La Fibre

Télécom => Logiciels et systèmes d'exploitation => Firefox Navigateurs web => Discussion démarrée par: vivien le 28 février 2020 à 18:31:08

Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: vivien le 28 février 2020 à 18:31:08
Mozilla active DNS over HTTPS (DoH) par défaut dans Firefox... aux états-unis

(https://lafibre.info/images/logo/202002_Firefox-DNS-Over-HTTPS-DoH.jpg)

Les utilisateurs de Firefox peuvent choisir entre deux résolveurs DNS DoH pré-configurés dans le navigateur : Cloudflare, paramétré par défaut, et NextDNS.

Cette activation par défaut ne concerne que les américains. Les utilisateurs Européens ne sont pas concernés. (Source : Blog Mozilla, le 25 février 2020) (https://blog.mozilla.org/blog/2020/02/25/firefox-continues-push-to-bring-dns-over-https-by-default-for-us-users/)

En Europe, l'activation de DNS over HTTPS (DoH) fait polémique en raison de régressions pour les sites bloqués par la justice (exemple: sites terroristes) ou en cas d'utilisation de DNS pour le contrôle parental (exemple: OpenDNS (https://www.opendns.com/) de Cisco par exemple).

Mozilla a choisit la voie du dialogue, afin que DoH ne contourne pas les blocages ordonnés par la justice (Mozilla intégrerait une liste de noms de domaines à bloquer. Problème, cette liste de noms de domaines que les FAI doivent bloquer est hautement confidentielle et ne peut pas être diffusée à Mozilla).

Extrait d'un article de NextINpact du 12 septembre 2019 (https://www.nextinpact.com/brief/firefox---premieres-activations-du-protocole-dns-over-https-dans-le-mois-9646.htm) :
Mozilla est au courant de ces problèmes et travaille déjà sur des solutions. Par exemple, désactiver DoH quand une solution de contrôle parental est détectée. Les FAI pourraient en outre fournir une liste de domaines bloqués, pour lesquels Firefox couperait automatiquement sa protection, ne permettant alors plus de court-circuiter ledit blocage.
Mais même si Firefox s’est attiré en premier les foudres d’un certain nombre d’acteurs, le phénomène n'est pas prêt de disparaître : Chrome va faire de même avec sa version 78 le mois prochain, là encore pour un très petit nombre d’utilisateurs. Les compromis ne font que commencer.

Édit: Le texte en gras a été modifié le 10 mars 2019 par Mozilla propose également aux fournisseurs d'accès qui le souhaiteraient d'ajouter son domaine « canary » à leur liste de blocage. DoH serait alors coupé en cas de détection d'un blocage du domaine., c'est ce que fait Orange (https://lafibre.info/navigateurs/doh-usa/msg736436/#msg736436).

Extrait d'un article de Developpez.com du 7 juillet 2019 (https://web.developpez.com/actu/268866/Fournir-un-DNS-plus-securise-ne-fait-pas-de-nous-des-mechants-repond-Mozilla-a-l-association-des-FAI-du-Royaume-Uni-au-sujet-du-DNS-over-HTTPS/) :
Mozilla insiste sur le fait que son objectif est de construire un Internet plus sûr et qu’elle milite pour une approche constructive sur les questions en rapport avec la sécurité lors des discussions avec les différentes « ;parties prenantes crédibles au Royaume-Uni ;», sans toutefois préciser si elle considérait l’ISPA comme tel.
L’éditeur de Firefox ne prévoit pas d’activer le DoH par défaut au Royaume-Uni. Cependant, son porte-parole a confié : « ;nous explorons actuellement des partenaires potentiels du DoH en Europe afin d’apporter cette importante fonctionnalité de sécurité à d’autres Européens de manière plus générale ;».
Titre: Tutoriel : Activer DNS over HTTPS dans Firefox
Posté par: vivien le 28 février 2020 à 18:31:31
Les fournisseurs de DNS over HTTPS :

HébergeurType de DNSLatence (depuis Paris)  URL DNS over HTTPS (DoH)
CloudFlarestandard1mshttps://cloudflare-dns.com/dns-query
CloudFlareDNS64 (il ne répond qu'en IPv6, logique)1mshttps://dns64.cloudflare-dns.com/dns-query
Google Public DNSstandard1mshttps://dns.google/dns-query
Google Public DNSDNS64 (il ne répond qu'en IPv6, logique)1mshttps://dns64.dns.google/dns-query
NextDNSstandard (incompatible IPv6)1mshttps://dns.nextdns.io/ cf https://my.nextdns.io/configuration/ pour la configuration
AdGuardstandard84mshttps://dns.adguard.com/dns-query
AdGuardmode "Family protection"84mshttps://dns-family.adguard.com/dns-query
CleanBrowsingmode "Security Filter" (incompatible IPv6)8mshttps://doh.cleanbrowsing.org/doh/security-filter/
CleanBrowsingmode "Family Filter" (incompatible IPv6)8mshttps://doh.cleanbrowsing.org/doh/family-filter/
CleanBrowsingmode "Adult Filter" (incompatible IPv6)8mshttps://doh.cleanbrowsing.org/doh/adult-filter/
OpenDNSstandard9mshttps://doh.opendns.com/dns-query
OpenDNSmode "FamilyShield"9mshttps://doh.familyshield.opendns.com/dns-query
Quad9 DNSstandard (Unsecured)1mshttps://dns10.quad9.net/dns-query
Quad9 DNSmode "Secure Recommended"1mshttps://dns.quad9.net/dns-query
Quad9 DNSmode "Secured"1mshttps://dns9.quad9.net/dns-query
Quad9 DNSmode "Secured w/ ECS (https://en.wikipedia.org/wiki/EDNS_Client_Subnet) support"1mshttps://dns11.quad9.net/dns-query
Switch Public DNSstandard26mshttps://dns.switch.ch/dns-query

Source : Wikipedia "Public recursive name server" (https://en.wikipedia.org/wiki/Public_recursive_name_server)
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: vivien le 28 février 2020 à 18:55:39
Pour les Français qui souhaitent activer DNS over HTTPS dans Firefox :

Il faut aller dans Préférences :
(https://lafibre.info/images/tuto/201911_firefox_activation_dns_over_https_1.png)

Tout en bas de la page il faut cliquer sur Paramètres pour ouvrir les paramètres réseaux.
(https://lafibre.info/images/tuto/201911_firefox_activation_dns_over_https_2.png)

Enfin en bas de la page, cocher "Activer le DNS via HTTPS" : Vous pouvez sélectionner Cloudflare ou rentrer une URL personnalisée ( du type https:// )
(https://lafibre.info/images/tuto/201911_firefox_activation_dns_over_https_3.png)

Vous pouvez configurer un autre fournisseur sélectionnant "Personnalisé" puis en rentrant l'URL DNS over HTTPS proposé plus haut.
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: vivien le 01 mars 2020 à 22:07:06
Concrètement, quand on active DNS over HTTPS dans Firefox, on utilise par défaut https://mozilla.cloudflare-dns.com/dns-query pour faire des requêtes DNS.

mozilla.cloudflare-dns.com étant un nom de domaine, il y a une résolution DNS classique pour trouver le bon nom de domaine. Demain des solutions autre pourraient être utilisées, comme un cache dans le navigateur pour ne pas être dépendant d'un DNS tiers pour activer DoH.

Voici les requêtes DNS et DoH au lancement de Firefox. Dans les captures Wireshark ci-dessous, j'ai filtré sur 4 éléments :
- DNS pour avoir les requêtes DNS classiques. Mon PC utilise le serveur 89.2.0.1 (ns1.numericable.net), étant abonné SFR sur le réseau Numericable.
- ip.addr==104.16.248.249 : La première IPv4 anycast du DNS CloudFlare
- ip.addr==104.16.249.249 : La seconde IPv4 anycast du DNS CloudFlare
- ip.addr==46.227.16.8 : L'IPv4 du site appelé, lafibre.info

Cliquer sur la capture Wireshark pour zoomer :
(https://lafibre.info/images/ssl/202002_wireshark_firefox73_dns_over_https_1.png) (https://lafibre.info/images/ssl/202002_wireshark_firefox73_dns_over_https_1.png)

On voit au lancement de Firefox quelques requêtes DNS classiques dont une vers mozilla.cloudflare-dns.com dont la réponse DNS (du serveur DNS de SFR étant abonné SFR) est donnée sur le paquet surligné en bleu.

Immédiatement une connexion TCP chiffrée avec TLS 1.3 est ouverte pour DoH. Cette connexion TCP reste ouverte et reçois les requêtes DNS émises par Firefox. SFR ne voit plus le contenu des requêtes DNS passer.
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: vivien le 01 mars 2020 à 22:13:32
Quand je lance la navigation sur https://lafibre.info, à T=0,00, deux requêtes DNS sont effectuées via DoH :
- Une requête A pour l'IPv4
- Une requête AAAA pour l'IPv6

On voit bien dans la capture ci-dessous :
- T=0,000 : Les deux requêtes DNS via DoH (taille de 109 et 140 octets, c'est presque la taille d'une requête DNS classique)
- T=0,008 : CloudFlare acquitte la réception de ma demande et lance le traitement DNS récursif classique.
- T=0,024 : CloudFlare envoie la réponse DNS
- T=0,024 : Le navigateur se connecte sur lafibre.info (IP: 46.227.16.8 )

Cliquer sur la capture Wireshark pour zoomer :
(https://lafibre.info/images/ssl/202002_wireshark_firefox73_dns_over_https_3.png) (https://lafibre.info/images/ssl/202002_wireshark_firefox73_dns_over_https_3.png)
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: vivien le 01 mars 2020 à 22:14:40
DNS over HTTPS (DoH) est une première étape pour la fin de la surveillance d'internet ou le blocage de sites internet.

(https://lafibre.info/images/ssl/logo_encrypted_sni.png)

La seconde étape est Encrypted SNI (abrégé eSNI), qui est une véritable bombe pour tous ceux qui bloquent des sites web via le SNI.

Le SNI (Server Name Indication) est une invention :
- relativement récente (SNI n'est par exemple pas supporté par Internet Explorer 8 sous Windows XP ou sur le navigateur d'Android 2)
- utilisé pour restreindre la neutralité d'internet
- dont le but premier est de permettre d'héberger plusieurs sites web en https sur une même IP. En effet sans SNI, le serveur ne connais pas le nom de domaine interrogé et ne peut donc pas présenté le bon certificat TLS. SNI est une extension du protocole TLS dans laquelle, le navigateur client indique le nom de l'hôte (hostname) avec lequel il tente de démarrer une négociation TLS. Le serveur lui retourne en échange le bon certificat TLS.

Malheureusement, SNI tout comme le DNS sont les deux portes utilisées pour brider Internet et restreindre le débit ou bloquer des sites web. DNS over HTTPS ferme une porte, mais si la seconde porte reste ouverte, cela ne sert à rien. Pour être complet, il existe une troisième porte, avec TLS v1.2 ou plus ancienne, le nom du certificat est en clair lors de la négociation TLS.

