jcsa2013 07 pierre lorinquer & samia m'timet - observatoire de la résilience de...
DESCRIPTION
Voir la présentation en vidéo sur http://www.youtube.com/watch?v=lhkAtsCm6fw Pierre Lorinquer (ANSSI) et Samia M'Timet (Afnic) présentent l'essentiel de l'Observatoire 2012 de la résilience de l'Internet en France lors de la Journée du Conseil scientifique de l'Afnic 2013 (JCSA2013), le 9 juillet 2013 dans les locaux de Télécom ParisTech. L'Observaoire en question est en ligne sr http://www.afnic.fr/fr/l-afnic-en-bref/actualites/actualites-generales/7126/show/l-observatoire-sur-la-resilience-de-l-internet-francais-publie-son-rapport-2012-2.htmlTRANSCRIPT
![Page 1: JCSA2013 07 Pierre Lorinquer & Samia M'timet - Observatoire de la résilience de l'Internet français : l'essentiel du rapport sur l'année 2012](https://reader034.vdocuments.mx/reader034/viewer/2022042613/547c8b5fb4af9fd3158b51cb/html5/thumbnails/1.jpg)
L’observatoire de la résiliencede l’Internet français :
l’essentiel du rapport sur l’année 2012Stéphane Bortzmeyer, François Contat, Mathieu Feuillet,
Pierre Lorinquer, Samia M’timet, Mohsen Souissi,Guillaume Valadon
[email protected] juillet 2013
observatoire - http://www.ssi.gouv.fr/observatoire/ 1/27
![Page 2: JCSA2013 07 Pierre Lorinquer & Samia M'timet - Observatoire de la résilience de l'Internet français : l'essentiel du rapport sur l'année 2012](https://reader034.vdocuments.mx/reader034/viewer/2022042613/547c8b5fb4af9fd3158b51cb/html5/thumbnails/2.jpg)
L’Agence Nationale de la Sécurité des Systèmesd’Information
• Créée le 7 juillet 2009, l’ANSSI est l’autorité nationale en ma-tière de défense et de sécurité des systèmes d’information ;
• Ses missions principales sont :• la prévention ;• la défense des systèmes d’information.
• L’une de ses priorités d’action est la résilience de l’Internet.
http://www.ssi.gouv.fr/
observatoire - http://www.ssi.gouv.fr/observatoire/ 2/27
![Page 3: JCSA2013 07 Pierre Lorinquer & Samia M'timet - Observatoire de la résilience de l'Internet français : l'essentiel du rapport sur l'année 2012](https://reader034.vdocuments.mx/reader034/viewer/2022042613/547c8b5fb4af9fd3158b51cb/html5/thumbnails/3.jpg)
Quelques mots sur l’observatoire
Les motivations à l’origine de l’observatoire• L’Internet reste méconnu.• Les analyses d’incidents sont rarement orientées sur la France.• L’étude de l’utilisation des bonnes pratiques.
Objectifs de l’observatoire• Étudier en détail la résilience de l’Internet français.• Favoriser les échanges techniques entre acteurs de l’Internet.• Publier ses résultats anonymisés.• Publier des recommandations et diffuser des bonnes pratiques.
L’Afnic est moteur de l’initiative depuis ses débuts.
observatoire - http://www.ssi.gouv.fr/observatoire/ 3/27
![Page 4: JCSA2013 07 Pierre Lorinquer & Samia M'timet - Observatoire de la résilience de l'Internet français : l'essentiel du rapport sur l'année 2012](https://reader034.vdocuments.mx/reader034/viewer/2022042613/547c8b5fb4af9fd3158b51cb/html5/thumbnails/4.jpg)
La résilience ?
« La capacité de fonctionner pendant un incidentet de revenir à l’état nominal. »
Livre blanc sur la défense et la sécurité nationale, 2008
On peut notamment observer :• la structure de l’Internet (routage & nommage) ;• le trafic et les services (HTTPS, SPAM, botnets. . .).
