Avertissement : Cet article a été traduit de l’anglais par un LLM. La précision n’est pas garantie. Vous pouvez lire l’article original en anglais.
J’ai récemment voulu modifier les serveurs DNS utilisés par défaut sur mon iPhone, aussi bien sur le réseau mobile qu’en Wi-Fi, pour utiliser des serveurs DoH sécurisés. Malheureusement, les réglages ne proposent pas cette option (sauf si vous souhaitez configurer les serveurs DNS d’un réseau Wi-Fi particulier uniquement).
Dans cet article, je vais expliquer pourquoi vous pourriez vouloir le faire vous aussi, et comment procéder.
Qu’est-ce que DoH et DoT ?#
Historiquement, le protocole DNS offre une confidentialité assez médiocre : les requêtes DNS circulent en clair sur les réseaux. Cela signifie notamment que le fournisseur du réseau peut voir quels sites vous consultez.
Pour éviter cela, DoT (DNS over TLS) et DoH (DNS over HTTPS) ont été normalisés, respectivement en 2016 (RFC 7858) et en 2018 (RFC 8484).
Ils permettent d’envoyer les requêtes DNS via une connexion sécurisée, plutôt qu’en clair sur le port UDP 53.
Le DNS chiffré se répand, mais il n’est pas encore utilisé partout. Firefox a commencé à activer DoH par défaut pour les utilisateurs américains en 2020. Chrome peut passer automatiquement à DoH si le fournisseur DNS configuré le prend en charge. Apple a ajouté la prise en charge native de DoH et DoT dans iOS 14, également en 2020.
Pourquoi remplacer le DNS par défaut ?#
Sur iPhone, les paramètres DNS proviennent généralement du réseau :
- du réseau Wi-Fi (souvent via son routeur), sauf si vous avez configuré manuellement le DNS de ce réseau ;
- de votre opérateur mobile lorsque vous utilisez le réseau cellulaire.
Lorsque les requêtes DNS ne sont pas chiffrées, l’opérateur du réseau peut être en mesure de voir les noms de domaine que vous recherchez.
Remplacer le DNS par DoH ou DoT aide à protéger les requêtes contre leur observation ou leur altération entre votre appareil et le résolveur. Cela peut améliorer votre confidentialité, sans toutefois la garantir entièrement : lorsque vous vous connectez à un site, son nom de domaine est généralement visible dans la négociation TLS. Et, bien sûr, le résolveur que vous choisissez peut toujours voir vos requêtes.
La fonction ECH (Encrypted Client Hello) a été créée pour aider à prévenir cela, mais elle doit être prise en charge à la fois par le service auquel vous voulez accéder et par le logiciel que vous utilisez. La ressource MozillaWiki ci-dessous indique actuellement que WebKit/Safari a annoncé la prise en charge d’ECH, mais ne l’a pas encore implémentée.
Comment remplacer le DNS ?#
Apple ne permet pas de configurer des serveurs DNS cellulaires dans les Réglages. Il faut donc créer un profil pour utiliser le DNS de votre choix sur les réseaux mobiles et Wi-Fi.
Les profils de configuration sont des fichiers XML portant l’extension .mobileconfig.
Jusqu’à iOS 27, DNSSettings était l’option de configuration recommandée. Elle était simple : il suffisait d’écrire le XML dans le fichier.
Cette option a toutefois été dépréciée à partir d’iOS 27. Le nouvel objet de configuration,
com.apple.configuration.network.dns-settings,
a une structure assez similaire, mais son utilisation est un peu plus complexe : il doit être encodé
en base64 et intégré à un objet Declaration.
Pour vous aider, j’ai ajouté un nouvel outil à mes Web Tools Utils.
L’outil vous permet d’inclure un ou plusieurs fournisseurs DNS, et éventuellement d’indiquer des réseaux Wi-Fi particuliers sur lesquels vous ne souhaitez pas les utiliser. D’autres filtres sont disponibles, par exemple selon le type de connexion (Wi-Fi, réseau cellulaire, etc.), mais je ne les utilise pas et ne les ai donc pas inclus.
Si vous souhaitez modifier votre configuration plus tard, vous pouvez également la renvoyer dans l’outil. Les différents identifiants resteront ainsi les mêmes, ce qui permet au système d’exploitation de comprendre que vous mettez à jour une configuration existante plutôt que d’en ajouter une nouvelle.
Une fois le profil sur votre appareil, vous pouvez l’installer ainsi :
- Ouvrez le fichier. Il sera marqué comme devant être vérifié.
- Allez dans « Réglages / Général / VPN et gestion de l’appareil ».
- Le profil apparaît sous « Profil téléchargé ».
- Sélectionnez-le pour afficher des détails sur son contenu.
- Touchez « Installer », saisissez votre code, puis touchez de nouveau « Installer ».
- Revenez dans « Réglages / Général / VPN et gestion de l’appareil » (le dernier intitulé est alors devenu « VPN, DNS et gestion de l’appareil »). Une nouvelle section « Restrictions et proxys » contient un réglage « DNS ». Vous pouvez y choisir le DNS à utiliser si votre fichier en contient plusieurs.
Dans le nouveau menu déroulant de sélection, vous remarquerez aussi l’option « Automatique ». En la choisissant, vous rétablissez le comportement par défaut, c’est-à-dire que les serveurs DNS que vous avez configurés ne sont plus utilisés.
Une fois que tout est configuré, vous pouvez utiliser cet outil pour vérifier que votre appareil fonctionne comme prévu.
Ressources supplémentaires#
- Spécifications des protocoles (RFC)
- Prise en charge par les navigateurs et les plateformes
- Mozilla : Firefox a commencé à activer DoH par défaut pour les utilisateurs américains (février 2020).
- Chromium : Chrome a commencé le déploiement de Secure DNS (mai 2020). Chrome passe à DoH lorsque le fournisseur DNS configuré le prend en charge.
- Apple WWDC20 : Enable encrypted DNS. Apple y a annoncé la prise en charge native de DoH et DoT sur ses plateformes, dont iOS 14.
- Apple WWDC22 : Improve DNS security for apps and servers. Cette présentation aborde le DNS chiffré et la découverte automatique avec DDR.
- Mozilla : FAQ sur Encrypted Client Hello (Firefox active ECH par défaut depuis la version 119).
- Chrome Enterprise : paramètre Encrypted Client Hello (présente la prise en charge d’ECH dans Chrome et les conditions d’utilisation).
- MozillaWiki : ECH autour du Web (indique que WebKit/Safari a annoncé la prise en charge d’ECH, mais ne l’a pas implémentée).
- Pour aller plus loin
