Bonjour,
j'ai une question concernant une option de paramétrage DNS
Je tourne actuellement sous ubuntu. J'ai configuré mes paramètres réseau (wifi et ethernet) avec les dns suivants :
80.67.169.12,80.67.169.40,9.9.9.9
Les deux premiers étant FDN et le troisième Quad9.
J'ai paramétré mon firefox en suivant une partie de ce tuto :
https://dolys.fr/forums/topic/comment-optimiser-firefox
L'un de ces paramétrage est de demander à firefox d'utiliser le DNS via https.
(chemin : onglet général > Paramètres réseaux > Paramètres... > activer le DNS via https)
Ici soit on a le choix entre passer pas "cloudflare", soit personnaliser en passant par exemple par quad9 (https://dns9.quad9.net/dns-query)
Par ailleurs dans son tuto, il est conseillé d'activer le chiffrage SNI : network.security.esni.enabled = true dans about:config
2 questions :
_le DoH via cloudflare ou par "https://dns9.quad9.net/dns-query" va-t-il prendre le pas sur les DNS configurés dans mes paramètres réseaux de mon système ?
_Faut-il bien activer l'option etwork.security.esni.enabled ?
En vous remerciant
DNS over https
Modérateurs : nico@nc, Mori, jpj, myahoo
-
Cucurbitacé
- Animal mythique
- Messages : 5618
- Inscription : 22 juil. 2012, 05:27
Re: DNS over https
Bonjour,
Mettez cette adresse dans un onglet => chrome://global/content/config.xhtml <=
Dans rechercher mettez : trr .
Trois lignes de commande vous intéressent :
- network.trr.mode ; par un clic droit dessus, vous devez passer sa valeur à : 2.
- network.trr.resolvers ; il faut changer le name et l’url en respectant l’encodage, les crochets.
- network.trr.uri ; mettre l’url qui finit par query
Firefox n’utilisera que cette DNS-over-HTTPS (DoH) et aucune autre.
Vous pouvez le vérifier sur ce site => https://browserleaks.com/ip <= ; dans la partie Your DNS Servers.
Pour : network.security.esni.enabled
À vous de voir, mais il n’a aucune interférence avec l’activation de DoH, car DoH chiffre déjà les échanges.
Toutefois, je vous invite à lire l'article de The Mozilla Foundation sur > network.security.esni.enabled <= ; il ne semble pas aussi sûr que cela.
Cordialement.
Mettez cette adresse dans un onglet => chrome://global/content/config.xhtml <=
Dans rechercher mettez : trr .
Trois lignes de commande vous intéressent :
- network.trr.mode ; par un clic droit dessus, vous devez passer sa valeur à : 2.
- network.trr.resolvers ; il faut changer le name et l’url en respectant l’encodage, les crochets.
- network.trr.uri ; mettre l’url qui finit par query
Firefox n’utilisera que cette DNS-over-HTTPS (DoH) et aucune autre.
Vous pouvez le vérifier sur ce site => https://browserleaks.com/ip <= ; dans la partie Your DNS Servers.
Pour : network.security.esni.enabled
À vous de voir, mais il n’a aucune interférence avec l’activation de DoH, car DoH chiffre déjà les échanges.
Toutefois, je vous invite à lire l'article de The Mozilla Foundation sur > network.security.esni.enabled <= ; il ne semble pas aussi sûr que cela.
Cordialement.
-
Thibault042020
- Arias
- Messages : 19
- Inscription : 05 avr. 2020, 12:47
Re: DNS over https
Bonjour Cucurbitacé,
Merci de ton retour.
network.trr.mode : était déjà à 2
network.trr.uri : "https://dns9.quad9.net/dns-query" y était déjà
network.trr.resolvers : je n'ai pas bien compris => cela permet de mettre plusieurs DoH ?
Concernant network.trr.mode = 2 , si je comprends bien la définition "une valeur de 2 utilise TRR par défaut, mais reviendra au résolveur natif si la résolution du nom échoue pour une raison quelconque", si le DoH échoue, il reviendra aux DNS que j'ai rentré dans mon système ?
Ce qui semble être en contradiction avec ce que vous avez écrit :
Où ai-je mal compris ?