L’observatoire se focalise pour l’instant sur la structure del’Internet.
observatoire - http://www.ssi.gouv.fr/observatoire/ 4/27
![Page 5: JCSA2013 07 Pierre Lorinquer & Samia M'timet - Observatoire de la résilience de l'Internet français : l'essentiel du rapport sur l'année 2012](https://reader034.vdocuments.mx/reader034/viewer/2022042613/547c8b5fb4af9fd3158b51cb/html5/thumbnails/5.jpg)
Sous l’angle du protocole BGP
![Page 6: JCSA2013 07 Pierre Lorinquer & Samia M'timet - Observatoire de la résilience de l'Internet français : l'essentiel du rapport sur l'année 2012](https://reader034.vdocuments.mx/reader034/viewer/2022042613/547c8b5fb4af9fd3158b51cb/html5/thumbnails/6.jpg)
Border Gateway Protocol (BGP)
BGP est le protocole de routage utilisé partous les acteurs/opérateurs de l’Internet.
....Acteur 1... Acteur 2...
Acteur 3
....
Acteur 4
.
Le protocole BGP :• associe un numéro d’AS (Autonomous System) à un acteur ;• interconnecte directement ces acteurs :
• propagation d’informations de routage de proche en proche ;
• assure une visibilité mondiale à ces acteurs.
observatoire - http://www.ssi.gouv.fr/observatoire/ 6/27
![Page 7: JCSA2013 07 Pierre Lorinquer & Samia M'timet - Observatoire de la résilience de l'Internet français : l'essentiel du rapport sur l'année 2012](https://reader034.vdocuments.mx/reader034/viewer/2022042613/547c8b5fb4af9fd3158b51cb/html5/thumbnails/7.jpg)
Border Gateway Protocol (BGP)
BGP est le protocole de routage utilisé partous les acteurs/opérateurs de l’Internet.
....AS1... AS2...
AS3
....
AS4
.
Le protocole BGP :• associe un numéro d’AS (Autonomous System) à un acteur ;
• interconnecte directement ces acteurs :• propagation d’informations de routage de proche en proche ;
• assure une visibilité mondiale à ces acteurs.
observatoire - http://www.ssi.gouv.fr/observatoire/ 6/27
![Page 8: JCSA2013 07 Pierre Lorinquer & Samia M'timet - Observatoire de la résilience de l'Internet français : l'essentiel du rapport sur l'année 2012](https://reader034.vdocuments.mx/reader034/viewer/2022042613/547c8b5fb4af9fd3158b51cb/html5/thumbnails/8.jpg)
Border Gateway Protocol (BGP)
BGP est le protocole de routage utilisé partous les acteurs/opérateurs de l’Internet.
....AS1... AS2...
AS3
....
AS4
.
Le protocole BGP :• associe un numéro d’AS (Autonomous System) à un acteur ;• interconnecte directement ces acteurs :
• propagation d’informations de routage de proche en proche ;
• assure une visibilité mondiale à ces acteurs.
observatoire - http://www.ssi.gouv.fr/observatoire/ 6/27
![Page 9: JCSA2013 07 Pierre Lorinquer & Samia M'timet - Observatoire de la résilience de l'Internet français : l'essentiel du rapport sur l'année 2012](https://reader034.vdocuments.mx/reader034/viewer/2022042613/547c8b5fb4af9fd3158b51cb/html5/thumbnails/9.jpg)
Border Gateway Protocol (BGP)
BGP est le protocole de routage utilisé partous les acteurs/opérateurs de l’Internet.
....AS1... AS2...
AS3
....
AS4
.
Le protocole BGP :• associe un numéro d’AS (Autonomous System) à un acteur ;• interconnecte directement ces acteurs :
• propagation d’informations de routage de proche en proche ;
• assure une visibilité mondiale à ces acteurs.observatoire - http://www.ssi.gouv.fr/observatoire/ 6/27
![Page 10: JCSA2013 07 Pierre Lorinquer & Samia M'timet - Observatoire de la résilience de l'Internet français : l'essentiel du rapport sur l'année 2012](https://reader034.vdocuments.mx/reader034/viewer/2022042613/547c8b5fb4af9fd3158b51cb/html5/thumbnails/10.jpg)
Définition de l’Internet français
Qu’est-ce que l’Internet français ?
