Toutes ces attaques DDoS, que ça soit contre Dyn ou contre OVH me font rire jaune car la responsabilité est partagée et qu'on trouve des Picsou à tous les étages (ou presque) :

• D'un côté, on a des équipementiers (et ça date d'avant l'IOT, faut pas charrier) qui voient la sécurité comme une contrainte financière : ça coûte de l'argent de dev' de bons produits. Ça coûte de la R&D donc du blé de trouver comment faire de la sécurité sur des tout petits objets qui ont que dalle d'électricité, de RAM, de CPU, etc. C'est un monde nouveau donc on se dit qu'on peut se passer de l'expérience acquise ces 20-30 dernières années en informatique "traditionnelle" ;
  
  
• À cela s'ajoute des failles qui ne sont jamais patchées car personne n'a envie de mettre à jour ses XXXXX objets connectés ni même tous ses ordinateurs connectés à Internet de manière générale. C'est chiant, il fait beau dehors, affaire classée. Même chose pour les milliers d'équipements avec un mot de passe par défaut : c'est chiant de changer le mot de passe par défaut, faut s'en souvenir, l'utilisateur moyen ne sait même pas qu'il y en a un, bref, on veut du matos plug & forget. Et encore, là je parle des cas optimistes où il est possible de changer le mot de passe (on va y revenir au point suivant) et/ou que des mises à jour sont diffusées par l'équipementier et/ou que l'équipement puisse techniquement être mis à jour ;
  
  
• À cela s'ajoute les backdoors, les accès privilégiés que se laissent les équipementiers… avec la meilleure intention : màj auto par l'équipementier, support client simplifié, etc. C'est une partie de l'attaque contre Dyn : https://boingboing.net/2016/10/24/xiongmai.html - « That’s because while many of these devices allow users to change the default usernames and passwords on a Web-based administration panel that ships with the products, those machines can still be reached via more obscure, less user-friendly communications services called “Telnet” and “SSH.” [...] “The issue with these particular devices is that a user cannot feasibly change this password,” Flashpoint’s Zach Wikholm told KrebsOnSecurity. “The password is hardcoded into the firmware, and the tools necessary to disable it are not present. Even worse, the web interface is not aware that these credentials even exist.” » ;
  
  
• D'un autre côté, on a des sociétés commerciales (« Twitter, le PlayStation Network (PSN), PayPal, eBay ou encore Spotify, Netflix, etc. » - http://www.numerama.com/tech/203367-comment-des-cameras-de-surveillance-ont-rendu-inaccessible-une-partie-du-web.html), qui ont tout leur business sur le Net, qui comptent dans leurs rangs, des ingénieurs brillants qui savent quand même ce qu'est Internet… mais qui font le choix d'utiliser un seul et même hébergeur DNS. Allô. Internet, on essaye de ne pas créer de centre. Allô, ça fait des années et des années que les bonnes pratiques sont d'avoir plusieurs hébergeurs DNS qui utilisent des prestataires réseaux différents. Mais avoir une infra internationale redondée, ça coûte du blé. Avoir recours à plusieurs prestataires simultanément, ça fait grimper les charges sans rien apporter en produit lors d'un exercice comptable normal ;
  
  
• Mais, enfin, éviter les centres, héberger chacun-e nos moyens de communication et de diffusion des savoirs chez nous ou dans la petite structure locale n'empêchera de pouvoir réduire des petits acteurs au silence : https://benjamin.sonntag.fr/DDOS-sur-La-Quadrature-du-Net-analyse . Une prise de conscience à tous les étages, des équipementiers, aux fournisseurs de services en passant par les utilisateur-rice-s d'objets connectés kikoos ou simplement d'ordinateurs quel que soit leur format, apparaît nécessaire.

Bref, on pourra compter les DDoS, s'étonner devant leurs centaines de Mbps et aujourd'hui leurs Tbps mais ça n'aide pas : le changement à opérer est structurel et multi-acteurs. Mais, après tout : « à cœur vaillant rien d'impossible ».