En ce qui concerne "network.security.esni.enabled", je vais effectivement l'enlever, j'attendrai que cela soit mature.
Une autre question annexe, par curiosité, j'ai fait un test en enlevant le DoH, donc en revenant à ma config par défaut.
Votre site browserleaks.com me détecte un autre DNS utilisé : 166.185.125.243 WOODYNET-1
Celui-ci je ne l'ai pas configuré, savez-vous d'où il sort ?
En vous remerciant
Merci de ton retour.
network.trr.mode : était déjà à 2
network.trr.uri : "https://dns9.quad9.net/dns-query" y était déjà
network.trr.resolvers : je n'ai pas bien compris => cela permet de mettre plusieurs DoH ?
Concernant network.trr.mode = 2 , si je comprends bien la définition "une valeur de 2 utilise TRR par défaut, mais reviendra au résolveur natif si la résolution du nom échoue pour une raison quelconque", si le DoH échoue, il reviendra aux DNS que j'ai rentré dans mon système ?
Ce qui semble être en contradiction avec ce que vous avez écrit :
Firefox n’utilisera que cette DNS-over-HTTPS (DoH) et aucune autre.
Où ai-je mal compris ?
En ce qui concerne "network.security.esni.enabled", je vais effectivement l'enlever, j'attendrai que cela soit mature.
Une autre question annexe, par curiosité, j'ai fait un test en enlevant le DoH, donc en revenant à ma config par défaut.
Votre site browserleaks.com me détecte un autre DNS utilisé : 166.185.125.243 WOODYNET-1
Celui-ci je ne l'ai pas configuré, savez-vous d'où il sort ?
En vous remerciant
-
Cucurbitacé
- Animal mythique
- Messages : 5618
- Inscription : 22 juil. 2012, 05:27
Re: DNS over https
Bonsoir Monsieur,
Lisez cela => https://wiki.mozilla.org/Trusted_Recursive_Resolver <=
- network.trr.resolvers ; remarquez la valeur, vous verrez qu’elle ne correspond pas à l’adresse de votre résolveur : Quad9.
Sur la colonne de gauche, il y a pléthore de propositions, choisissez une icône, cela vous indiquera ce que les sites vous volent comme donnée et si par la même occasion vous êtes correctement protégé.
Il y a un autre site allemand, cliquez sur votre adresse IP => http://ip-check.info/?lang=en <=
pour l’adresse ip que vous donnez, je ne sais pas ce qu’elle est, faites une copie écran de la partie Your DNS Servers.
- ISP doit donner le nom du locataire de l’IP.
- Location doit donner le pays.
Sur un géo-localisateur d’adresse IP, cela serait une IP, localisée au : Kansas – USA près de Wichita en plein milieu du Lac Cheney.
Vos résolveurs DNS sont un peu loin sur la planète, à moins que vous ne viviez à côté, il est plus rapide, pour le temps de réponse, d’en choisir près de chez vous, dans votre géolocalisation.
Bien à vous.
« L’échec » n’est pas une contradiction.Thibault042020 a écrit : 05 avr. 2020, 16:49Ce qui semble être en contradiction avec ce que vous avez écrit :
Lisez cela => https://wiki.mozilla.org/Trusted_Recursive_Resolver <=
- network.trr.resolvers ; remarquez la valeur, vous verrez qu’elle ne correspond pas à l’adresse de votre résolveur : Quad9.
Je vous rassure, je ne suis point propriétaire du site, ni de près, ni de loin ; c’est un site qui sert à voir les fuites de sécurité, de vie privée, de pistage sur un système ou un navigateur Internet.Thibault042020 a écrit : 05 avr. 2020, 16:49Votre site browserleaks.com me détecte un autre DNS utilisé : 166.185.125.243 WOODYNET-1
Sur la colonne de gauche, il y a pléthore de propositions, choisissez une icône, cela vous indiquera ce que les sites vous volent comme donnée et si par la même occasion vous êtes correctement protégé.
Il y a un autre site allemand, cliquez sur votre adresse IP => http://ip-check.info/?lang=en <=
pour l’adresse ip que vous donnez, je ne sais pas ce qu’elle est, faites une copie écran de la partie Your DNS Servers.