• Identification des AS constituant l’Internet français au moyend’un algorithme d’apprentissage.
Résultats• 1270 AS français (entre 700 et 800 sont visibles) ;• comparaison avec des bases publiques existantes :
• notre base comporte entre 40 et 70 en plus ;• 9 AS manquants dans notre base.
observatoire - http://www.ssi.gouv.fr/observatoire/ 7/27
![Page 11: JCSA2013 07 Pierre Lorinquer & Samia M'timet - Observatoire de la résilience de l'Internet français : l'essentiel du rapport sur l'année 2012](https://reader034.vdocuments.mx/reader034/viewer/2022042613/547c8b5fb4af9fd3158b51cb/html5/thumbnails/11.jpg)
Connectivité des AS
..................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................
• En bleu, les AS français.• En rouge, les AS dont la disparition pourrait en isoler d’autres.
.
..
Il existe peu d’AS dont la panne affecterait unepart significative de l’Internet français.
observatoire - http://www.ssi.gouv.fr/observatoire/ 8/27
![Page 12: JCSA2013 07 Pierre Lorinquer & Samia M'timet - Observatoire de la résilience de l'Internet français : l'essentiel du rapport sur l'année 2012](https://reader034.vdocuments.mx/reader034/viewer/2022042613/547c8b5fb4af9fd3158b51cb/html5/thumbnails/12.jpg)
Connectivité des AS
..................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................
• En bleu, les AS français.• En rouge, les AS dont la disparition pourrait en isoler d’autres.
...
Il existe peu d’AS dont la panne affecterait unepart significative de l’Internet français.
observatoire - http://www.ssi.gouv.fr/observatoire/ 8/27
![Page 13: JCSA2013 07 Pierre Lorinquer & Samia M'timet - Observatoire de la résilience de l'Internet français : l'essentiel du rapport sur l'année 2012](https://reader034.vdocuments.mx/reader034/viewer/2022042613/547c8b5fb4af9fd3158b51cb/html5/thumbnails/13.jpg)
Principe de fonctionnement de BGP
....AS1 ... AS2.... AS3....
AS4
..
.
.192.0.2.0/23
.
192.0.2.0/23
.
192.0.2.0/23 AS2 AS1
192.0.2.0/23 AS4
.
BGP
• Annonces de préfixes (blocs d’adresses IP) entre AS : échangede routes.
• Annonce d’un préfixe appartenant à un autre AS, sans en avoirla délégation : usurpation.
observatoire - http://www.ssi.gouv.fr/observatoire/ 9/27
![Page 14: JCSA2013 07 Pierre Lorinquer & Samia M'timet - Observatoire de la résilience de l'Internet français : l'essentiel du rapport sur l'année 2012](https://reader034.vdocuments.mx/reader034/viewer/2022042613/547c8b5fb4af9fd3158b51cb/html5/thumbnails/14.jpg)
Principe de fonctionnement de BGP
....AS1 ... AS2.... AS3....
AS4
....192.0.2.0/23
.
192.0.2.0/23
.
192.0.2.0/23 AS2 AS1192.0.2.0/23 AS4
.
BGP
• Annonces de préfixes (blocs d’adresses IP) entre AS : échangede routes.
• Annonce d’un préfixe appartenant à un autre AS, sans en avoirla délégation : usurpation.
observatoire - http://www.ssi.gouv.fr/observatoire/ 9/27
![Page 15: JCSA2013 07 Pierre Lorinquer & Samia M'timet - Observatoire de la résilience de l'Internet français : l'essentiel du rapport sur l'année 2012](https://reader034.vdocuments.mx/reader034/viewer/2022042613/547c8b5fb4af9fd3158b51cb/html5/thumbnails/15.jpg)
Les usurpations de préfixes
....AS1 ... AS2.... AS3....
AS4
....192.0.2.0/23
.
192.0.2.0/23
.
192.0.2.0/23 AS2 AS1192.0.2.0/23 AS4
.
BGP
• Règle du chemin le plus court : peut entraîner un détournementde trafic.
