{"id":36652,"date":"2019-10-31T22:12:57","date_gmt":"2019-10-31T19:12:57","guid":{"rendered":"https:\/\/prohoster.info\/blog\/lyubit-i-ne-lyubit-dns-over-https\/"},"modified":"2019-10-31T22:12:57","modified_gmt":"2019-10-31T19:12:57","slug":"lyubit-i-ne-lyubit-dns-over-https","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/lyubit-i-ne-lyubit-dns-over-https","title":{"rendered":"\u00ab Aime et n'aime pas \u00bb : DNS over HTTPS","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Nous examinons les opinions concernant les caract\u00e9ristiques de DNS over HTTPS, qui sont r\u00e9cemment devenues un \u00ab serpent de mer \u00bb parmi les fournisseurs d'acc\u00e8s Internet et les d\u00e9veloppeurs de navigateurs.<\/p>\n

\"\u00ab<\/a><\/noindex><\/a><\/noindex>
\n\/ Unsplash \/ Steve Halama<\/a><\/noindex><\/i><\/p>\n

Essence des d\u00e9saccords<\/h2>\n

\nR\u00e9cemment grands m\u00e9dias<\/a><\/noindex> et sites sp\u00e9cialis\u00e9s<\/a><\/noindex> (y compris Habr), parlent souvent du protocole DNS over HTTPS (DoH). Il chiffre les requ\u00eates vers le serveur DNS et les r\u00e9ponses. Cette approche permet de masquer les noms d'h\u00f4tes auxquels l'utilisateur acc\u00e8de. D'apr\u00e8s les publications, on peut conclure que ce nouveau protocole (au sein de l'IETF a \u00e9t\u00e9 approuv\u00e9<\/a><\/noindex> en 2018) a divis\u00e9 la communaut\u00e9 IT en deux camps.<\/p>\n

Une moiti\u00e9 pense que ce nouveau protocole am\u00e9liorera la s\u00e9curit\u00e9 d'Internet et l'int\u00e8gre dans ses applications et services. L'autre moiti\u00e9 est convaincue que la technologie complique uniquement le travail des administrateurs syst\u00e8mes. Ensuite, nous examinerons les arguments des deux c\u00f4t\u00e9s. <\/p>\n

Comment fonctionne DoH<\/h2>\n

\nAvant de discuter des raisons pour lesquelles les fournisseurs d'acc\u00e8s Internet et d'autres acteurs du march\u00e9 soutiennent ou s'opposent \u00e0 DNS over HTTPS, voyons bri\u00e8vement les principes de son fonctionnement.<\/p>\n

Dans le cas de DoH, la requ\u00eate pour d\u00e9terminer l'adresse IP est encapsul\u00e9e dans le trafic HTTPS. Elle est ensuite dirig\u00e9e vers un serveur HTTP, o\u00f9 elle est trait\u00e9e via une API. Voici un exemple de requ\u00eate extrait du RFC 8484 (p.6<\/a><\/noindex>):<\/p>\n

   :method = GET\n   :scheme = https\n   :authority = dnsserver.example.net\n   :path = \/dns-query?\n           dns=AAABAAABAAAAAAAAAWE-NjJjaGFyYWN0ZXJsYWJl\n           bC1tYWtlcy1iYXNlNjR1cmwtZGlzdGluY3QtZnJvbS1z\n           dGFuZGFyZC1iYXNlNjQHZXhhbXBsZQNjb20AAAEAAQ\n   accept = application\/dns-message\n<\/code><\/pre>\n
\nAinsi, le trafic DNS est cach\u00e9 dans le trafic HTTPS. Le client et le serveur communiquent via le port standard 443. En cons\u00e9quence, les requ\u00eates vers le syst\u00e8me de noms de domaine restent anonymes.<\/p>\n
Pourquoi il n'est pas appr\u00e9ci\u00e9<\/h2>\n
\nLes opposants \u00e0 DNS over HTTPS disent<\/a><\/noindex>estiment que ce nouveau protocole diminuera la s\u00e9curit\u00e9 des connexions. Selon propos<\/a><\/noindex> Paul Vixie, membre de l'\u00e9quipe de d\u00e9veloppement de DNS, les administrateurs syst\u00e8mes auront plus de difficult\u00e9 \u00e0 bloquer les sites potentiellement nuisibles. Les utilisateurs ordinaires perdront ainsi la possibilit\u00e9 de configurer un \u00e9ventuel contr\u00f4le parental dans les navigateurs.<\/p>\n
L'opinion de Paul est partag\u00e9e par les fournisseurs d'acc\u00e8s Internet du Royaume-Uni. La l\u00e9gislation du pays oblige<\/a><\/noindex> \u00e0 bloquer les ressources contenant du contenu interdit. Mais le support de DoH dans les navigateurs complique la t\u00e2che de filtration du trafic. Parmi les critiques de ce nouveau protocole figurent aussi le Centre gouvernemental de communication d'Angleterre (GCHQ<\/a><\/noindex>) et la fondation Internet Watch Foundation (IWF<\/a><\/noindex>), qui maintient un registre des ressources bloqu\u00e9es.<\/p>\n
Sur notre blog sur Habr :<\/b><\/p>\n