Je vous renvoie à l'article Encrypted SNI où la fin de la surveillance d'internet / bridage DPI (https://lafibre.info/cryptographie/encrypted-sni/) pour activer Encrypted SNI.

DoH étant un prérequis chez Mozilla pour eSNI (Encrypted SNI), bloquer le déploiement de DOH bloque le déploiement d'eSNI. Je ne sais pas pourquoi Mozilla à mis ce pré-requis, même si fermer une porte et laisser l'autre ouverte n'est pas forcément une bonne idée (sentiment de sécurité, alors que si c'est généralisé les industriels vont utiliser l'autre porte)

Le trio DoH + TLS 1.3 + Encrypted SNI a pour effet de rendre impossible pour un intermédiaire entre le navigateur et l’hébergeur de pouvoir savoir quel contenu est regardé et donc de faire un blocage. Ce n’est pas un effet de bord, mais l’objectif principal d’eSNI.

- DoH (DNS over HTTPS) est plutôt mûre techniquement et est implémenté ou en cours d’implémentation chez tous les acteurs (Microsoft et Apple ont aussi fait des annonces).
La problématique qui bloque l’activation par défaut de DoH est la problématique du filtrage ou non avec tous les impacts que cela peut avoir dans une démocratie ou dans une dictature.

- TLS 1.3 : Avec TLS 1.2 ou inférieur, il est possible de voir le certificat TLS qui est en clair lors de la négociation TLS et donc de récupérer le nom de domaine utilisé. TLS 1.3 qui est le successeur de TLS 1.2, est mûre techniquement et est implémenté ou en cours d’implémentation chez tous les acteurs de l'Internet au fure et à mesure que les plateforme d'hébergements web sont mis à jour.

- eSNI (Encrypted SNI) lui ne peut pas être considéré comme une technologie éprouvée. Il est encore classé comme «Intended status: Experimental »
Le premier navigateur a le supporter est Firefox depuis quelques semaines. L’activation se fait via des options cachées. Il y a peu de contenus eSNI disponibles (uniquement CLoudFlare ?). TLS 1.3 (qui cache les info du certificat) est un prérequis officiel pour eSNI, le titre complet à l’IETF est « Encrypted Server Name Indication for TLS 1.3 (https://datatracker.ietf.org/doc/draft-ietf-tls-esni/) ».  DoH est un prérequis chez Mozilla pour Encrypted SNI.

(https://lafibre.info/images/ssl/202002_firefox_activer_esni_3.png)

eSNI n’est pas prêt pour Chrome.

Exemple : Un pays ne peut plus taxer ou bloquer certains sites, comme souhaitait le faire le Bénin (ils sont revenu en arrière)
Citation de: vivien le 10 septembre 2018 à 11:26:53
Au Bénin, le gouvernement impose la fin de la neutralité en taxant les clients qui utilisent Youtube, Whatsapp, Facebook, Skype ou Viber !

Edit : voici l'offre de Moov Bénin
(https://lafibre.info/images/international/201809_Benin_TaxePasMesMo_Moov_1.jpg)

Enfin il y a un impact pour la transition IPv6 : Encrypted SNI bloque l’utilisation du NAT46. Il est impossible pour un opérateur de proposer un accès aux sites IPv6 only depuis une IPv4 (personne ne propose de NAT46 aujourd’hui mais c’est une des solution pour terminer la transition dans les entreprises, afin d’éteindre IPv4 sur Internet). Dans l’autre sens, accès aux sites IPv4 depuis une IPv6, le NAT64, l’adresse IPv4 est encodée dans l’adresse IPv6, le DNS64/NAT64 n’est donc pas gêné par Encrypted SNI.

On en parle dans Précisions, je ne suis pas un grand fan d'Encrypted SNI : Je pense que son adoption pourrait retarder l'extinction de l'IP4 sur Internet. (https://lafibre.info/cryptographie/encrypted-sni/msg730639/#msg730639)
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: vivien le 01 mars 2020 à 22:20:33
Si on reprend la capture Wireshark DoH réalisée plus haut, où Encrypted SNI n'est pas utilisé, on voit que lors de la connexion TCP chiffrée avec TLS 1.3 est ouverte pour DoH, le SNI mozilla.cloudflare-dns.com apparaît bien dans la requête envoyée par la navigateur (en rouge dans la conversation ci-dessous, 4ème ligne).

On ne voit par contre aucune information sur le certificat, grâce à l'utilisation de TLS 1.3. Tout est chiffré.

Cliquer sur l'image pour zoomer :
(https://lafibre.info/images/ssl/202002_wireshark_firefox73_dns_over_https_2.png) (https://lafibre.info/images/ssl/202002_wireshark_firefox73_dns_over_https_2.png)

La connexion à lafibre.info se fait par contre en TLS 1.2 et outre le SNI lafibre.info dans la requête émise en rouge par Firefox à la 4ème ligne, on voit ensuite dans la réponse en bleu du serveur que le nom de domaine apparaît en clair dans le certificat (c'est sur la ligne qui commence par 2004).

Cliquer sur l'image pour zoomer :
(https://lafibre.info/images/ssl/202002_wireshark_firefox73_dns_over_https_4.png) (https://lafibre.info/images/ssl/202002_wireshark_firefox73_dns_over_https_4.png)
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: decalage le 02 mars 2020 à 08:15:36
Si les FAI peuvent couper le DoH avec le domaine canari, ils vont le faire.

Donc c'est du flan cette histoire, seuls les geeks connaissant l'option avancée pourront la rendre effective.

Ça sera autre chose quand MS ajoutera le DoH à Windows.
Bon, mozilla ouvre la voie c'est déjà pas mal.
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: vivien le 02 mars 2020 à 09:19:57
« domaine canari » => Pour ceux qui se demandent comment désactiver DoH, dans le cadre d'une activation automatique de Mozilla (cela n'a aucun effet si c'est le choix du client qui a configuré manuellement DoH), voici l'explication de Mozilla :

Configurer les réseaux pour désactiver DNS via HTTPS

Chez Mozilla, nous croyons que DNS via HTTPS (DoH) est une fonctionnalité que tout un chacun devrait utiliser pour accroître la protection de sa vie privée. En chiffrant les requêtes DNS, DoH masque vos données de navigation à ceux qui se trouvent sur le chemin réseau qui va de vous à votre serveur de noms (DNS). Par exemple, utiliser les requêtes DNS standards sur un réseau public peut potentiellement révéler tous les sites web que vous visitez aux autres utilisateurs et utilisatrices de ce réseau comme à ses opérateurs.

Bien que nous aimerions encourager chacun à utiliser DoH, nous admettons qu’il y a quelques circonstances dans lesquelles DoH peut se révéler indésirable, à savoir :
- les réseaux qui ont installé un filtrage via le serveur DNS par défaut. C’est typiquement le cas pour installer le contrôle parental et pour bloquer l’accès à des sites web malicieux ;
- les réseaux qui répondent à des noms privés et/ou qui fournissent des réponses différentes de celles données publiquement. Par exemple, une entreprise peut n’exposer l’adresse d’une application utilisée par son personnel que sur son réseau interne.

Les réseaux peuvent signaler à Firefox que des fonctionnalités particulières comme celles exposées ci-dessus sont employées et qu’elles seraient désactivées si DoH était utilisé pour la résolution des noms de domaine. La vérification de ces signalements sera mise en œuvre dans Firefox dès que DoH sera activé par défaut pour tous les utilisateurs et utilisatrices. Les États-Unis en profiteront en premier à l’automne 2019. Si un utilisateur ou une utilisatrice a choisi d’activer manuellement DoH, le signal donné par le réseau est ignoré et les préférences utilisateur prévalent.

Les administrateurs et administratrices peuvent configurer leurs réseaux comme suit pour signaler que la résolution DNS locale a mis en œuvre des fonctionnalités particulières qui rendent leur réseau inadapté à l’utilisation de DoH :

Les requêtes DNS pour les enregistrements A et AAAA du domaine « use-application-dns.net » doivent répondre par NXDOMAIN plutôt que par l’adresse IP récupérée auprès du serveur faisant autorité.

Le domaine « use-application-dns.net » est désigné comme un « domaine canari ». Quelques fournisseurs de filtrage DNS existants proposent déjà de semblables domaines pour permettre aux utilisateurs et utilisatrices de vérifier le bon fonctionnement du filtrage. Ce nouveau domaine est différent car il est supposé être mis en place sur de nombreuses solutions de filtrage, et aussi consulté par des logiciels comme Firefox, plutôt que directement par les utilisateurs et utilisatrices. Ce mécanisme a été créé par Mozilla comme une mesure provisoire en attendant qu’un standard internet plus définitif pour signaler la présence d’un filtrage de contenu basé sur DNS puisse être approuvé.

En plus du signal du domaine canari décrit plus haut, Firefox exécute quelques vérifications de fonctionnalités réseau incompatibles avec DoH avant de l’activer pour un utilisateur ou une utilisatrice. Ces vérifications sont lancées au démarrage du navigateur et à chaque fois que le navigateur détecte qu’il a changé de réseau, ce qui se produit quand un ordinateur portable est utilisé à la maison, au travail et au café. Quand une quelconque de ces vérifications signale un problème potentiel, Firefox désactive DoH pour le reste de la session réseau, à moins que l’utilisateur ou l’utilisatrice ait activé la préférence « toujours utiliser DoH » comme mentionné plus haut.

Les vérifications supplémentaires effectuées pour le filtrage de contenu consistent à :
- effectuer la résolution de nom de domaines canari de quelques fournisseurs connus pour détecter un éventuel filtrage de contenu ;
- effectuer la résolution de nom des variantes « SafeSearch » de google.com et youtube.com pour déterminer si le réseau redirige vers elles ;
- sous Windows et macOS, détecter si le contrôle parental du système d’exploitation est activé.

Les vérifications supplémentaires effectuées pour des réseaux privés d’entreprise consistent à tester si :
- la préférence security.enterprise_roots.enabled de Firefox est positionnée sur true ;
- une stratégie d’entreprise est configurée.

Source : Support Mozilla (https://support.mozilla.org/fr/kb/configurer-reseaux-desactiver-dns-via-https)


Retour de dig pour le domaine « use-application-dns.net » quand le DNS over HTTPS est autorisé par l'opérateur :

(https://lafibre.info/images/ssl/202003_doh_canary_domain_use-application-dns.png)
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: doctorrock le 02 mars 2020 à 14:05:57
Tant que ca devient pas obligatoire, et qu'on peut toujours résoudre des noms classiquement, comme on le fait depuis 30 ans, c-a-d via le port 53 en UDP et TCP, moi, ca me va ^^

Ce serait cool de pas mettre des batons dans les roues à ceux qui utilisent leurs propres résolveurs (comme moi du coup) et qui n'en ont rien à carrer de Doh du coup.
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: Marco POLO le 02 mars 2020 à 21:05:10
@ Vivien: Merci pour ce tuto très complet.  (https://lafibre.info/images/smileys/@GregLand/ay.gif)
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: vivien le 02 mars 2020 à 22:04:53
Citation de: doctorrock le 02 mars 2020 à 14:05:57
Tant que ca devient pas obligatoire, et qu'on peut toujours résoudre des noms classiquement, comme on le fait depuis 30 ans, c-a-d via le port 53 en UDP et TCP, moi, ca me va ^^

Ce serait cool de pas mettre des batons dans les roues à ceux qui utilisent leurs propres résolveurs (comme moi du coup) et qui n'en ont rien à carrer de Doh du coup.