• Deux AS peuvent-ils annoncer le même préfixe ?• Oui : délégation d’un préfixe à un AS client par exemple.
observatoire - http://www.ssi.gouv.fr/observatoire/ 10/27
![Page 16: JCSA2013 07 Pierre Lorinquer & Samia M'timet - Observatoire de la résilience de l'Internet français : l'essentiel du rapport sur l'année 2012](https://reader034.vdocuments.mx/reader034/viewer/2022042613/547c8b5fb4af9fd3158b51cb/html5/thumbnails/16.jpg)
Les usurpations de préfixes
....AS1 ... AS2.... AS3....
AS4
....192.0.2.0/23
.
192.0.2.0/23
.
192.0.2.0/23 AS2 AS1192.0.2.0/23 AS4
.
BGP
• Règle du chemin le plus court : peut entraîner un détournementde trafic.
• Deux AS peuvent-ils annoncer le même préfixe ?• Oui : délégation d’un préfixe à un AS client par exemple.
observatoire - http://www.ssi.gouv.fr/observatoire/ 10/27
![Page 17: JCSA2013 07 Pierre Lorinquer & Samia M'timet - Observatoire de la résilience de l'Internet français : l'essentiel du rapport sur l'année 2012](https://reader034.vdocuments.mx/reader034/viewer/2022042613/547c8b5fb4af9fd3158b51cb/html5/thumbnails/17.jpg)
Légitimité des annonces : les objets route
Comment déterminer la légitimité d’une annonce de préfixe ?• Comparer les annonces avec une base de données d’objets route
(RIPE-NCC pour l’Europe).• Objet route : déclaration d’un préfixe annoncé en BGP.
Les objets route peuvent être utilisés pour :• créer des filtres d’annonces sur les routeurs BGP ;• détecter des usurpations ;• obtenir des informations sur un AS ou un préfixe.
observatoire - http://www.ssi.gouv.fr/observatoire/ 11/27
![Page 18: JCSA2013 07 Pierre Lorinquer & Samia M'timet - Observatoire de la résilience de l'Internet français : l'essentiel du rapport sur l'année 2012](https://reader034.vdocuments.mx/reader034/viewer/2022042613/547c8b5fb4af9fd3158b51cb/html5/thumbnails/18.jpg)
Les objets route en pratique
....
AS1
...
AS2
....
AS3
....AS4
..
192.0.2.0/23
.
192.0.2.0/23
.192.0.2.0/23 AS2 AS1192.0.2.0/23 AS4
. BGP
Déclaré par l’AS1, l’objet route indique que l’AS4 a le droitd’annoncer le préfixe 192.0.2.0/23.
$ whois -T route 192.0.2.42descr: Objet route d'exempleroute: 192.0.2.0/23origin: AS-4mnt-by: JCSA-MNT
observatoire - http://www.ssi.gouv.fr/observatoire/ 12/27
![Page 19: JCSA2013 07 Pierre Lorinquer & Samia M'timet - Observatoire de la résilience de l'Internet français : l'essentiel du rapport sur l'année 2012](https://reader034.vdocuments.mx/reader034/viewer/2022042613/547c8b5fb4af9fd3158b51cb/html5/thumbnails/19.jpg)
Détecter les usurpations de préfixes
... ..valide
.connecté
.anormal
.0 .
400
.
800
.
1200
.
1500
....
Nom
bre
d’év
énem
ents
.
29 %
.
48 %
.
23 %
• Valide : événement validé par un objet route.• Connecté : l’AS usurpateur est connecté à l’AS usurpé.• Anormal : c’est peut-être une usurpation.
.
..
Après analyse, 7 événements anormaux semblentêtre des usurpations.
observatoire - http://www.ssi.gouv.fr/observatoire/ 13/27
![Page 20: JCSA2013 07 Pierre Lorinquer & Samia M'timet - Observatoire de la résilience de l'Internet français : l'essentiel du rapport sur l'année 2012](https://reader034.vdocuments.mx/reader034/viewer/2022042613/547c8b5fb4af9fd3158b51cb/html5/thumbnails/20.jpg)
Détecter les usurpations de préfixes
... ..valide
.connecté
.anormal
.0 .
400
.
800
.