- ISP doit donner le nom du locataire de l’IP.
- Location doit donner le pays.
Sur un géo-localisateur d’adresse IP, cela serait une IP, localisée au : Kansas – USA près de Wichita en plein milieu du Lac Cheney.
Vos résolveurs DNS sont un peu loin sur la planète, à moins que vous ne viviez à côté, il est plus rapide, pour le temps de réponse, d’en choisir près de chez vous, dans votre géolocalisation.
Bien à vous.
Re: DNS over https
Bonjour
Dans l'ensemble les DNS c'est le grand flou fonctionnement épisodique comme IP- cheeck test ne fonctionne pas toujours la même ip sans ou avec vpn
Dans l'ensemble les DNS c'est le grand flou fonctionnement épisodique comme IP- cheeck test ne fonctionne pas toujours la même ip sans ou avec vpn
-
Thibault042020
- Arias
- Messages : 19
- Inscription : 05 avr. 2020, 12:47
Re: DNS over https
Bonjour à tous,
désolé Cucurbitacé, je ne comprends pas tout ce que tu as voulu dire ici :
Que conseillez-vous autrement ?
Je voulais préciser que je suis novice en la matière, j'ai suivi un tuto pour paramétrer ma nouvelle installation de firefox en privilégiant le respect de la vie privée. Toutefois suivre un tuto sans comprendre ce que l'on fait... Raison pour laquelle j'ai posté ce sujet ici.
C'est bien ces outils du site https://browserleaks.com/, ça doit servir surtout à des personnes qui savent interpréter les résultats (hormis les éléments indiqué en vert/rouge
)
En ce qui concerne le DNS détecté en plus, voici un imprim écran. Je précise qu'ici j'ai désactivé "Activer le DNS via HTTPS" dans les paramètres firefox, je suis donc dans une configuration classique, où devrait ne ressortir que les DNS paramétrés dans mon système (FDN et quad9) :
Donc si j'en reviens au DoH et pour bien comprendre (d'après le lien https://wiki.mozilla.org/Trusted_Recursive_Resolver) :
network.trr.mode = 2 =>Utilise d'abord TRR, et seulement si la résolution du nom échoue, utilise le ou les résolveurs natifs comme solution de secours.
Je ne saisi pas la différence entre "network.trr.resolvers" et "network.trr.uri"
En vous remerciant
désolé Cucurbitacé, je ne comprends pas tout ce que tu as voulu dire ici :
Si c'est la valeur par défaut de "network.trr.resolvers" dans les paramètres firefox, effectivement j'ai :- network.trr.resolvers ; remarquez la valeur, vous verrez qu’elle ne correspond pas à l’adresse de votre résolveur : Quad9.
En ce qui concerne[{ "name": "Cloudflare", "url": "https://mozilla.cloudflare-dns.com/dns-query" },{ "name": "NextDNS", "url": "https://trr.dns.nextdns.io/" }]
Je ne sais pas, pourtant dans la configuration réseau de mon PC, j'ai mis les deux resolvers FDN (français) et quad9 en troisième position, qui sont souvent recommandés pour leur respect de la vie privé et ainsi éviter de passer par google ou nos FAI.Vos résolveurs DNS sont un peu loin sur la planète, à moins que vous ne viviez à côté, il est plus rapide, pour le temps de réponse, d’en choisir près de chez vous, dans votre géolocalisation.
Que conseillez-vous autrement ?
Je voulais préciser que je suis novice en la matière, j'ai suivi un tuto pour paramétrer ma nouvelle installation de firefox en privilégiant le respect de la vie privée. Toutefois suivre un tuto sans comprendre ce que l'on fait... Raison pour laquelle j'ai posté ce sujet ici.