Non, cela ne deviendra pas obligatoire, tout comme https n'est pas obligatoire aujourd'hui : http fonctionne toujours même si il est de moins en moins utilisé.

Le protocole FTP fonctionne toujours, bien qu'il nécessite des développement spécifique pour passer les NAT et que tout soit en clair.

De plus, je te rassure, dans quelques années, il devrait être aussi simple de mettre en place un DoH que de mettre en place un résolveur DNS classique aujourd'hui.

Voici de la documentation pour mettre en place ton propre serveur DoH : https://www.bortzmeyer.org/doh-mon-resolveur.html

Je ne suis pas en mesure de savoir si le DoH va s'implémenter par défaut en Europe ou si il restera désactivé par défaut à cause de ses effets de bord.
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: vivien le 02 mars 2020 à 22:10:42
Citation de: vivien le 01 mars 2020 à 22:14:40
Le trio DoH + TLS 1.3 + Encrypted SNI a pour effet de rendre impossible pour un intermédiaire entre le navigateur et l’hébergeur de pouvoir savoir quel contenu est regardé et donc de faire un blocage. Ce n’est pas un effet de bord, mais l’objectif principal d’eSNI.

- DoH (DNS over HTTPS) est plutôt mûre techniquement et est implémenté ou en cours d’implémentation chez tous les acteurs (Microsoft et Apple ont aussi fait des annonces).
La problématique qui bloque l’activation par défaut de DoH est la problématique du filtrage ou non avec tous les impacts que cela peut avoir dans une démocratie ou dans une dictature.

- TLS 1.3 : Avec TLS 1.2 ou inférieur, il est possible de voir le certificat TLS qui est en clair lors de la négociation TLS et donc de récupérer le nom de domaine utilisé. TLS 1.3 qui est le successeur de TLS 1.2, est mûre techniquement et est implémenté ou en cours d’implémentation chez tous les acteurs de l'Internet au fure et à mesure que les plateforme d'hébergements web sont mis à jour.

- eSNI (Encrypted SNI) lui ne peut pas être considéré comme une technologie éprouvée. Il est encore classé comme «Intended status: Experimental »
Le premier navigateur a le supporter est Firefox depuis quelques semaines. L’activation se fait via des options cachées. Il y a peu de contenus eSNI disponibles (uniquement CLoudFlare ?). TLS 1.3 (qui cache les info du certificat) est un prérequis officiel pour eSNI, le titre complet à l’IETF est « Encrypted Server Name Indication for TLS 1.3 (https://datatracker.ietf.org/doc/draft-ietf-tls-esni/) ».  DoH est un prérequis chez Mozilla pour Encrypted SNI.

Pour compléter sur les impacts du trio DoH / TLS 1.3 / eSNI, voici un exemple concret : Vous êtes dans le TGV avec votre PC Windows 10, connecté au WiFi proposé par la SNCF et vous souhaitez télécharger une application dans le Microsoft Store : Impossible !

Pourtant il vous reste du "crédit internet" :
(https://lafibre.info/images/ssl/201901_sncf_wifi_tgv.png)

Voici ce que cela donne avec Wireshark : Le serveur répond bien mais quand Microsoft présente le SNI sls.update.microsoft.com, le serveur ferme la connexion avec un Reset.

C'est le DPI (Deep packet inspection) de la SNCF qui bloque certains service probablement pour économiser de la bande passante, enfin en théorie, car Microsoft va recommencer à l'infinie, 10 fois par seconde à tenter de faire des mises à jour.

Toute mes captures Wireshark réalisés avec Windows 10 dans le TGV sont polluées par ces requêtes qui apparaissent pour télécharger une application, mais aussi pour mettre à jour l'anti-virus.

Cliquer sur la capture Wireshark pour zoomer :
(https://lafibre.info/images/ssl/201901_sncf_wifi_tgv_dpi_bloque _microsoft_1.png) (https://lafibre.info/images/ssl/201901_sncf_wifi_tgv_dpi_bloque _microsoft_1.png)
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: vivien le 02 mars 2020 à 22:19:34
Le DPI (Deep packet inspection) de la SNCF coupe bien entendu également les connexions http.

Voici un exemple en http vers ctldl.windowsupdate.com.

Le paquet bleu est la requête envoyé par Windows Update en http, et la pas de SNI mais le nom de domaine est précisé.
On voit ensuite une réponse du serveur.

Cliquer sur la capture Wireshark pour zoomer :
(https://lafibre.info/images/ssl/201901_sncf_wifi_tgv_dpi_bloque _microsoft_2.png) (https://lafibre.info/images/ssl/201901_sncf_wifi_tgv_dpi_bloque _microsoft_2.png)

Voici les échanges en mode texte : mauvaise nouvelle la réponse est un code 503, soit Service Unavailable

Quand on enregistre le texte de la réponse et qu'on le met dans un fichier html, voici la réponse envoyé par la SNCF :
(https://lafibre.info/images/ssl/201901_sncf_wifi_tgv_dpi_bloque _microsoft_3.png)

(https://lafibre.info/images/ssl/201901_sncf_wifi_tgv_dpi_bloque _microsoft_4.png)

Voici les conditions générales d'utilisation qui ne mentionnent pas l’impossibilité d'installer une nouvelle application, mais où il est bien indiqué "le Réseau ne prendra pas en charge les requêtes de mise à jour des applications installées sur les ordinateurs portables et assistants personnels des Utilisateurs"

(cliquez sur la miniature ci-dessous - le document est au format PDF)
(https://lafibre.info/images/ssl/201803_sncf_wifi_tgv_cgu_portail.png) (https://lafibre.info/images/ssl/201803_sncf_wifi_tgv_cgu_portail.pdf)
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: vivien le 02 mars 2020 à 22:22:15
Pour comparer, voici un exemple de requête http que la SNCF ne bloque pas :

Le Host est bien indiqué et bien qu'il appartiennent à écosystème du windows store, il n'est pas bloqué.

Cliquer sur la capture Wireshark pour zoomer :
(https://lafibre.info/images/ssl/201901_sncf_wifi_tgv_dpi_bloque _microsoft_5.png) (https://lafibre.info/images/ssl/201901_sncf_wifi_tgv_dpi_bloque _microsoft_5.png)

Voici des exemples de requêtes https que la SNCF ne bloque pas :

On voit bien le SNI à la 3ème ligne en rouge store-images.s-microsoft.com et le nom du certificat à la 12ème ligne en bleu : store-images.microsoft.com

Cliquer sur la capture Wireshark pour zoomer :
(https://lafibre.info/images/ssl/201901_sncf_wifi_tgv_dpi_bloque _microsoft_6.png) (https://lafibre.info/images/ssl/201901_sncf_wifi_tgv_dpi_bloque _microsoft_6.png)

D'autres exemple où le SNI n'est pas bloqué :
- c.s-microsoft.com (https://lafibre.info/images/ssl/201901_sncf_wifi_tgv_dpi_bloque _microsoft_7.png)
- assets.onestore.ms (https://lafibre.info/images/ssl/201901_sncf_wifi_tgv_dpi_bloque _microsoft_8.png)
- displaycatalog.mp.microsoft.com (https://lafibre.info/images/ssl/201901_sncf_wifi_tgv_dpi_bloque _microsoft_9.png)
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: vivien le 02 mars 2020 à 22:28:29
Voici d'autres exemples de SNI qui sont bloqués par la SNCF dans les TGV via du DPI...

Cliquer sur la capture Wireshark pour zoomer :
(https://lafibre.info/images/ssl/201901_sncf_wifi_tgv_dpi_bloque_porno_1.png) (https://lafibre.info/images/ssl/201901_sncf_wifi_tgv_dpi_bloque_porno_1.png)

Cliquer sur la capture Wireshark pour zoomer :
(https://lafibre.info/images/ssl/201901_sncf_wifi_tgv_dpi_bloque_porno_2.png) (https://lafibre.info/images/ssl/201901_sncf_wifi_tgv_dpi_bloque_porno_2.png)
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: vivien le 02 mars 2020 à 22:28:39
Cliquer sur la capture Wireshark pour zoomer :
(https://lafibre.info/images/ssl/201901_sncf_wifi_tgv_dpi_bloque_porno_3.png) (https://lafibre.info/images/ssl/201901_sncf_wifi_tgv_dpi_bloque_porno_3.png)

Cliquer sur la capture Wireshark pour zoomer :
(https://lafibre.info/images/ssl/201901_sncf_wifi_tgv_dpi_bloque_porno_4.png) (https://lafibre.info/images/ssl/201901_sncf_wifi_tgv_dpi_bloque_porno_4.png)
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: vivien le 02 mars 2020 à 22:33:54
Cliquer sur la capture Wireshark pour zoomer :
(https://lafibre.info/images/ssl/201901_sncf_wifi_tgv_dpi_bloque_porno_5.png) (https://lafibre.info/images/ssl/201901_sncf_wifi_tgv_dpi_bloque_porno_5.png)
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: Leon le 03 mars 2020 à 06:45:42
Dans le fond c'est intéressant, c'est un progrès...

Mais si pour se protéger contre les atteintes à la neutralité d'internet, il faut utiliser les services DNS-Over-HTTPS fournis par des entreprises qui elles mêmes n'ont pas pour habitude de respecter la vie privée ou la neutralité d'Internet (la liste citée ici (https://lafibre.info/navigateurs/doh-usa/msg735589/#msg735589)), je ne vois pas l'intérêt.

Bref, si quelqu'un connait un service DNS-Over-HTTPS vraiment neutre et clean, ça m'intéresse.

Leon.
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: kgersen le 03 mars 2020 à 07:07:22
Citation de: Leon le 03 mars 2020 à 06:45:42
Dans le fond c'est intéressant, c'est un progrès...

Mais si pour se protéger contre les atteintes à la neutralité d'internet, il faut utiliser les services DNS-Over-HTTPS fournis par des entreprises qui elles mêmes n'ont pas pour habitude de respecter la vie privée ou la neutralité d'Internet (la liste citée ici (https://lafibre.info/navigateurs/doh-usa/msg735589/#msg735589)), je ne vois pas l'intérêt.

Bref, si quelqu'un connait un service DNS-Over-HTTPS vraiment neutre et clean, ça m'intéresse.

Leon.

En quoi Google ou Cloudflare "ont pas pour habitude de respecter la vie privée ou la neutralité d'Internet" ?

Il y a il me semble un gros amalgame et une confusion entre collecte (que tout le monde fait) et "respect de la vie privée".

Pour ce qui est de la neutralité, les 2 , 1.1.1.1 et 8.8.8.8 sont bien 100% respectueux de la norme DNS justement.