1200
.
1500
....
Nom
bre
d’év
énem
ents
.
29 %
.
48 %
.
23 %
• Valide : événement validé par un objet route.• Connecté : l’AS usurpateur est connecté à l’AS usurpé.• Anormal : c’est peut-être une usurpation.
...
Après analyse, 7 événements anormaux semblentêtre des usurpations.
observatoire - http://www.ssi.gouv.fr/observatoire/ 13/27
![Page 21: JCSA2013 07 Pierre Lorinquer & Samia M'timet - Observatoire de la résilience de l'Internet français : l'essentiel du rapport sur l'année 2012](https://reader034.vdocuments.mx/reader034/viewer/2022042613/547c8b5fb4af9fd3158b51cb/html5/thumbnails/21.jpg)
Filtrage via les objets route
janvier 2012 décembre 2012Correspondance 78% 82%Problème 22% 18%
• Augmentation du pourcentage de correspondance.• Diminution du pourcentage d’AS ayant des déclarations conflic-
tuelles ou manquantes.
.
..
Les préfixes annoncés en BGP doivent êtrecouverts par un objet route. Les objets route
doivent être maintenus à jour.
observatoire - http://www.ssi.gouv.fr/observatoire/ 14/27
![Page 22: JCSA2013 07 Pierre Lorinquer & Samia M'timet - Observatoire de la résilience de l'Internet français : l'essentiel du rapport sur l'année 2012](https://reader034.vdocuments.mx/reader034/viewer/2022042613/547c8b5fb4af9fd3158b51cb/html5/thumbnails/22.jpg)
Filtrage via les objets route
janvier 2012 décembre 2012Correspondance 78% 82%Problème 22% 18%
• Augmentation du pourcentage de correspondance.• Diminution du pourcentage d’AS ayant des déclarations conflic-
tuelles ou manquantes.
...
Les préfixes annoncés en BGP doivent êtrecouverts par un objet route. Les objets route
doivent être maintenus à jour.
observatoire - http://www.ssi.gouv.fr/observatoire/ 14/27
![Page 23: JCSA2013 07 Pierre Lorinquer & Samia M'timet - Observatoire de la résilience de l'Internet français : l'essentiel du rapport sur l'année 2012](https://reader034.vdocuments.mx/reader034/viewer/2022042613/547c8b5fb4af9fd3158b51cb/html5/thumbnails/23.jpg)
Observations généralesDéploiement d’IPv6
2009 2010 2011 2012Seulement IPv4 519 536 557 557IPv4 et IPv6 45 86 124 159Seulement IPv6 1 2 4 3
Nombre d’AS ayant déployé IPv6
Respect des bonnes pratiques• Annonces de préfixes trop spécifiques :
• 5 annonces de préfixes IPv4 (> /24, RIPE-399) ;• 43 annonces de préfixes IPv6 (> /48, RIPE-532) ;
• AS_PATH avec des numéros d’AS privés.
.
..
Les bonnes pratiques ne sont pas respectées partous les acteurs, notamment pour l’IPv6.
observatoire - http://www.ssi.gouv.fr/observatoire/ 15/27
![Page 24: JCSA2013 07 Pierre Lorinquer & Samia M'timet - Observatoire de la résilience de l'Internet français : l'essentiel du rapport sur l'année 2012](https://reader034.vdocuments.mx/reader034/viewer/2022042613/547c8b5fb4af9fd3158b51cb/html5/thumbnails/24.jpg)
Observations généralesDéploiement d’IPv6
2009 2010 2011 2012Seulement IPv4 519 536 557 557IPv4 et IPv6 45 86 124 159Seulement IPv6 1 2 4 3
Nombre d’AS ayant déployé IPv6
Respect des bonnes pratiques• Annonces de préfixes trop spécifiques :
• 5 annonces de préfixes IPv4 (> /24, RIPE-399) ;• 43 annonces de préfixes IPv6 (> /48, RIPE-532) ;
• AS_PATH avec des numéros d’AS privés.
...
