d’écart, la proportion de certificats auto-signés de 41 % est restée inchangée.

Comme quoi, Let's Encrypt partout, ce n'est pas le mot d'ordre de tout le monde (et à juste titre selon moi, voir http://shaarli.guiguishow.info/?i-OcNA ).

[...]

Mi-2015, le taux de présence de SHA-2 est monté à 55 %, et le taux de présence de SHA-1 est descendu en conséquence à 44 %. [...]