Franchement et en étant 'impartial' un minimum j'ai plus confiance en un Google ou un Cloudflare dont le business et la survie dépendent justement qu'ils respectent mes données et ne fassent pas n'importe quoi avec qu'un Orange ou n'importe quel autre FAI donc le core business n'est pas lié a cela.

La R&D et les moyens engagés en sécurité chez Google et Cloudflare sont sans commune mesure avec ce que font les FAI ou n'importe qui d'autres d'ailleurs.

Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: nicox11 le 03 mars 2020 à 09:56:02
Citation de: doctorrock le 02 mars 2020 à 14:05:57
Tant que ca devient pas obligatoire, et qu'on peut toujours résoudre des noms classiquement, comme on le fait depuis 30 ans, c-a-d via le port 53 en UDP et TCP, moi, ca me va ^^

Ce serait cool de pas mettre des batons dans les roues à ceux qui utilisent leurs propres résolveurs (comme moi du coup) et qui n'en ont rien à carrer de Doh du coup.

En effet, tant que DoH n'est pas normalisé et utilisable par tous (donc avec son propre résolveur et pas cantonné à quelques multinationales), aucun intérêt. Il faudrait que chaque Top Domain l'implémente, et vu le temps que ça a pris pour DNS Sec, j'entends dans mon oreillette que DoH c'est pas pour demain.
Mais bon, ça arrivera peut-être un jour, wait and see comme on dit.
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: decalage le 03 mars 2020 à 10:23:58
Citation de: nicox11 le 03 mars 2020 à 09:56:02
Il faudrait que chaque Top Domain l'implémente, et vu le temps que ça a pris pour DNS Sec, j'entends dans mon oreillette que DoH c'est pas pour demain.
Quel rapport avec les top domain ?
DoH c'est juste entre le client et le résolveur, non ?
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: vivien le 03 mars 2020 à 10:30:38
Oui, DoH c'est juste entre le client et le résolveur.

Que chaque PC ait sont propre résolveur n'est pas forcément l'idéal, que ce soit en terme de confidentialité ou de charge pour les serveurs autoritaires.

Les résolveurs des FAI et acteurs qui propose des DNS publiques ont des caches qui permettent de fortement limiter le nombre de requêtes sur les serveurs autoritaires.
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: nicox11 le 03 mars 2020 à 10:33:05
J'avais bien compris, qu'actuellement c'était entre le client et le résolveur.
J'aurai imaginé que chaque top domain pouvait l'implémenter afin de tout chiffrer.

Domage qu'on est pas un chiffrement de bout en bout...
Car là on est obligé d'utiliser un grand résolveur commun, on s'éloigne de la décentralisation d'internet.
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: decalage le 03 mars 2020 à 10:44:46
Je vois pas l'utilité de chiffrer les échanges entre résolveurs et serveurs DNS, ces requêtes ne peuvent pas être liées à quelqu'un.
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: Gabi le 03 mars 2020 à 11:41:50
Citation de: decalage le 03 mars 2020 à 10:44:46
Je vois pas l'utilité de chiffrer les échanges entre résolveurs et serveurs DNS, ces requêtes ne peuvent pas être liées à quelqu'un.

Ca dépend, voir EDNS Client Subnet : https://en.wikipedia.org/wiki/EDNS_Client_Subnet ou https://www.bortzmeyer.org/7871.html
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: buddy le 03 mars 2020 à 11:42:40
Citation de: nicox11 le 03 mars 2020 à 10:33:05
Car là on est obligé d'utiliser un grand résolveur commun, on s'éloigne de la décentralisation d'internet.

C'est lequel le grand résolveur commun ?
parce qu'il y en a plein quand même des résolveurs DNS.
Ceux de ton FAI + ceux "ouverts" Google, FDN, Open DNS, Cloudflare, Quad9, ...
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: kgersen le 03 mars 2020 à 12:00:29
au fait, https://mastodon.gougere.fr/@bortzmeyer/103721294417248265

--> le jour ou "Mozilla activera DNS over HTTPS par défaut dans Firefox" en France, chez Orange ca ne marchera pas automatiquement, il faudra le forcer.
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: vivien le 03 mars 2020 à 13:09:42
Voici les meilleurs échanges de ce fil Mastodon, lancé par Stéphane Bortzmeyer (lien vers la biographie Wikipedia de Stéphane Bortzmeyer (https://fr.wikipedia.org/wiki/St%C3%A9phane_Bortzmeyer) pour ceux qui ne le connaissent pas) :

(https://lafibre.info/images/ssl/202002_Stephane_Bortzmeyer_DoH.png)

Certains pensent que Orange fait ça pour « on veut collecter des données sur nos utilisateurs », personnellement, je pense que Orange fait ça en attendant la concertation promis par Mozilla :
Citation de: vivien le 28 février 2020 à 18:31:08
Les FAI pourraient en outre fournir une liste de domaines bloqués, pour lesquels Firefox couperait automatiquement sa protection, ne permettant alors plus de court-circuiter ledit blocage.

Il est probable que Orange a configuré des noms privés et/ou qui fournissent des réponses différentes de celles données publiquement. Par exemple, pour l’accès à l'espace client.
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: vivien le 03 mars 2020 à 13:33:30
Comment voir si votre FAI bloque une hypothétique activation par défaut du DNS over HTTPS ?

C'est simple, un simple ping doit répondre : ping use-application-dns.net

Si DoH est autorisé, vous avez une réponse :
$ ping use-application-dns.net
PING use-application-dns.net (63.245.208.212) 56(84) bytes of data.
64 bytes from spidermonkey.dev (63.245.208.212): icmp_seq=1 ttl=55 time=153 ms
64 bytes from spidermonkey.dev (63.245.208.212): icmp_seq=2 ttl=54 time=153 ms
64 bytes from spidermonkey.dev (63.245.208.212): icmp_seq=3 ttl=55 time=153 ms
64 bytes from spidermonkey.dev (63.245.208.212): icmp_seq=4 ttl=54 time=153 ms

Si DoH est interdit, vous n'avez pas de réponse :
[je veut bien le retour d'un ping réalisé depuis le FAI orange]

Voici l'enregistrement DNS de use-application-dns.net par défaut (DoH autorisé)
(https://lafibre.info/images/ssl/202003_doh_canary_domain_use-application-dns.png)
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: Gabi le 03 mars 2020 à 15:11:29
En partage de connexion depuis un mobile sur la 4G Sosh:


 xxx@xxx ~ dig use-application-dns.net

; <<>> DiG 9.10.6 <<>> use-application-dns.net
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN, id: 2934
;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 1

;; QUESTION SECTION:
;use-application-dns.net.   IN   A

;; ADDITIONAL SECTION:
mozilla.      172686   IN   SOA   ns1.orange.fr. postmaster.wanadoo.com. 2019110601 216000 3600 3600000 172800

;; Query time: 44 msec
;; SERVER: 2a01:cb01:1069:811c::cd#53(2a01:cb01:1069:811c::cd)
;; WHEN: Tue Mar 03 15:09:12 CET 2020
;; MSG SIZE  rcvd: 119

(https://lafibre.info/images/ssl/202003_doh_canary_domain_use-application-dns_orange.png)
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: Marco POLO le 03 mars 2020 à 16:29:39
Citation de: vivien le 03 mars 2020 à 10:30:38
...Que chaque PC ait sont propre résolveur n'est pas forcément l'idéal, que ce soit en terme de confidentialité ou de charge pour les serveurs autoritaires...
Veux-tu dire que, dans le cas où on programme les DNS de Cloudflare dans son PC serait un handicap si on active DoH et ESNI ?  (https://lafibre.info/images/smileys/@GregLand/cs.gif)
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: doctorrock le 03 mars 2020 à 16:34:25
Citation de: vivien le 03 mars 2020 à 10:30:38
Que chaque PC ait sont propre résolveur n'est pas forcément l'idéal, que ce soit en terme de confidentialité ou de charge pour les serveurs autoritaires.

Mais que chaque foyer / entreprise, ait son résolveur ; reste une bonne solution intermédiaire .
Enfin c'est ce que j'applique chez moi, mais je sais faire oui , pas le cas de tout le monde j'avoue.
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: buddy le 03 mars 2020 à 16:44:09
Citation de: Marco POLO le 03 mars 2020 à 16:29:39
Veux-tu dire que, dans le cas où on programme les DNS de Cloudflare dans son PC serait un handicap si on active DoH et ESNI ? 
Je pense que tu confonds personnaliser le "Serveur DNS" qu'utilise le PC et avoir son propre résolveur DNS @ home.
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: Gabi le 03 mars 2020 à 16:47:30
Citation de: doctorrock le 03 mars 2020 à 16:34:25
Mais que chaque foyer / entreprise, ait son résolveur ; reste une bonne solution intermédiaire .
Enfin c'est ce que j'applique chez moi, mais je sais faire oui , pas le cas de tout le monde j'avoue.

Avoir son propre résolveur récursif chez soi c'est bien, mais ça n'apporte pas grand chose sur le plan de la vie privée : le réseau de ton FAI verra toujours passer le requêtes entre ton résolveur privé et les serveurs racines.

DoH, c'est une solution qui a son utilité quand on n'a pas confiance dans le réseau d'accès : celui de mon FAI, de mon entreprise, de mon université...
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: doctorrock le 03 mars 2020 à 16:52:14
Citation de: Gabi le 03 mars 2020 à 16:47:30
Avoir son propre résolveur récursif chez soi c'est bien, mais ça n'apporte pas grand chose sur le plan de la vie privée : le réseau de ton FAI verra toujours passer le requêtes entre ton résolveur privé et les serveurs racines.

DoH, c'est une solution qui a son utilité quand on n'a pas confiance dans le réseau d'accès : celui de mon FAI, de mon entreprise, de mon université...

Ah , ouai , sur du public quoi, OK.
Parce que je n'imagine pas un Orange aller regarder ce que mon resolveur résout .... Ils ont un peu autre chose à foutre, passer leurs thunes ailleurs , et je ne suis pas de nature parano.
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: Marco POLO le 03 mars 2020 à 17:05:21
Citation de: buddy le 03 mars 2020 à 16:44:09
Je pense que tu confonds personnaliser le "Serveur DNS" qu'utilise le PC et avoir son propre résolveur DNS @ home.
Merci pour ta réponse: peux-tu m'expliquer quelle est la différence ? Merci d'avance.  (https://lafibre.info/images/smileys/Confus/Confus_77.gif)
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: Thornhill le 03 mars 2020 à 17:28:11
Citation de: Marco POLO le 03 mars 2020 à 17:05:21
quelle est la différence ?

https://www.bortzmeyer.org/dns-resolveurs-publics.html (https://www.bortzmeyer.org/dns-resolveurs-publics.html)
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: Steph le 03 mars 2020 à 17:59:24
Citation de: doctorrock le 03 mars 2020 à 16:52:14
Ah , ouai , sur du public quoi, OK.
Parce que je n'imagine pas un Orange aller regarder ce que mon resolveur résout .... Ils ont un peu autre chose à foutre, passer leurs thunes ailleurs , et je ne suis pas de nature parano.
Les DNS Orange sont menteurs sur réquisition judiciaire...
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: Marco POLO le 03 mars 2020 à 18:44:09
Citation de: Thornhill le 03 mars 2020 à 17:28:11
https://www.bortzmeyer.org/dns-resolveurs-publics.html (https://www.bortzmeyer.org/dns-resolveurs-publics.html)
Merci pour ce lien. Dans cette page, j'en ai trouvé un autre consacré particulièrement à ce sujet (Avoir son propre résolveur DNS ? (https://www.bortzmeyer.org/son-propre-resolveur-dns.html)), mais je dois admettre que leur lecture est quelque peu ardue pour un profane comme moi.  (https://lafibre.info/images/smileys/Confus/Confus_34.gif)
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: kgersen le 03 mars 2020 à 21:06:54
Citation de: doctorrock le 03 mars 2020 à 16:34:25
Mais que chaque foyer / entreprise, ait son résolveur ; reste une bonne solution intermédiaire .

non si tous les foyers/entreprises avaient leur propre résolveur les serveurs racines ne tiendraient pas le choc. Bien qu'il y en a plus d'un millier actuellement ( voir https://root-servers.org/ )  pour la planete entiere ce n'est pas suffisant si tout le monde utilise son propre résolveur.