Les bonnes pratiques ne sont pas respectées partous les acteurs, notamment pour l’IPv6.
observatoire - http://www.ssi.gouv.fr/observatoire/ 15/27
![Page 25: JCSA2013 07 Pierre Lorinquer & Samia M'timet - Observatoire de la résilience de l'Internet français : l'essentiel du rapport sur l'année 2012](https://reader034.vdocuments.mx/reader034/viewer/2022042613/547c8b5fb4af9fd3158b51cb/html5/thumbnails/25.jpg)
Sous l’angle de l’infrastructure DNS
![Page 26: JCSA2013 07 Pierre Lorinquer & Samia M'timet - Observatoire de la résilience de l'Internet français : l'essentiel du rapport sur l'année 2012](https://reader034.vdocuments.mx/reader034/viewer/2022042613/547c8b5fb4af9fd3158b51cb/html5/thumbnails/26.jpg)
Sources de données et mesures
• Plateforme DNSWitness.• Domaines de la zone .fr.• Publications DNS des zones déléguées.• Trafic DNS reçu par des serveurs de la zone .fr.
observatoire - http://www.ssi.gouv.fr/observatoire/ 17/27
![Page 27: JCSA2013 07 Pierre Lorinquer & Samia M'timet - Observatoire de la résilience de l'Internet français : l'essentiel du rapport sur l'année 2012](https://reader034.vdocuments.mx/reader034/viewer/2022042613/547c8b5fb4af9fd3158b51cb/html5/thumbnails/27.jpg)
Distribution topologique des serveurs DNS faisantautorité
... ..1.
2.
3.
4.
5.
6+.0 % .
10 %.
20 %
.
30 %
.
40 %
.
50 %
.
60 %
.............
Nombre de serveurs
.
Pour
cent
age
.
. ..décembre 2011 . ..décembre 2012
. 0.
49.4
.7
.
30.9
.2
.
10.7
. 0.3.
30
.7
.
49.3
.2
.
11.4
.
..
En 2012, nombre moyen de serveurs par zone =3,6.
observatoire - http://www.ssi.gouv.fr/observatoire/ 18/27
![Page 28: JCSA2013 07 Pierre Lorinquer & Samia M'timet - Observatoire de la résilience de l'Internet français : l'essentiel du rapport sur l'année 2012](https://reader034.vdocuments.mx/reader034/viewer/2022042613/547c8b5fb4af9fd3158b51cb/html5/thumbnails/28.jpg)
Distribution topologique des serveurs DNS faisantautorité
... ..1.
2.
3.
4.
5.
6+.0 % .
10 %.
20 %
.
30 %
.
40 %
.
50 %
.
60 %
.............
Nombre de serveurs
.
Pour
cent
age
.
. ..décembre 2011 . ..décembre 2012
. 0.
49.4
.7
.
30.9
.2
.
10.7
. 0.3.
30
.7
.
49.3
.2
.
11.4
...
En 2012, nombre moyen de serveurs par zone =3,6.
observatoire - http://www.ssi.gouv.fr/observatoire/ 18/27
![Page 29: JCSA2013 07 Pierre Lorinquer & Samia M'timet - Observatoire de la résilience de l'Internet français : l'essentiel du rapport sur l'année 2012](https://reader034.vdocuments.mx/reader034/viewer/2022042613/547c8b5fb4af9fd3158b51cb/html5/thumbnails/29.jpg)
Distribution topologique des serveurs DNS faisantautorité
... ..1.
2.
3.
4.
5.0 % .
20 %
.
40 %
.
60 %
.
80 %
.
100 %
...........
Nombre d’AS
.
Pour
cent
age
.
. ..décembre 2011 . ..décembre 2012
.
82.1
.12.5
.2.9
. 1.8. 0.6.
81.9
.12.6
.3.9
. 0.9. 0.6
observatoire - http://www.ssi.gouv.fr/observatoire/ 19/27
![Page 30: JCSA2013 07 Pierre Lorinquer & Samia M'timet - Observatoire de la résilience de l'Internet français : l'essentiel du rapport sur l'année 2012](https://reader034.vdocuments.mx/reader034/viewer/2022042613/547c8b5fb4af9fd3158b51cb/html5/thumbnails/30.jpg)
Distribution topologique des serveurs DNS faisantautorité
.....AS1
.AS2
.AS3
.AS4
.AS5
.autres
. 0 %.10 %
.
