Privacy

DNS over HTTPS chiffre vos requêtes, ce qui est bien, et les envoie à un résolveur choisi par le client sur le port 443, ce qui est le problème. Votre propre résolveur ne voit jamais la requête : la liste de blocage qu’elle aurait échouée, le flux de menaces qu’elle aurait touché et la ligne de journal qu’elle aurait écrite disparaissent tous. Cet article parcourt le mécanisme : pourquoi une connexion web chiffrée parmi des milliers est invisible à la frontière, qui, sur une machine, peut choisir un résolveur que vous n’avez jamais choisi (le système, le navigateur, n’importe quelle application, n’importe quel script sur n’importe quelle page web, et le maliciel), et les cas documentés, du JavaScript d’une page interrogeant un point d’accès DoH public qui autorise les requêtes cross-origin, à Godlua et PsiXBot cachant leur canal de commande dans DoH, jusqu’à l’APT OilRig exfiltrant des données par-dessus. Puis la thèse que l’histoire de la confidentialité est une couverture : DNS over TLS chiffrait déjà le DNS en 2016, sur un port que l’opérateur réseau peut encore gouverner, si bien que la seule chose que DoH ajoute par-dessus, c’est de vaincre l’administrateur, ce qui explique pourquoi les éditeurs de navigateurs qui l’ont écrit et livré, et la régie publicitaire qui fait tourner le plus gros résolveur DoH public, sont ceux qui y ont gagné. Puis le correctif, qui n’est pas d’interdire le chiffrement. Faites tourner votre propre résolveur DoH et DoT, annoncez-le avec Discovery of Designated Resolvers, refusez le port 53, le port 853 et les résolveurs DoH publics connus à la frontière, et répondez au canari de Firefox pour que le navigateur se retire. Gardez le chiffrement. Reprenez le choix du résolveur. Le billet se referme sur les conséquences : le même blocage fondé sur le DNS s’applique dans toute l’Europe et en Australie, et les tribunaux d’Italie, de France, de Belgique et d’Allemagne ordonnent désormais aux résolveurs publics eux-mêmes de bloquer, Cloudflare étant condamné à une amende et faisant appel, Google refusant en silence et OpenDNS se coupant pour des pays entiers. Le motif sous-jacent est une conception américaine imposée au monde, et un gouvernement américain qui qualifie les lois des autres pays d’extorsion des entreprises américaines et leur ordonne de ne pas s’y conformer.

Newsquest, National World, Reach et d’autres envoient à votre navigateur l’article complet avec ses feuilles de style, puis exécutent du code commercial anti-adblock et de consentement qui vide la page, supprime chaque feuille de style toutes les 100ms ou la recouvre d’un choix entre 1 467 partenaires de pistage et 2,99 £ par mois. Ce billet montre ce que fait ce code, les quatre raisons pour lesquelles je l’appelle un malware, et l’extension Chrome construite en une journée pour garder la page : figer le drapeau adLight de Newsquest avant que le mur ne se construise, abandonner les minuteries planifiées depuis eval, tuer le décapeur de feuilles de style dès sa planification, et refuser le consentement proprement en répondant non à l’API TCF, en appuyant sur le propre bouton de refus du fournisseur et en ne stockant jamais l’enregistrement. Puis les correctifs qui ont empiré les choses, la mesure qui a déclaré saine une page cassée, les boutons de partage et le flux MSN, et ce que l’extension ne fait pas.

Une fois que changer de fournisseur est difficile, les coûts changent de forme. Le prix suit votre coût de sortie. Le bénéfice est déclaré dans un pays et gagné dans un autre. La loi suit qui possède l’entreprise, pas où se trouve le bâtiment. Partie 2 sur 8, en langage simple.

Écarter un fournisseur pour raisons de sécurité demande un standard, appliqué de façon égale. La partie 6 sur 8 expose ce qui est établi au sujet des produits affaiblis et de l’interception, y compris une enquête parlementaire suisse, et montre pourquoi une entrée intégrée appartient à quiconque l’atteint.