DNS a été concu pour être distribué, hiérarchique et avec des résolveurs partagés.
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: hwti le 04 mars 2020 à 01:43:21
Si Firefox active le DoH par défaut, même si sa part de marché est réduite, le blocage par DNS risque de ne plus être considéré comme efficace par la justice. Le use-application-dns.net permettrait le garder le DOH désactivé par défaut et donc le statu quo actuel (blocage facile à contourner, mais considéré comme suffisant car la majorité des utilisateurs ne sait pas changer son DNS).

Les FAI n'ont probablement pas envie de devoir faire du filtrage via DPI, car ça coûterait plus cher (selon les décisions de justice, le blocage peut être à leur frais).
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: vivien le 04 mars 2020 à 06:58:01
Je pense que en 2020, avec l'arrivée d'Encrypted SNI dans quelques années, personne ne va investir sur du filtrage DPI, c'est une solution qui n'a pas d'avenir. (Je ne parle pas de l'aspect légal d'aller regarder dans le contenu des paquets, aujourd'hui en l'état actuel de la législation, cela semble problématique)

Pour moi, il me semble que Mozilla est prêt à désactiver DoH pour une liste de nom de domaines bloqués par la justice.

Ce serait alors le résolveur des FAI qui serait utilisé pour ces noms de domaines bloqués et on arriverait donc au même résultat.

La complexité de la chose vient du fait que la liste des noms de domaines bloqués en Europe varie de pays en pays et l'aspect liste confidentielle en France peut poser problème.
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: decalage le 04 mars 2020 à 08:15:20
Concernant la confidentialité, la liste des noms de domaine à bloquer peut être fournie sous forme d'empreintes sha-256 par exemple. Dans le même genre, Firefox et Chrome ont déjà une liste de unsafe sites qu'ils MAJ régulièrement.
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: Marco POLO le 04 mars 2020 à 19:53:35
Citation de: vivien le 04 mars 2020 à 06:58:01
Je pense que en 2020, avec l'arrivée d'Encrypted SNI dans quelques années, personne ne va investir sur du filtrage DPI, c'est une solution qui n'a pas d'avenir. (Je ne parle pas de l'aspect légal d'aller regarder dans le contenu des paquets, aujourd'hui en l'état actuel de la législation, cela semble problématique)

Pour moi, il me semble que Mozilla est prêt à désactiver DoH pour une liste de nom de domaines bloqués par la justice...
Petite question subsidiaire: lorsque DoH et Encrypted SNI sont activés, cela présente-t'il un problème lors de l'utilisation d'un VPN ?  (https://lafibre.info/images/smileys/@GregLand/cs.gif)
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: vivien le 04 mars 2020 à 20:12:11
Non, un VPN va juste déplacer le point de sortie de l'Internet.

Une petite partie de l'usage d'un VPN ne sera plus nécessaire quand tout l'internet sera en https avec TLS 1.3 et Encrypted SNI.

Une grande parie des usages du VPN, comme se cacher d'un site seront toujours présents.

Le trio DoH, TLS 1.3 et Encrypted SNI ne protège que contre les intrusions entre ton navigateur et le serveur. Il permet d'être sur que tu aura bien le bon contenu sans qu'il ait été modifié ou ralenti. Par contre les sites web verront toujours ton adresse IP.
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: Marco POLO le 04 mars 2020 à 20:34:05
@Vivien: Merci pour ta réponse très explicite.  (https://lafibre.info/images/smileys/@GregLand/ay.gif)
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: vivien le 08 mars 2020 à 15:13:20
L'Alpa (Association de lutte contre la piraterie audiovisuelle) a demandé le 5 mars 2019, une demande de déréférencement à Google sur une centaine de nom de domaines de sites de streaming illicites.

Il sera intéressant de tester ces nom de domaines avec et sans DoH.

A noter que la liste comporte des noms de domaines que la Fédération nationale des éditeurs de films (FNEF), le Syndicat de l’édition vidéo numérique (SEVN), l’Union des producteurs de cinéma (UPC) et le Centre national du cinéma (CNC) a ont obtenu le blocage DNS chez Bouygues Télécom, Free, Orange, SFR après un jugement du 16 janvier 2020 pour 18 mois, donc jusqu'au 16 septembre 2021.

Certains nom de domaines ne sont pas dans la décision de justice initiale, comme l'a révélé NextINpact le 6 mars 2020 (https://www.nextinpact.com/news/108761-lalpa-reclame-google-dereferencement-dune-centaine-sites-streaming.htm) (article de Marc Rees) :

(https://lafibre.info/images/ssl/202003_alpa_demande_dereferencement_a_google.png)
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: renaud07 le 08 mars 2020 à 16:22:23
Je viens d'en tester quelques uns. Sans DoH, pas de surprise ils sont bien bloqués. Avec le DoH, j'y accède sans problème.

Après faut voir si la configuration manuelle influe ou non. Puisque le domaine canary désactive le DoH entièrement. Je ne sais pas comment ils vont faire pour des domaines précis (liste intégrée ?)
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: decalage le 08 mars 2020 à 16:23:11
Déjà les résolveurs DNS de Bouygues ne censurent pas ces ndd apparemment.

Code: [Sélectionner]
> nslookup eztv.io nsabo1.bouyguesbox.fr
Serveur :   nsabo1.bouyguesbox.fr
Address:  194.158.122.10

Réponse ne faisant pas autorité :
Nom :    eztv.io
Addresses:  104.26.5.94
          104.26.4.94
Code: [Sélectionner]
> nslookup allostream.co nsabo1.bouyguesbox.fr
Serveur :   nsabo1.bouyguesbox.fr
Address:  194.158.122.10

Réponse ne faisant pas autorité :
Nom :    allostream.co
Address:  79.143.182.132
Code: [Sélectionner]
> nslookup annuaire-telechargement.best nsabo1.bouyguesbox.fr
Serveur :   nsabo1.bouyguesbox.fr
Address:  194.158.122.10

Réponse ne faisant pas autorité :
Nom :    annuaire-telechargement.best
Addresses:  2606:4700:3033::681b:b74a
          2606:4700:3033::681b:b64a
          104.27.183.74
          104.27.182.74
Faudrait tester avec un site pèdaufile ou nazzy, mais là j'en connais pas  ;D
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: hwti le 08 mars 2020 à 16:26:43
Citation de: vivien le 08 mars 2020 à 15:13:20
Il sera intéressant de tester ces nom de domaines avec et sans DoH.
Pour l'instant ces noms de domaines ne sont bloqués que par les FAI, la décision de justice ne vise pas les DNS publics comme CloudFlare et Google. Donc bien sûr ce n'est pas plus bloqué en DoH, puisque ça dépend du fournisseur du service.

En revanche, il y a un autre article intéressant, au sujet du blocage du streaming d'événements sportifs : https://www.nextinpact.com/news/108759-streaming-comment-va-sorganiser-lutte-contre-piratage-manifestations-sportives.htm.
Ils ont relevé deux amendements LR/LREM (quasi identiques, la source doit être commune) : http://www.assemblee-nationale.fr/dyn/15/amendements/2488/CION-CEDU/AC53 / http://www.assemblee-nationale.fr/dyn/15/amendements/2488/CION-CEDU/AC897.
Là il est question de demander le blocage aux fournisseurs de noms de domaines, et aux navigateurs (je me demande comment ce serait techniquement possible, surtout dans le cadre du RGPD, puisqu'il faudrait localiser l'utilisateur en France pour appliquer le blocage).
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: renaud07 le 08 mars 2020 à 16:30:23
Chez orange ça dépend :
Code: [Sélectionner]
$ dig @81.253.149.5 annuaire-telechargement.best

; <<>> DiG 9.11.3-1ubuntu1.11-Ubuntu <<>> @81.253.149.5 annuaire-telechargement.best
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 4330
;; flags: qr rd ra; QUERY: 1, ANSWER: 2, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1460
; COOKIE: 5554caea134008313bad75ff5e650eba3c9393d73fc531d0 (good)
;; QUESTION SECTION:
;annuaire-telechargement.best. IN A

;; ANSWER SECTION:
annuaire-telechargement.best. 275 IN A 104.27.183.74
annuaire-telechargement.best. 275 IN A 104.27.182.74

;; Query time: 22 msec
;; SERVER: 81.253.149.5#53(81.253.149.5)
;; WHEN: Sun Mar 08 16:26:50 CET 2020
;; MSG SIZE  rcvd: 117
Code: [Sélectionner]
$ dig @81.253.149.5 allostream.co

; <<>> DiG 9.11.3-1ubuntu1.11-Ubuntu <<>> @81.253.149.5 allostream.co
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 64145
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1460
; COOKIE: 5021c9f4ea8b6a22a93b0fab5e650ec265ce698ed19bd310 (good)
;; QUESTION SECTION:
;allostream.co. IN A

;; ANSWER SECTION:
allostream.co. 5 IN A 127.0.0.1

;; Query time: 22 msec
;; SERVER: 81.253.149.5#53(81.253.149.5)
;; WHEN: Sun Mar 08 16:26:58 CET 2020
;; MSG SIZE  rcvd: 86
Code: [Sélectionner]
$ dig @81.253.149.5 eztv.io

; <<>> DiG 9.11.3-1ubuntu1.11-Ubuntu <<>> @81.253.149.5 eztv.io
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 32501
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1460
; COOKIE: 875b1101fe3bed41040599335e650ed8a7a722bc0e6d0fac (good)
;; QUESTION SECTION:
;eztv.io. IN A

;; ANSWER SECTION:
eztv.io. 5 IN A 127.0.0.1

;; Query time: 23 msec
;; SERVER: 81.253.149.5#53(81.253.149.5)
;; WHEN: Sun Mar 08 16:27:20 CET 2020
;; MSG SIZE  rcvd: 80
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: vivien le 08 mars 2020 à 21:23:00
Citation de: hwti le 08 mars 2020 à 16:26:43
Là il est question de demander le blocage aux fournisseurs de noms de domaines, et aux navigateurs (je me demande comment ce serait techniquement possible, surtout dans le cadre du RGPD, puisqu'il faudrait localiser l'utilisateur en France pour appliquer le blocage).