20 %
.
30 %
.
40 %
.......
Pour
cent
age
.. ..AS1
.AS2
.AS3
.AS4
.AS5
.autres
.0 % .10 %
.
20 %
.
30 %
.
40 %
.......
..
. ..décembre 2011 . ..décembre 2012
.
35.9
.
16.1
.
11.8
.3.6
.3.0
.
29.6
.
34.4
.
20.1
.
14.3
.2.9
. 2.4.
25.9
.
..
Forte concentration des acteurs (hébergeursDNS).
observatoire - http://www.ssi.gouv.fr/observatoire/ 20/27
![Page 31: JCSA2013 07 Pierre Lorinquer & Samia M'timet - Observatoire de la résilience de l'Internet français : l'essentiel du rapport sur l'année 2012](https://reader034.vdocuments.mx/reader034/viewer/2022042613/547c8b5fb4af9fd3158b51cb/html5/thumbnails/31.jpg)
Distribution topologique des serveurs DNS faisantautorité
.....AS1
.AS2
.AS3
.AS4
.AS5
.autres
. 0 %.10 %
.
20 %
.
30 %
.
40 %
.......
Pour
cent
age
.. ..AS1
.AS2
.AS3
.AS4
.AS5
.autres
.0 % .10 %
.
20 %
.
30 %
.
40 %
.......
..
. ..décembre 2011 . ..décembre 2012
.
35.9
.
16.1
.
11.8
.3.6
.3.0
.
29.6
.
34.4
.
20.1
.
14.3
.2.9
. 2.4.
25.9
...
Forte concentration des acteurs (hébergeursDNS).
observatoire - http://www.ssi.gouv.fr/observatoire/ 20/27
![Page 32: JCSA2013 07 Pierre Lorinquer & Samia M'timet - Observatoire de la résilience de l'Internet français : l'essentiel du rapport sur l'année 2012](https://reader034.vdocuments.mx/reader034/viewer/2022042613/547c8b5fb4af9fd3158b51cb/html5/thumbnails/32.jpg)
Déploiement de DNSSEC
DNSSEC :• n’est pas un facteur de résilience en soi ;• authentifie l’origine des données (évite l’empoisonnement de
cache).
Déploiement de DNSSEC :• signature de la racine : juillet 2010 ;• signature de la zone .fr : septembre 2010 ;• prise en compte des zones signées dans la zone .fr : avril 2011.
Zones ayant un enregistrement DS2011 332012 33790 (1,5%)
observatoire - http://www.ssi.gouv.fr/observatoire/ 21/27
![Page 33: JCSA2013 07 Pierre Lorinquer & Samia M'timet - Observatoire de la résilience de l'Internet français : l'essentiel du rapport sur l'année 2012](https://reader034.vdocuments.mx/reader034/viewer/2022042613/547c8b5fb4af9fd3158b51cb/html5/thumbnails/33.jpg)
Déploiement d’IPv6
... ..DNS
.Web
.0 % .
20 %
.
40 %
.
60 %
..........
Pour
cent
age
.
. ..2010 . ..2011 . ..2012
.6.4
. 0.9. 0.3.
41.0
. 1.6. 2.2.
59.7
.10.6
. 4.2
.
..
Déploiement insuffisant.
observatoire - http://www.ssi.gouv.fr/observatoire/ 22/27
![Page 34: JCSA2013 07 Pierre Lorinquer & Samia M'timet - Observatoire de la résilience de l'Internet français : l'essentiel du rapport sur l'année 2012](https://reader034.vdocuments.mx/reader034/viewer/2022042613/547c8b5fb4af9fd3158b51cb/html5/thumbnails/34.jpg)
Déploiement d’IPv6
... ..DNS
.Web
.0 % .
20 %
.
40 %
.
60 %
..........
Pour
cent
age
.
. ..2010 . ..2011 . ..2012
.6.4
. 0.9. 0.3.
41.0
. 1.6. 2.2.
59.7
.10.6
. 4.2
...