C'est bien ces outils du site https://browserleaks.com/, ça doit servir surtout à des personnes qui savent interpréter les résultats (hormis les éléments indiqué en vert/rouge
)En ce qui concerne le DNS détecté en plus, voici un imprim écran. Je précise qu'ici j'ai désactivé "Activer le DNS via HTTPS" dans les paramètres firefox, je suis donc dans une configuration classique, où devrait ne ressortir que les DNS paramétrés dans mon système (FDN et quad9) :
Donc si j'en reviens au DoH et pour bien comprendre (d'après le lien https://wiki.mozilla.org/Trusted_Recursive_Resolver) :
network.trr.mode = 2 =>Utilise d'abord TRR, et seulement si la résolution du nom échoue, utilise le ou les résolveurs natifs comme solution de secours.
Je ne saisi pas la différence entre "network.trr.resolvers" et "network.trr.uri"
En vous remerciant
-
Cucurbitacé
- Animal mythique
- Messages : 5618
- Inscription : 22 juil. 2012, 05:27
Re: DNS over https
Bonjour messieurs Thibault042020 et galoupia,
Je ne comprends pas comment vous faites pour avoir plusieurs DNS dans la partie : Your DNS server ; certes, nous avions déjà eu cette discussion avec Galoupia, mais moi, je n’ai que le DoH comme DNS.
Cela doit peut-être tenir à la manière dont vous avez organisé vos Firefox et Système d’Exploitation.
Auriez-vous par hasard mis vos DNS simples dans Firefox et non dans le Système d’Exploitation (OS) ?
C’est peut-être cela qui les fait apparaitre et organise une fuite.
Les DNS simples se changent soit dans la Box, soit dans l’OS.
▬ Pour accéder à la Box, il y a une étiquette collée sur la Box qui indique tout. Par cette technique, tous vos appareils qui passent par la Box utiliseront ces DNS.
▬ > Pour l’OS <=, cela dépend de ce dernier. Par cette technique, tous les logiciels de votre OS utiliseront ces DNS.
Si vous ne comprenez pas comment changer vos DNS dans l’OS, sur les sites de vidéos, mettez : changer DNS et votre OS ; la majorité des vidéos sont chiantes car les gens parlent trop, des fois, ils ont des voix insupportables.
En ce qui concerne le DoH, il y en a en Suisse, RFA, Danemark, Hollande, Finlande, Luxembourg.
Plus le serveur est loin, plus le temps de réponse est long ; à cela s’ajoute le statut juridique et la juridiction ; aux USA il y a le Patriot Act et autres lois qui ne protègent absolument pas la vie privée, cela se constate avec les procès en pagaille entre Facebook, Twitter, Apple, Google et les organismes fédéraux, voire l’État fédéral.
J’aurais plutôt tendance à faire confiance aux pays nordiques, mais je n’ai pas la vérité révélée.
Ainsi, pour la protection de la vie privée, il faut avoir conscience qu’elle n’est pas absolue ; il vaut mieux, pour l’heure, choisir des DNS ou DoH sous statut juridique européen et basés en Europe.
Il faut faire attention avec les DNS et le DoH, parce que certaines peuvent être d’association politique, de sectes, etc. ; dès lors il faut faire une recherche sur le groupe qui met à disposition les DNS et DoH
Vous avez un large choix => ici <=, partout sur la planète, dont celles que vous utilisez :
Dans cette valeur, si vous utilisez Quad9, vous remarquerez que ce n’est pas indiqué ; ainsi, vous pouvez changer entre les guillemets les valeurs.
Pour les DNS simples => voyez par ici <=
> Ou encore là <, mais le site n’est pas mis à jour, il me semble que Swiss Privacy Foundation DNS ne fonctionne plus.
J’aurais tendance à en prendre qui ne sont pas en France, pour augmenter la difficulté juridique en cas de problème avec la France.
▬ network.trr.resolvers ; c’est l’action, ce que je veux faire, ce que j’ordonne.
▬ network.trr.uri ; avec qui j’ordonne de le faire.
Bien à vous.
Je ne comprends pas comment vous faites pour avoir plusieurs DNS dans la partie : Your DNS server ; certes, nous avions déjà eu cette discussion avec Galoupia, mais moi, je n’ai que le DoH comme DNS.
Cela doit peut-être tenir à la manière dont vous avez organisé vos Firefox et Système d’Exploitation.
Auriez-vous par hasard mis vos DNS simples dans Firefox et non dans le Système d’Exploitation (OS) ?