Mozilla gère le DoH par pays (aujourd'hui les États-Unis est le seul pays activé) et est prêt à désactiver le DoH pour certains noms de domaines afin que ces derniers soient bloqués par le DNS de l'opérateur.

Pour moi ce ne serait donc pas un blocage directement de la part de Mozilla, mais une désactivation de DoH pour retomber sur les DNS de l'opérateur et donc être bloqué. Ce comportement par défaut pourrait être modifié.
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: vivien le 10 mars 2020 à 10:56:53
Citation de: vivien le 28 février 2020 à 18:31:08
Extrait d'un article de NextINpact du 12 septembre 2019 (https://www.nextinpact.com/brief/firefox---premieres-activations-du-protocole-dns-over-https-dans-le-mois-9646.htm) :
Mozilla est au courant de ces problèmes et travaille déjà sur des solutions. Par exemple, désactiver DoH quand une solution de contrôle parental est détectée. Les FAI pourraient en outre fournir une liste de domaines bloqués, pour lesquels Firefox couperait automatiquement sa protection, ne permettant alors plus de court-circuiter ledit blocage.
Mais même si Firefox s’est attiré en premier les foudres d’un certain nombre d’acteurs, le phénomène n'est pas prêt de disparaître : Chrome va faire de même avec sa version 78 le mois prochain, là encore pour un très petit nombre d’utilisateurs. Les compromis ne font que commencer.

La partie en gras a été modifiée et remplacée par :

Mozilla propose également aux fournisseurs d'accès qui le souhaiteraient d'ajouter son domaine « canary » à leur liste de blocage. DoH serait alors coupé en cas de détection d'un blocage du domaine.

Echanges twitter sur cette mise à jour : Vincent Hermann @Vince_NXi (https://twitter.com/Vince_NXi/status/1237312372592840704) : Bonjour, il s'agissait d'une erreur de ma part. Mozilla proposait aux FAI qui le voulaient d'ajouter son domaine canary à leur liste de blocage, pour que DoH se coupe tout seul en cas de détection. Le texte a été corrigé, merci :)
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: vivien le 10 mars 2020 à 13:43:11
Un article du blog Microsoft intéressant sur l'arrivée prochaine de DNO over HTTPS dans Windows 10 :

Windows améliorera la confidentialité des utilisateurs avec DNS over HTTPS

Dans Windows Core Networking, nous souhaitons que votre trafic soit aussi privé que possible, rapide et fiable. Bien qu'il existe de nombreuses façons d'approcher et de protéger la confidentialité des utilisateurs, nous aimerions aujourd'hui parler de DNS chiffré. Pourquoi? Fondamentalement, parce que la prise en charge des requêtes DNS chiffrées dans Windows fermera l'une des dernières transmissions de noms de domaine en texte brut restantes dans le trafic Web commun.

Il ne sera pas facile de fournir une prise en charge DNS chiffrée sans casser la configuration DNS Windows existante. Cependant, chez Microsoft, nous pensons que «nous devons considérer la confidentialité comme un droit humain. Nous devons intégrer la cybersécurité de bout en bout dans la technologie».

Nous pensons également que l'adoption par Windows du DNS chiffré contribuera à rendre l'écosystème Internet global plus sain. Beaucoup pensent que le chiffrement du DNS nécessite une centralisation des serveurs DNS. Cela n'est vrai que si l'adoption du DNS chiffré n'est pas universelle. Pour maintenir le DNS décentralisé, il sera important que les systèmes d'exploitation clients (tels que Windows) et les fournisseurs de services Internet adoptent largement le DNS chiffré.

Avec la décision prise de développer la prise en charge du DNS chiffré, la prochaine étape consiste à déterminer quel type de chiffrement DNS Windows prendra en charge et comment il sera configuré. Voici les principes directeurs de notre équipe pour prendre ces décisions:

- Le DNS Windows doit être aussi privé et fonctionnel que possible par défaut sans avoir besoin d'une configuration utilisateur ou administrateur, car le trafic DNS Windows représente un instantané de l'historique de navigation de l'utilisateur. Pour les utilisateurs de Windows, cela signifie que leur expérience sera rendue aussi privée que possible par Windows dés la première utilisation. Pour Microsoft, cela signifie que nous rechercherons des opportunités de chiffrer le trafic DNS Windows sans changer les résolveurs DNS configurés définis par les utilisateurs et les administrateurs système.

- Les utilisateurs et administrateurs Windows soucieux de la confidentialité doivent être guidés vers les paramètres DNS même s'ils ne savent pas encore ce qu'est le DNS. De nombreux utilisateurs souhaitent contrôler leur confidentialité et rechercher des paramètres axés sur la confidentialité, tels que les autorisations des applications sur la caméra et l'emplacement, mais peuvent ne pas connaître les paramètres DNS ou comprendre pourquoi ils sont importants et peuvent ne pas les rechercher dans les paramètres de l'appareil.

- Les utilisateurs et administrateurs Windows doivent être en mesure d'améliorer leur configuration DNS avec le moins d'actions simples possible. Nous devons nous assurer que nous n'avons pas besoin de connaissances ou d'efforts spécialisés de la part des utilisateurs de Windows pour bénéficier d'un DNS chiffré. Les politiques d'entreprise et les actions d'interface utilisateur devraient être quelque chose que vous ne devez faire qu'une seule fois plutôt que de maintenir.

- Les utilisateurs et administrateurs Windows doivent autoriser explicitement le repli à partir du DNS chiffré une fois configuré. Une fois que Windows a été configuré pour utiliser le DNS chiffré, s'il ne reçoit aucune autre instruction des utilisateurs ou administrateurs de Windows, il doit supposer qu'il est interdit de revenir au DNS non chiffré.

Sur la base de ces principes, nous prévoyons d'adopter DNS sur HTTPS (ou DoH) dans le client DNS Windows. En tant que plate-forme, Windows Core Networking cherche à permettre aux utilisateurs d'utiliser les protocoles dont ils ont besoin, nous sommes donc ouverts à d'autres options telles que DNS sur TLS (DoT) à l'avenir. Pour l'instant, nous priorisons le support du DoH comme le plus susceptible de fournir une valeur immédiate à tout le monde. Par exemple, DoH nous permet de réutiliser notre infrastructure HTTPS existante.

Pour notre premier jalon, nous commencerons par un changement simple: utiliser DoH pour les serveurs DNS que Windows est déjà configuré pour utiliser. Il y a maintenant plusieurs serveurs DNS publics qui prennent en charge DoH, et si un utilisateur Windows ou un administrateur de périphérique en configure un aujourd'hui, Windows utilisera simplement le DNS classique (sans chiffrement) sur ce serveur. Cependant, comme ces serveurs et leurs configurations DoH sont bien connus, Windows peut automatiquement mettre à niveau vers DoH tout en utilisant le même serveur. Nous pensons que cette étape a les avantages suivants:

- Nous n'apporterons aucune modification au serveur DNS qui a été configuré pour par l'utilisateur ou le réseau. Aujourd'hui, les utilisateurs et les administrateurs décident du serveur DNS à utiliser en choisissant le réseau auquel ils se joignent ou en spécifiant directement le serveur; cette étape ne changera rien à cela. De nombreuses personnes utilisent le serveur DNS du FAI ou le filtrage de contenu via un serveur DNS public pour faire des choses comme bloquer les sites Web offensants. Changer silencieusement les serveurs DNS approuvés pour faire des résolutions Windows pourrait contourner ces contrôles par inadvertance et frustrer nos utilisateurs. Nous pensons que les administrateurs d'appareils ont le droit de contrôler où va leur trafic DNS.

- De nombreux utilisateurs et applications qui souhaitent bénéficier de la confidentialité commenceront à en bénéficier sans avoir à connaître le DNS. Conformément au principe 1, les requêtes DNS deviennent plus privées sans aucune action des applications ou des utilisateurs. Lorsque les deux points de terminaison prennent en charge le chiffrement, il n'y a aucune raison d'attendre la permission d'utiliser le chiffrement !

- Nous pouvons commencer à voir les défis liés à l'application de la ligne sur la préférence de l'échec de la résolution au repli non chiffré. Conformément au principe 4, cette utilisation DoH sera appliquée de sorte qu'un serveur confirmé par Windows pour prendre en charge DoH ne sera pas consulté via le DNS classique. Si cette préférence pour la confidentialité par rapport à la fonctionnalité provoque une perturbation dans les scénarios Web courants, nous le saurons tôt.

Dans les prochaines étapes, nous devrons créer des moyens plus respectueux de la vie privée pour que nos utilisateurs découvrent leurs paramètres DNS dans Windows et rendent ces paramètres compatibles avec DoH. Cela donnera aux utilisateurs, aux administrateurs de périphériques et aux administrateurs d'entreprise la possibilité de configurer explicitement les serveurs DoH.

Pourquoi annoncer nos intentions avant que DoH ne soit disponible pour Windows Insiders ? Le DNS chiffré étant de plus en plus populaire, nous avons estimé qu'il était important de clarifier nos intentions le plus tôt possible. Nous ne voulons pas que nos clients se demandent si leur plateforme de confiance adoptera ou non des normes de confidentialité modernes.

Si vous êtes intéressé à rejoindre la conversation plus large de l'industrie sur le chiffrement du DNS, consultez l'un des groupes de travail de l'IETF travaillant avec le DNS (ABCD (https://datatracker.ietf.org/wg/abcd/about/), Apps Doing DNS (https://datatracker.ietf.org/wg/add/about/), DNSOP (https://datatracker.ietf.org/wg/dnsop/about/), DPRIVE (https://datatracker.ietf.org/wg/dprive/about/)) ou Encrypted DNS Deployment Initiative (https://www.encrypted-dns.org/).

Source : Blog Microsoft (https://techcommunity.microsoft.com/t5/networking-blog/windows-will-improve-user-privacy-with-dns-over-https/ba-p/1014229), le 17 novembre 2019, par Tommy Jensen, Ivan Pashov et Gabriel Montenegro. Traduction rapide réalisée par Vivien Guéant.
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: decalage le 12 mars 2020 à 18:29:18
C'est marrant de voir que Microsoft choisi DNS over HTTPS et Google a déjà intégré DNS over TLS dans Android depuis 2 ans. Port 443 contre port 853, the fight!
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: vivien le 12 mars 2020 à 18:35:04
Le port 853 est bloqué dans de nombreux réseaux donc on sait que ce n'est pas la solution.
Google aussi implémente DoH.

Utiliser le port 443 permet d'être discret quand Encrypted SNI sera présent.
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: decalage le 12 mars 2020 à 18:52:31
DoH natif sur Android ? Source ?
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: vivien le 12 mars 2020 à 20:07:13
Sur Chrome au moins.