Déploiement insuffisant.
observatoire - http://www.ssi.gouv.fr/observatoire/ 22/27
![Page 35: JCSA2013 07 Pierre Lorinquer & Samia M'timet - Observatoire de la résilience de l'Internet français : l'essentiel du rapport sur l'année 2012](https://reader034.vdocuments.mx/reader034/viewer/2022042613/547c8b5fb4af9fd3158b51cb/html5/thumbnails/35.jpg)
Déploiement d’IPv6
... ..transport IPv6
.0 % .20 %
.
40 %
.
60 %
.
80 %
...
Transport
.
Pour
cent
age
.. ..AAAA
.A
.autres
.0 % .20 %
.
40 %
.
60 %
.
80 %
.......
Requêtes
.
..
. ..2011 . ..2012
.7
.11
.11
.
72
.17
.13
.
64
.
23
observatoire - http://www.ssi.gouv.fr/observatoire/ 23/27
![Page 36: JCSA2013 07 Pierre Lorinquer & Samia M'timet - Observatoire de la résilience de l'Internet français : l'essentiel du rapport sur l'année 2012](https://reader034.vdocuments.mx/reader034/viewer/2022042613/547c8b5fb4af9fd3158b51cb/html5/thumbnails/36.jpg)
Résolveurs les plus demandeurs
Opérateur Requêtes générées Nombre de résolveursFAI américain 4,5% 1314FAI américain 4,2% 1Moteur de recherche 3,6% 1626Registrar français 3,6% 36744FAI français 3,5% 908
Nombre de requêtes par AS
observatoire - http://www.ssi.gouv.fr/observatoire/ 24/27
![Page 37: JCSA2013 07 Pierre Lorinquer & Samia M'timet - Observatoire de la résilience de l'Internet français : l'essentiel du rapport sur l'année 2012](https://reader034.vdocuments.mx/reader034/viewer/2022042613/547c8b5fb4af9fd3158b51cb/html5/thumbnails/37.jpg)
Résolveurs les plus demandeurs
Opérateur Requêtes générées Requêtes générées Nombre(% Total) (% AS français) de résolveurs
Registrar 3,6% 33,4% 36744FAI 3,5% 32,7% 908Réseau 1,3% 12,6% 1801universitaireFAI 0,5% 4,6% 24FAI 0,4% 3,9% 1
Nombre de requêtes par AS français
observatoire - http://www.ssi.gouv.fr/observatoire/ 25/27
![Page 38: JCSA2013 07 Pierre Lorinquer & Samia M'timet - Observatoire de la résilience de l'Internet français : l'essentiel du rapport sur l'année 2012](https://reader034.vdocuments.mx/reader034/viewer/2022042613/547c8b5fb4af9fd3158b51cb/html5/thumbnails/38.jpg)
Conclusion & recommandations
« Concernant les protocoles BGP et DNS, la situation de l’Internetfrançais est aujourd’hui acceptable, mais rien ne garantit que cela
suffise à l’avenir. »
Rapport 2012 de l’observatoire de la résilience
Recommandations• Déclarer les objets route, et les maintenir à jour, afin de faciliter
le filtrage d’annonces BGP illégitimes et la détection.• Déployer IPv6 pour anticiper des problèmes.• Appliquer les bonnes pratiques BGP au niveau des intercon-
nexions entre opérateurs.• Répartir les serveurs DNS faisant autorité au sein de différents
opérateurs pour limiter les effets d’une panne.
observatoire - http://www.ssi.gouv.fr/observatoire/ 26/27
![Page 39: JCSA2013 07 Pierre Lorinquer & Samia M'timet - Observatoire de la résilience de l'Internet français : l'essentiel du rapport sur l'année 2012](https://reader034.vdocuments.mx/reader034/viewer/2022042613/547c8b5fb4af9fd3158b51cb/html5/thumbnails/39.jpg)
Questions
Questions
Rapports et guides• Rapport 2011 disponible.• Rapport 2012 disponible.• Guide de bonnes pratiques de configuration de BGP disponible
à la rentrée prochaine.
observatoire - http://www.ssi.gouv.fr/observatoire/ 27/27