C’est peut-être cela qui les fait apparaitre et organise une fuite.
Les DNS simples se changent soit dans la Box, soit dans l’OS.
▬ Pour accéder à la Box, il y a une étiquette collée sur la Box qui indique tout. Par cette technique, tous vos appareils qui passent par la Box utiliseront ces DNS.
▬ > Pour l’OS <=, cela dépend de ce dernier. Par cette technique, tous les logiciels de votre OS utiliseront ces DNS.
Si vous ne comprenez pas comment changer vos DNS dans l’OS, sur les sites de vidéos, mettez : changer DNS et votre OS ; la majorité des vidéos sont chiantes car les gens parlent trop, des fois, ils ont des voix insupportables.
En ce qui concerne le DoH, il y en a en Suisse, RFA, Danemark, Hollande, Finlande, Luxembourg.
Plus le serveur est loin, plus le temps de réponse est long ; à cela s’ajoute le statut juridique et la juridiction ; aux USA il y a le Patriot Act et autres lois qui ne protègent absolument pas la vie privée, cela se constate avec les procès en pagaille entre Facebook, Twitter, Apple, Google et les organismes fédéraux, voire l’État fédéral.
J’aurais plutôt tendance à faire confiance aux pays nordiques, mais je n’ai pas la vérité révélée.
Ainsi, pour la protection de la vie privée, il faut avoir conscience qu’elle n’est pas absolue ; il vaut mieux, pour l’heure, choisir des DNS ou DoH sous statut juridique européen et basés en Europe.
Il faut faire attention avec les DNS et le DoH, parce que certaines peuvent être d’association politique, de sectes, etc. ; dès lors il faut faire une recherche sur le groupe qui met à disposition les DNS et DoH
Vous avez un large choix => ici <=, partout sur la planète, dont celles que vous utilisez :
- - CZ.NIC – Tchéquie.
- DNSlify – en Europe : Amsterdam, Frankfurt, il se place sous le statut CNIL Européenne dans privacy.
- ffmuc.net – RFA
- blahdns.com – en propose un en Finlande et un en RFA.
- SecureDNS.eu – Hollande.
- Foundation for Applied Privacy – RFA ou Autriche.
- DNS.SB – RFA
- Association 42l – France.
- Hostux.net – Luxembourg.
- ibksturm.synology.me – Suisse alémanique.
- Digitale Gesellschaft – Suisse alémanique.
- pi-dns.com – un en Finlande, un en RFA ; les deux premiers dans l’adresse ‘eu’.
Dans cette valeur, si vous utilisez Quad9, vous remarquerez que ce n’est pas indiqué ; ainsi, vous pouvez changer entre les guillemets les valeurs.
Cela donnerait ce truc :[{ "name": "Cloudflare", "url": "https://mozilla.cloudflare-dns.com/dns-query" },{ "name": "NextDNS", "url": "https://trr.dns.nextdns.io/" }]
Ou vous ajoutez cela à la fin ; du coup dans les options de Firefox à paramètres réseaux, cela vous donnera le choix entre 3 DoH.[{ "name": "Quad9", "url": "https://dns9.quad9.net/dns-query" }]
[{ "name": "Cloudflare", "url": "https://mozilla.cloudflare-dns.com/dns-query" },{ "name": "NextDNS", "url": "https://trr.dns.nextdns.io/" },{ "name": "Quad9", "url": "https://dns9.quad9.net/dns-query" }]
Pour les DNS simples => voyez par ici <=
> Ou encore là <, mais le site n’est pas mis à jour, il me semble que Swiss Privacy Foundation DNS ne fonctionne plus.
J’aurais tendance à en prendre qui ne sont pas en France, pour augmenter la difficulté juridique en cas de problème avec la France.
▬ network.trr.resolvers ; c’est l’action, ce que je veux faire, ce que j’ordonne.
▬ network.trr.uri ; avec qui j’ordonne de le faire.
Bien à vous.
Re: DNS over https
Bonsoir Cucurbitacé
Toujours au top dans le technique
Toujours au top dans le technique
-
Thibault042020
- Arias
- Messages : 19
- Inscription : 05 avr. 2020, 12:47
Re: DNS over https
Bonjour à tous les deux,
Veuillez m'excuser pour le temps espacé entre mes réponses ; je n'ai pas abandonné mon sujet.