Google a déjà son résolveur DNS public compatible DoH et il a déjà développé les API (exemple (https://developers.google.com/speed/public-dns/docs/doh/json)).

Bref, le support de DoH va arriver chez Google, Microsoft, Apple et Linux (systemd-resolved).
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: Marco POLO le 12 mars 2020 à 22:33:08
Citation de: vivien le 12 mars 2020 à 18:35:04
...Utiliser le port 443 permet d'être discret quand Encrypted SNI sera présent.
Salut Vivien,
Et comment avoir accès à ce port ?   (https://lafibre.info/images/smileys/@GregLand/cs.gif)
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: vivien le 13 mars 2020 à 07:29:08
Le port 443, c'est là où passe presque tout le trafic https.

Quand tu vois https dans ton navigateur, c'est le port 443 qui est utilisé.
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: kgersen le 13 mars 2020 à 09:07:00
Je n'ai pas vu d'annonces ou infos sur DoT pour Android.  quelqu'un a une source ?

En attendant on peut faire cela en installant une app (Intra ou Nebulo).
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: decalage le 13 mars 2020 à 09:52:48
Citation de: kgersen le 13 mars 2020 à 09:07:00
Je n'ai pas vu d'annonces ou infos sur DoT pour Android.  quelqu'un a une source ?

https://developer.android.com/about/versions/pie/android-9.0-changes-28 (https://developer.android.com/about/versions/pie/android-9.0-changes-28)
"Apps targeting Android 9 should honor the private DNS APIs. In particular, apps should ensure that, if the system resolver is doing DNS-over-TLS, any built-in DNS client either uses encrypted DNS to the same hostname as the system, or is disabled in favor of the system resolver."

https://developer.android.com/about/versions/10/features (https://developer.android.com/about/versions/10/features)
"Android 10 adds native support for specialized DNS lookups using both cleartext lookups and DNS-over-TLS mode."

La fonctionnalité DoH native sur Android n'est que spéculation.
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: kgersen le 13 mars 2020 à 10:02:02
désolé typo je voulais dire DoH ;) pour DoT on a un sujet déja je crois. J'utilise DoT tout les jours, ca marche bien sauf pour acceder a la BBox ;)
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: decalage le 13 mars 2020 à 10:21:53
Ben non justement il n'a jamais été question de DoH natif sur Android.
D'où ma remarque sur les approches différentes de MS et Google concernant le DNS privacy au niveau OS.

Vivien a consulté sa boule de cristal ( ;D humour) :
Citation de: vivien le 12 mars 2020 à 20:07:13
Bref, le support de DoH va arriver chez Google, Microsoft, Apple et Linux (systemd-resolved).
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: kgersen le 13 mars 2020 à 10:50:46
A mon avis Google n'est pas très chaud pour DoH...qui ne fait pas vraiment l'unanimité.

Autant expérimenter cela dans Chrome qui a des itérations fréquentes que dans Android qui a bien plus d'inertie dans les maj et plus d'intervenants impliqués.

Et rien n'empêche de faire du DoT sur le port 443..si c'est un souci de port filtré...
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: vivien le 13 mars 2020 à 11:02:57
Google Chrome a déjà un support expérimental du DoH implémenté. Il suffit d'aller sur chrome://flags/ et de chercher DNS

Secure DNS lookups
Enables DNS over HTTPS. When this feature is enabled, your browser may try to use a secure HTTPS connection to look up the addresses of websites and other web resources. Mac, Windows, Chrome OS, Android #dns-over-https

(https://lafibre.info/images/ssl/202003_chromium_support_doh2.png)

Le support n'est pas disponible partout : (copie d’écran ci-dessous avec Linux)
(https://lafibre.info/images/ssl/202003_chromium_support_doh.png)
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: willemijns le 13 mars 2020 à 14:59:32
J'aurais cru que la derniere version de FX active par défaut le DoH....vu le tintinmarre "grosse nouveauté" que les médias hi-tech nous disent de cela...........
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: kgersen le 13 mars 2020 à 17:26:34
Citation de: willemijns le 13 mars 2020 à 14:59:32
J'aurais cru que la derniere version de FX active par défaut le DoH....vu le tintinmarre "grosse nouveauté" que les médias hi-tech nous disent de cela...........

aux USA seulement, c'est dans le titre.
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: willemijns le 13 mars 2020 à 18:50:51
j'avais cru que c'etait lecas dans la version précédente... a moins qu'elle etait facultative alors ?
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: gundor le 23 avril 2020 à 09:16:25
Merci pour ce sujet, ainsi que toutes ces explications.

Sur mon réseau personnel j'ai depuis 6 mois installé sur raspberry, pi-hole, qui fait office de dhcp et server dns.

A la suite la lecture de ce sujet, j'ai voulu savoir si il était possible de faire du DoH avec pi-hole, et il s'avère que oui (https://docs.pi-hole.net/guides/dns-over-https/). C'est donc installé et fonctionnel, 70% des requêtes passent par le DOH, le reste est soit bloqué (8%), soit il passe par le cache.

Vu que l'Esni est encore au stade experimental, je pense qu'il va falloir du temps pour que ce type de suite l'intègre.

Merci encore. :)
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: vivien le 23 avril 2020 à 11:07:24
l'Esni nécessite une mise à jour du serveur web (ex: Apache) et est normalement indépendant du DoH, même si pour Firefox DoH est un pré-requis.
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: decalage le 23 avril 2020 à 12:31:33
Personnellement j'ai dû désactiver DoH et eSNI sur Firefox, ils me bloquaient la navigation par moments.
eSNI, y a des sites pas compatibles.
DoH, parfois les requêtes HTTP partent même pas, pas eu le temps de debug, j'ai désactivé.
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: vivien le 23 avril 2020 à 13:30:32
Je n'ai pas rencontré de problème avec DoH, même en entreprise avec intranet et nombreux nom de domaines interne à l'entreprise (DoH utilisait alors le DNS habituelle faute de réponse sur le DoH).

Je ne pense pas que mon DSI sait que l'on peut nous même activer DoH...
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: galixte le 23 juin 2020 à 00:43:31
Citation de: decalage le 23 avril 2020 à 12:31:33
Personnellement j'ai dû désactiver DoH et eSNI sur Firefox, ils me bloquaient la navigation par moments.
eSNI, y a des sites pas compatibles.
DoH, parfois les requêtes HTTP partent même pas, pas eu le temps de debug, j'ai désactivé.

Sans doute que dans Firefox pour la page about:config pour le paramètre : network.trr.mode sa valeur était définie sur 3.
0 - Valeur par défaut dans les installations Firefox standard (actuellement 5, ce qui signifie que DoH est désactivé) = Une valeur de 0 signifie qu'elle est désactivée et non utilisée.
1 - DoH est activé, mais Firefox choisit s'il utilise DoH ou un DNS régulier basé sur lequel il renvoie des réponses de requête plus rapides = Une valeur de 1 que Firefox utilise DNS natif ou TRR en fonction de ce qui est plus rapide.
2 - DoH est activé, et le DNS régulier fonctionne comme une sauvegarde = Une valeur de 2 utilise TRR par défaut, mais reviendra au résolveur natif si la résolution du nom échoue pour une raison quelconque.
3 - DoH est activé, et le DNS régulier est désactivé = Une valeur de 3 active le mode TRR uniquement. Seul le TRR est utilisé et il n'y a pas de fallback
4 - Une valeur de 4 l'exécute en mode shadow, ce qui signifie que TRR est exécuté en parallèle pour la collecte de données, mais que le résolveur natif est utilisé.
5 - Le DoH est désactivé

Sources :
https://www.zdnet.fr/pratique/pratique-comment-activer-dns-over-https-doh-dans-firefox-39887257.htm
https://www.developpez.com/actu/235739/DNS-over-HTTPS-Mozilla-estime-que-les-premiers-essais-ont-ete-reussis-et-va-etendre-le-test-a-d-autres-utilisateurs-de-Firefox/
https://wiki.mozilla.org/Trusted_Recursive_Resolver#network.trr.mode

Citation de: vivien le 23 avril 2020 à 13:30:32
Je n'ai pas rencontré de problème avec DoH, même en entreprise avec intranet et nombreux nom de domaines interne à l'entreprise (DoH utilisait alors le DNS habituelle faute de réponse sur le DoH).

Je ne pense pas que mon DSI sait que l'on peut nous même activer DoH...

Sans doute que la valeur définie du paramètre network.trr.mode est définie sur 2. Ce qui me parait être un bon compromis.
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: decalage le 23 juin 2020 à 13:35:32
Citation de: galixte le 23 juin 2020 à 00:43:31
Sans doute que dans Firefox pour la page about:config pour le paramètre : network.trr.mode sa valeur était définie sur 3.
Non, l'activation de DNS via HTTPS dans les options Firefox positionne cette valeur à 2.
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: decalage le 09 décembre 2020 à 14:49:14
Vous connaissez DoH et DoT, mais connaissez-vous ODoH ?  :P

Cloudflare et Apple travaillent sur le protocole Oblivious DoH (ODoH) avec l'IETF (https://web.developpez.com/actu/311105/Cloudflare-et-Apple-travaillent-sur-le-protocole-Oblivious-DoH-ODoH-avec-l-IETF-qui-s-appuie-sur-les-ameliorations-apportees-par-DNS-over-HTTPS-pour-mieux-proteger-les-donnees-des-internautes/) (developpez.com)

Improving DNS Privacy with Oblivious DoH in 1.1.1.1 (https://blog.cloudflare.com/oblivious-dns/) (blog.cloudflare.com)

En gros, un proxy est positionné entre le client et le résolveur.
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: kgersen le 09 décembre 2020 à 15:04:37
Citation de: decalage le 09 décembre 2020 à 14:49:14
Vous connaissez DoH et DoT, mais connaissez-vous ODoH ?  :P

Cloudflare et Apple travaillent sur le protocole Oblivious DoH (ODoH) avec l'IETF (https://web.developpez.com/actu/311105/Cloudflare-et-Apple-travaillent-sur-le-protocole-Oblivious-DoH-ODoH-avec-l-IETF-qui-s-appuie-sur-les-ameliorations-apportees-par-DNS-over-HTTPS-pour-mieux-proteger-les-donnees-des-internautes/) (developpez.com)

Improving DNS Privacy with Oblivious DoH in 1.1.1.1 (https://blog.cloudflare.com/oblivious-dns/) (blog.cloudflare.com)

En gros, un proxy est positionné entre le client et le résolveur.

y'a un sujet la: https://lafibre.info/cryptographie/odoh-oblivious-dns-dns-over-https-anonymise/
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: vivien le 29 mars 2021 à 21:44:13
Les sites bloqués par la justice concerne généralement les 4 plus grands opérateurs (Orange / SFR / Free / Bouygues Telecom) aujourd'hui.

Demain les serveurs DoH, notamment ceux proposés par défaut dans un navigateur pourraient y être également contraint (j'ai compris que l'acteur concerné pourrait être Mozilla et non directement CloudFlare).

