LinuxFr.org : les journaux  -  Comment, via un résolveur DNS alternatif, se protéger : 1) de la censure et 2) du pistage ?

 -  21 mai - 

Bonsoir nal,

Dans la famille gens-réputés-de-confiance-et-s-y-connaître, après Stéphane Bortzmeyer, vous avez vu passer ici l'info que c'est au tour de FDN de proposer gracieusement le DoH ou DNS over HTTPS.

Vous savez aussi que Firefox permet facilement d’activer le DNS via HTTPS et de choisir le résolveur DoH de son choix.

Vous vous souvenez peut-être que Firefox a expérimenté la chose main dans la main avec Cloudflare, visiblement en pointe sur ces sujets. Mais que bien que les intentions de Cloudflare semblent correctes a priori, cela n'en reste pas moins une entité 1°) commerciale 2°) américaine : deux raisons qui peuvent faire hésiter à leur confier notre navigation web.

Cependant il peut être intéressant, d'un point de vue technique, de suivre les solutions technologiques proposées par Cloudflare, et ce d'autant qu'ils font des efforts pour vulgariser tout ça. Ainsi ils présentent une page de test de 4 fonctionnalités :

• Secure DNS
• DNSSEC
• TLS 1.3
• Encrypted Client Hello ou ECH (anciennement Secure SNI) [1]

Pour autant, si j'ai bien compris, toutes les fonctionnalités ne sont pas liées à DoH.
Ainsi avec le résolveur DoH de Stéphane Bortzmeyer, ladite page de test m'en valide 2 : DNSSEC et TLS 1.3 (J'obtiens un point d'interrogation pour Secure DNS et un échec pour ECH/Secure SNI). Ensemble ces deux confirment l'activation de DoH si j'ai bien compris. Si je prends celui de Cloudflare, les 4 sont validées. Mais je ne saisis pas ce qu'apportent Secure DNS et ECH.

Quelqu'un pourrait-il expliciter les différents mécanismes ?
Je crois pour cela qu'il serait intéressant de distinguer 2 types de tiers – aux pouvoirs différents – dont on voudrait se cacher : notre FAI ; tout autre tiers ?

1) Ainsi, si j'ai bien compris, avec le navigateur et un site configurés pour HTTPS, il est possible de savoir que vous avez consulté tel site mais pas telle page de tel site. Ni ce que vous avez écrit sur tel site. https://www.eff.org/https-everywhere/faq/#what-does-https-everywhere-protect-me-against
Est-ce que cela s'applique également à notre FAI, ou celui-ci peut connaître précisément la page visitée malgré la configuration HTTPS ?

2) a/ Avec DoH, il n'est plus possible, sauf pour le résolveur choisi, de savoir quel site est visité ? À l'exception cependant de notre FAI peut-être ?
J'ai ainsi vu que Bouygues Telecom censurerait l'accès aux sites de ses abonnés malgré le paramétrage d'un résolveur DNS alternatif… https://nitter.fdn.fr/JohnShaftFr/status/807600947639762944
Auquel cas, pour masquer sa navigation à son FAI, il faut utiliser les traditionnels « tunnels » (VPN, réseau Tor) ?

b/ J'ai fait le test d'accéder à un site censuré auprès des 4 grands FAI nationaux (uptobox.com) avec un résolveur DoH alternatif. Firefox me répond que « Hum, nous ne parvenons pas à trouver ce site »… Qu'en conclure ? Je précise que mon FAI est Bouygues Telecom.

3) ECH ?

Merci d'avance de m'aider à y voir plus clair…

[1] Pour activer cette fonctionnalité en développement (spécification en cours de finalisation auprès de l'IETF) dans Firefox, aller dans about:config et passer network.dns.echconfig.enabled et – si ce n'est pas fait par défaut – network.dns.use_https_rr_as_altsvc à true. Explications ici, méta-bogue pour Firefox là. Tester ici ou là.

Commentaires : voir le flux Atom ouvrir dans le navigateur

par antistress