Sécurité renforcée pour l’Internet en Afrique : déploiement réussi de DNSSEC pour .bf et .cm

Auteur : Yazid AKANHO, responsable de la relation avec la communauté technique, ICANN

Contributeurs :

1. Alain AINA, directeur général, services de renseignement numérique et consultant CDA pour les campagnes itinérantes DNSSEC.
2. Albert KAMGA, directeur de la normalisation et de la coopération, Agence Nationale des Technologies de l’Information et de la Communication (ANTIC), Cameroun.
3. Izaï TOE, secrétaire exécutif, Association Burkinabè des Domaines Internet (ABDI), Burkina Faso.

Les 3 et 8 avril respectivement, les domaines de premier niveau géographiques de code de pays du Burkina Faso (.bf) et du Cameroun (.cm) ont officiellement commencé à publier sur l’Internet global des versions de leurs fichiers de zone signées avec DNSSEC (extensions de sécurité du système des noms de domaine). DNSSEC est devenu opérationnel pour ces deux ccTLD à la suite de la publication de leurs clés dans la zone racine : le 23 avril pour .cm et le 30 avril pour .bf. Célébré par des cérémonies en ligne, ce jalon représente une avancée significative pour les deux ccTLD, ainsi que pour l’effort plus large visant à renforcer le système des noms de domaine (DNS) et la sécurité de l’Internet en Afrique.

Les déploiements ont été effectués avec le soutien de la campagne itinérante DNSSEC de la Coalition pour une Afrique numérique, un projet destiné à renforcer les capacités opérationnelles en matière de sécurité du DNS sur le continent. Les équipes des deux opérateurs de registre, aidés par le consultant de la campagne itinérante et l’ICANN, ont réussi à traduire les évaluations techniques en déploiements à grande échelle.

 

Capitaliser sur les acquis d’expériences précédentes

Aussi bien le Burkina Faso que le Cameroun avaient déjà participé à la campagne itinérante DNSSEC de 2014, en mai et en septembre respectivement.  À l’époque, aucun des deux opérateurs n’avait achevé le déploiement.

Le modèle actuel de campagne itinérante reflète les enseignements tirés de cette expérience précédente. Il propose un soutien technique, l’évaluation des infrastructures, des formations et des conseils opérationnels afin d’aider les opérateurs à passer de l’engagement initial à la mise en œuvre complète. Ce soutien accru s’est avéré essentiel à la réussite des deux déploiements.

 

Déploiement de DNSSEC au Burkina Faso

Le Burkina Faso a rejoint la campagne itinérante en juin 2023, peu après que le gestionnaire du ccTLD .bf, l’Autorité de Régulation des Communications Électroniques et des Postes (ARCEP), a fait appel à un nouvel opérateur de plateforme technique, l’Association Burkinabè des Domaines Internet (ABDI).

Une évaluation préliminaire menée en juin 2023 a identifié des domaines à améliorer au niveau de l’infrastructure et de la gestion. En juillet 2023, la campagne itinérante a facilité des activités en présentiel à Ouagadougou, à savoir :

• une journée de sensibilisation auprès de la communauté Internet locale ;
• deux journées de formation technique pratique avec les ingénieurs du registre, les fournisseurs d’accès à Internet (FAI), les fournisseurs d’hébergement et les équipes techniques du gouvernement ;
• une séance ciblée avec le gestionnaire et l’opérateur du ccTLD afin de mettre au point la méthodologie de déploiement de DNSSEC.

De juillet 2023 à mars 2025, l’ABDI a systématiquement :

• déployé un banc d’essai DNSSEC ;
• effectué de nombreuses procédures de signature de zone et de gestion de clés dans un environnement de test ;
• mis a jour l’infrastructure DNS et introduit des systèmes de surveillance ;
• préparé le système en direct pour la signature.

En avril 2025, le registre a commencé à servir le fichier de zone signé et après quelques semaines de surveillance, le ccTLD a réussi à placer son enregistrement de signataire de délégation (DS) dans la zone racine. Le travail se poursuit pour achever la déclaration de pratiques DNSSEC (DPS) et les processus opérationnels.

 

Déploiement de DNSSEC au Cameroun

La participation du Cameroun à la campagne itinérante a commencé en avril 2024, avec une évaluation de l’infrastructure et des opérations du ccTLD. Par la suite, en juin 2024, .cm avec quatre autres ccTLD (bf, .bw, .cv et .ng) ont participé à un atelier de cryptographie de cinq jours qui combinait des cours théoriques et pratiques. Une campagne itinérante DNSSEC de trois jours en présentiel a également été organisée à Yaoundé en août 2024. Elle a comporté :

• deux journées de séances pratiques avec des ingénieurs et le personnel technique DNS de l’opérateur de registre, des FAI, des fournisseurs d’hébergement et des responsables d’infrastructures gouvernementales ;
• une séance ciblée avec le registre ccTLD afin de mettre au point le plan de déploiement de DNSSEC.

Après la formation, l’équipe technique de l’Agence Nationale des Technologies de l’Information et de la Communication (ANTIC), le gestionnaire du ccTLD .cm :

• a déployé un banc d’essai DNSSEC ;
• a testé de manière détaillée différents scénarios de déploiement ;
• a amélioré l’infrastructure DNS suivant les recommandations découlant de l’évaluation.

Une équipe de projet de cinq spécialistes du DNS, de la gestion de l’infrastructure de gestion de clés publiques (PKI), des systèmes et de la réponse à des incidents, sous la coordination du directeur de la normalisation et de la coopération d’ANTIC, ont mené le travail en interne. Cette approche a permis à .cm de passer de l’étape de planification à l’étape de production de la mise en œuvre de DNSSEC en moins d’un an.

 

Un impact plus large

Les déploiements au Burkina Faso et au Cameroun montrent que même si la mise en œuvre de DNSSEC nécessite un soutien technique important, une préparation interne et une coordination solide sont tout aussi essentielles. Au Burkina Faso, les efforts se sont concentrés sur la mise en place de systèmes et de procédures de base. Au Cameroun, les structures existantes ont permis de faire avancer le projet plus rapidement.

Les évaluations préliminaires, qui ont donné lieu à une assistance technique élargie, et l’approche de déploiement plus structurée proposée dans le cadre du modèle actuel de campagne itinérante ont été des facteurs clés de réussite dans les deux cas.

Par leur travail, .bf et .cm contribuent aux efforts d’un groupe croissant de ccTLD africains engagés dans le renforcement de l’infrastructure de l’Internet. Leurs réalisations démontrent qu’avec un soutien ciblé et un engagement interne, des améliorations durables de la sécurité sont possibles et à la portée d’un plus grand nombre d’opérateurs de registres en Afrique et dans le monde.