Google a annoncé hier un nouveau service d’ordre assez technique mais à vocation grand public : Google public DNS (merci à Philippe de Blue Pipe).

Je profite lâchement de l’absence aux JRES d’un des principaux bloggeurs français spécialistes pour donner mon grain de sel avant lui sur la question, même s’il m’a lui même gentiment fourni les pointeurs idoïnes vers sa littérature 🙂

Il s’agit « simplement » d’un service supposé remplacer les serveurs DNS récursifs que vous utilisez, soit ceux de votre fournisseur d’accès (cas le plus courant), soit ceux d’un service « ouvert » (cas moins courant et peu recommandé).

À quoi cela peut-il bien servir ?

Réponse rapide pour gens pressés : en gros… à rien ! Chaque fournisseur de connectivité gère ses propres serveurs, bien en général, et cela reste le plus souvent la meilleure solution (la vraiment meilleure solution technique étant dans la plupart des cas d’avoir chez vous un cache DNS local). Et si votre fournisseur ne gère pas correctement ses serveurs, il est temps de changer de boutique, pas juste de serveur DNS.

Mais ce nouveau service de Google a tout de même plusieurs intérêts notables.

• Il permet de se protéger contre les fournisseurs proposant des DNS menteurs afin d’imposer de la publicité aux malheureux qui tapent de travers les noms des sites web auxquels ils accèdent ;
• Il concurrence certains DNS menteurs ouverts, proposés dans le but avoué de fournir un service “amélioré” (options de filtrage) par rapport aux DNS de votre fournisseur, mais qui procèdent également au détournement de trafic mentionné ci-dessus.
• Enfin, il propose des pistes intéressantes pour la sécurité comme pour la rapidité de résolution. J’y reviens ci-dessous.

L’argument principal invoqué par Google (la rapidité de résolution) est à moitié bidon. Le service Google est notablement plus rapide… que ses concurrents ouverts. Mais il ne peut pas lutter avec le service du fournisseur d’accès que l’on utilise, si ce dernier fonctionne correctement, ni a fortiori avec un cache local.

Le second argument, celui de la sécurité, est également à moitié bidon : si Google a besoin de faire tant d’efforts pour protéger ce service, c’est surtout parce qu’il est ouvert à toute requête, facilitant donc les attaques. Ce n’est pas le cas du cache de votre fournisseur, et encore moins d’un cache local (je suppose évidemment que votre configuration est à jour de l’état de l’art : le temps des serveurs locaux ouverts est terminé !). Rien ne dit pour l’instant que le résultat fourni par Google aura une sécurité supérieure aux caches classiques. On peut être en revanche sûr qu’il sera une cible privilégiée d’attaques ! Néanmoins, les mesures de protection mises en oeuvre par Google sont novatrices et peuvent donner des idées  d’amélioration pour les logiciels serveurs DNS classiques. On peut faire confiance à Google pour analyser leur efficacité.

Reste le troisième argument, la validité. Même s’il est cité en dernier, c’est sans doute le plus intéressant des trois, car il indique l’engagement de Google sur la qualité du service rendu, et surtout explicite leur refus de recourir à un service « menteur », une tendance parasite récente et pénible chez les mauvais fournisseurs. Là encore, la question ne se poserait pas pour un cache local.

Enfin, on peut également faire confiance à Google pour effectuer des statistiques d’usage sur les noms référencés par les requêtes leur parvenant, et pour les exploiter. Le sujet est soigneusement éludé par leur billet d’annonce.

Petite cerise sur le gâteau, l’adresse IPv4 du service Google : 8.8.8.8. Très joli. On attend maintenant un équivalent en IPv6 tout aussi décoratif.

En conclusion, Google propose donc ce qui pourrait s’imposer comme le meilleur service « ouvert » de DNS récursif actuel. Cela ne vaut certainement pas un bon service récursif « privé », mais cela aura au moins le mérite d’améliorer ce qui est disponible en « bas de gamme ». Même si l’on ne s’en sert pas, on peut au moins en saluer la louable intention.