« DNS over HTTPS » apparaît dans l’amendement du Sénat :

Projet de loi Respect des principes de la République (1ère lecture)
(n° 455 rect. , 454 , 448, 450)
27 mars 2021
     
AMENDEMENT présenté par Le Gouvernement ARTICLE 19

I. – Alinéa 2 Rédiger ainsi cet alinéa : 1° Au 8 du I de l’article 6, les mots : « L’autorité judiciaire peut prescrire en référé ou sur requête, à toute personne mentionnée au 2 ou, à défaut, à toute personne mentionnée au 1 » sont remplacés par les mots : « Le président du tribunal judiciaire, statuant selon la procédure accélérée au fond, peut prescrire, à toute personne susceptible d’y contribuer ;

II. – Alinéa 5, première phrase Remplacer les mots : "aux personnes mentionnées aux 1 ou 2 du I du même I" par les mots : "à toute personne susceptible d’y contribuer"

III. – Alinéa 8 Remplacer les mots : "l’autorité judiciaire peut être saisie, en référé ou sur requête, pour ordonner" par les mots : "le président du tribunal judiciaire, statuant selon la procédure accélérée au fond, peut prescrire"

Objet

Selon le 8 du I du 6 de la LCEN, l’autorité judiciaire a la possibilité de prescrire en référé ou sur requête, aux hébergeurs de sites internet (définis au 2 du I de l’article 6 de la LCEN) ou subsidiairement aux fournisseurs d’accès internet (définis au 1 du I de l’article 6 de la LCEN), toutes les mesures propres à prévenir un dommage ou à faire cesser un dommage causé par le contenu d'un service de communication au public en ligne. La procédure de droit commun, qui coexiste à ses côtés, permet au juge de prescrire la fermeture d’un site internet en référé (article 835 du code de procédure civile) ou sur requête (article 845 du code de procédure civile).

En l’état actuel du droit, le référé dont dispose le 8 du I de l’article 6 de la loi pour la confiance dans l’économie numérique (LCEN) ne permet plus de répondre efficacement aux demandes de fermeture des sites. Pour y remédier, il est nécessaire d’élargir le champ des acteurs que cette procédure vise et de moderniser les remèdes procéduraux qu’elle prescrit.

Concernant le champ des acteurs concernés, la procédure de l’actuel 8 du I de l’article 6 de la LCEN, qui vise les seuls FAI et hébergeurs, est trop restreinte. En effet, les récentes évolutions technologiques conduisent à la multiplication du type d’acteurs pouvant être utilement sollicités pour faire cesser une illicéité ; à titre d’exemple s’agissant d’empêcher l’accès à un site, l’émergence du nouveau protocole « DNS over HTTPS » (DoH) pourrait impliquer des acteurs tels que les exploitants de serveurs DoH. Il est dès lors nécessaire d’élargir le champ des acteurs visés par l’actuel 8 du I de l’article 6 de la LCEN à l’ensemble des acteurs ayant la possibilité de prendre des mesures pour prévenir ou faire cesser un dommage occasionné par le contenu d’un service, telles que par exemple le blocage d’un site internet ou le retrait d’un contenu.

Concernant les remèdes procéduraux, il est proposé de remplacer les procédures de référé et de requête de la LCEN par la procédure accélérée au fond prévue par le nouvel article 481-1 du code de procédure civile (CPC). Cette procédure contradictoire permet aux parties d’obtenir une décision au fond, et non provisoire, contrairement aux dispositifs procéduraux actuels : cette modification permet d’apporter une réponse plus adaptée aux parties en garantissant leur sécurité juridique, puisque les décisions de blocage de sites auront ainsi un caractère définitif et non plus provisoire comme c’est le cas actuellement. La décision fondée sur l’article 481-1 du CPC est susceptible d’appel, à moins qu’elle ne soit rendue par le premier président de la cour d’appel, mais est exécutoire à titre provisoire. Une telle modification de la 8 du I de l’article 6 de la LCEN n’impactera en rien la procédure de droit commun, qui continuera à cohabiter à ses côtés. Il convient toutefois de préciser que la saisine du président du tribunal selon la procédure accélérée au fond fera obstacle à une saisine du juge des référés selon les dispositions de droit commun (article 835 du code de procédure civile).

Enfin, dès lors que le 8 du I de l’article 6 de la LCEN est modifié, il convient de modifier la disposition de l’article 19 lui faisant écho et d’élargir son champ à « toute personne susceptible » de contribuer au blocage d’un site miroir.

Source : Senat.fr (https://www.senat.fr/amendements/2020-2021/455/Amdt_639.html)
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: vivien le 02 août 2021 à 10:12:32
Mozilla a déployé le DNS-over-HTTPS au Canada, en partenariat avec le fournisseur local de DoH CIRA, l'Autorité canadienne pour les enregistrements Internet

C'est à partir de la verrions 90.0.2 de Firefox, disponible depuis le 22 juillet 2021.

Firefox étend la confidentialité et la sécurité des internautes canadiens avec le déploiement DNS-over-HTTPS par défaut au Canada

L'ACEI se joint au programme Trusted Recursive Resolver de Firefox

Dans quelques semaines, Firefox commencera le déploiement par défaut du DNS sur HTTPS (ou DoH pour faire court) à ses utilisateurs canadiens en partenariat avec le fournisseur local de DoH CIRA, l'Autorité canadienne pour les enregistrements Internet. DoH deviendra d'abord une valeur par défaut pour 1% des utilisateurs canadiens de Firefox et atteindra progressivement 100% des utilisateurs canadiens de Firefox, augmentant ainsi leur sécurité et leur confidentialité en ligne. Cela fait suite au déploiement par défaut de DoH pour les utilisateurs américains en février 2020.

Dans le cadre du déploiement, l'ACEI se joint au programme Trusted Recursive Resolver (TRR) de Mozilla et devient la première autorité d'enregistrement Internet et la première organisation canadienne à fournir aux utilisateurs canadiens de Firefox des services de système de noms de domaine (DNS) cryptés privés et sécurisés.

« Le DNS non crypté est un problème majeur de confidentialité et fait partie de l'héritage de l'ancien Internet non sécurisé. Nous sommes très heureux de pouvoir nous associer à l'ACEI pour aider à résoudre ce problème pour nos utilisateurs canadiens et protéger une plus grande partie de leur historique de navigation par défaut.

Eric Rescorla, directeur technique de Firefox : « La protection de la vie privée des Canadiens est un élément clé du rétablissement de la confiance sur Internet. Notre objectif est de couvrir le plus de Canadiens possible avec le Bouclier canadien, ce qui signifie trouver des partenaires partageant les mêmes idées et nos valeurs. Nous sommes fiers d'être le premier participant canadien au programme Trusted Recursive Resolver (TRR) et sommes toujours à la recherche de nouvelles façons d'étendre la portée du Bouclier canadien afin d'améliorer la confidentialité des Canadiens. 

Byron Holland, président et chef de la direction, CIRA : Une fois inscrits, les utilisateurs de Firefox situés au Canada verront apparaître un panneau de terminologie (voir capture d'écran ci-dessous) qui leur demandera d'approuver ou de désactiver la protection DoH. Lorsque vous accédez à Paramètres dans le menu des paramètres de Firefox, puis faites défiler jusqu'à la section Paramètres réseau et cliquez sur le bouton Paramètres réseau, une boîte de dialogue s'ouvre. Les utilisateurs canadiens de Firefox pourront confirmer que le « CIRA Canadian Shield » est activé en regardant au bas de la boîte de dialogue. Ils auront également la possibilité de choisir Cloudflare ou NextDNS comme résolveur récursif de confiance alternatif.

Les utilisateurs de Firefox au Canada verront un panneau leur indiquant que leurs requêtes DNS sont cryptées et acheminées via un fournisseur DNS sur HTTPS qui a rejoint le programme Trusted Recursive Resolver de Mozilla :.
(https://lafibre.info/images/ssl/202107_firefox_activation_DoH.png)

Depuis plus de 35 ans, le DNS est un mécanisme clé pour accéder aux sites et aux services sur Internet. Fonctionnant comme le carnet d'adresses Internet, DNS traduit les noms de sites Web, comme Firefox.com et cira.ca, en adresses Internet qu'un ordinateur comprend afin que le navigateur puisse charger le bon site Web.

Depuis 2018, Mozilla, CIRA et d'autres intervenants de l'industrie travaillent au développement, à la normalisation et au déploiement d'une technologie appelée DNS sur HTTPS (ou DoH). DoH aide à protéger l'activité de navigation contre l'interception, la manipulation et la collecte au milieu du réseau en cryptant les données DNS.

Le cryptage des données DNS avec DoH est la première étape. Une deuxième étape nécessaire consiste à exiger que les entreprises qui traitent ces données aient mis en place des règles appropriées, comme celles décrites dans le programme RTR de Mozilla. Ce programme vise à standardiser les exigences dans trois domaines : limiter la collecte et la conservation des données du résolveur, assurer la transparence de toute rétention de données qui se produit et limiter toute utilisation potentielle du résolveur pour bloquer l'accès ou modifier le contenu. En combinant la technologie DoH avec des exigences opérationnelles strictes pour ceux qui la mettent en œuvre, les participants font un pas important vers l'amélioration de la confidentialité des utilisateurs.

L'ACEI est le dernier résolveur et la première autorité d'enregistrement Internet à rejoindre le programme TRR de Firefox , rejoignant Cloudflare, NextDNS et Comcast . Mozilla a commencé le déploiement du DNS crypté sur HTTPS (DoH) par défaut pour les utilisateurs de Firefox basés aux États-Unis en février 2020, mais a commencé à tester le protocole en 2018 et DoH est disponible dans le monde entier pour les utilisateurs de Firefox qui choisissent de l'activer.

DoH n'est qu'une des nombreuses protections de confidentialité que nous fournissons à nos utilisateurs, comme la protection renforcée contre le suivi par défaut dans Firefox et le VPN Mozilla .

SOurce : Blog de Mozilla (https://blog.mozilla.org/en/mozilla/news/firefox-by-default-dns-over-https-rollout-in-canada/), le 8 juillet 2021
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: vivien le 03 mars 2022 à 15:47:22
Étude de l'ICANN de mars 2022 sur les résolveurs DNS utilisés dans l'Europe :

Le rapport donne de nombreuses statistiques - sans surprise Google est le plus utilisé des serveurs DNS publics - et le rapport liste les 32 serveurs DNS publics existants)

(cliquez sur la miniature ci-dessous - le document est au format PDF)
(https://lafibre.info/images/doc/202203_icann_resolveurs_dns_utilises_dans_ue.png) (https://lafibre.info/images/doc/202203_icann_resolveurs_dns_utilises_dans_ue.pdf)

Cloudflare arrive derrière Google, devant les 30 autres serveurs DNS publics.
Titre: Mozilla active DNS over HTTPS par défaut dans Firefox... aux USA
Posté par: kgersen le 03 mars 2022 à 16:14:44
Google premier d'une petite sous partie car:

Citer
90.8% of consumers across the EU used the DNS resolvers managed by their ISPs in their respective countries

En grand public 90,8% des européens utilisent les dns de leur FAI.
En pro ca tombe a 32%