Comme je l'ai dit dans mon premier post : je tourne sous ubuntu 18.04. Et j'ai modifié les DNS de mon système d'exploitation comme indiqué dans ce tuto : https://sebsauvage.net/wiki/doku.php?id ... ization_19 (il faut aller au milieu de la page pour voir la partie sur les DNS)
J'ai effectué ce changement sur le Wifi et sur l'ethernet.
Comme le confirme la commande :
et
Les DNS rentrés dans l'OS sont bien pris en compte.
Je précise que le DNS "Woodynet" n'apparait que quand DoH est désactivé, donc dans une configuration "normale" de firefox.
Le sens de votre question est-elle plutôt : est-je mis des adresses de résolver DNS "simple" dans le paramètre "network.trr.resolvers" ?
Si c'était le sens de votre question, la réponse est non. J'ai laissé la "valeur" par défaut de firefox (donné dans mon post précédent) :
De même, si c'est bien le sens de votre question, ça veut dire qu'on demande à firefox d'utiliser DoH et que nous pouvons mettre des adresses DNS non-DoH dans le champs réservé aux adresses DoH ?
Si c'est le cas, c'est étonnant que ça fonctionne ?
En actualisant plusieurs fois la page https://browserleaks.com/ip, des fois je ne vois que mes DNS (ou que l'un d'entre eux) sans le Woodynet, des fois il y a le woodynet. C'est assez aléatoire, mais par "vague".
Je dirais que dans 6 cas sur 10, https://browserleaks.com/ip ne me détecte que les DNS, ou l'un d'entre-eux que j'ai moi-même rentré dans l'OS.
(j'ai fait un test avec votre exemple en ajoutant quad9)
(network.trr.uri s'est changé tout seul quand je l'ai sélectionné)
Questions complémentaires :
Si le DNS sélectionné ne fonctionne pas (dans notre exemple quad9), passera-t-il automatiquement aux autres DOH dans la liste (ici dans notre exemple cloudflare puis NextDNS) ?
Si mon énoncé juste au-dessus est correct, imaginons maintenant que les 3 DoH ne fonctionnent pas, du coup on repassera par les DNS définis sur l'OS ou du FAI (si pas changé) ?
Du coup, ne peut-on pas définir les DoH directement sur l'OS, firefox les utiliserais donc par défaut sans activer l'option ans Paramètres ?
En vous remerciant pour les réponses apportées. C'est très instructif.
Veuillez m'excuser pour le temps espacé entre mes réponses ; je n'ai pas abandonné mon sujet
.Comme vous je le constate. Si vous ne m'aviez pas conseillé d'aller faire un tour sur https://browserleaks.com, je ne m'en serais pas rendu compte.Je ne comprends pas comment vous faites pour avoir plusieurs DNS dans la partie : Your DNS server
Comme je l'ai dit dans mon premier post : je tourne sous ubuntu 18.04. Et j'ai modifié les DNS de mon système d'exploitation comme indiqué dans ce tuto : https://sebsauvage.net/wiki/doku.php?id ... ization_19 (il faut aller au milieu de la page pour voir la partie sur les DNS)
J'ai effectué ce changement sur le Wifi et sur l'ethernet.
Comme le confirme la commande :
Code : Tout sélectionner
command nmcli device show wlpxxx
IP4.DNS[1]: 80.67.169.12
IP4.DNS[2]: 80.67.169.40
IP4.DNS[3]: 9.9.9.9
Code : Tout sélectionner
command nmcli device show enpxxx
IP4.DNS[1]: 80.67.169.12
IP4.DNS[2]: 80.67.169.40
IP4.DNS[3]: 9.9.9.9
Je précise que le DNS "Woodynet" n'apparait que quand DoH est désactivé, donc dans une configuration "normale" de firefox.
A part cette histoire de DoH, raison de mon post ici, je n'ai rien modifié sur les DNS dans firefox, en tout cas pas volontairement.Auriez-vous par hasard mis vos DNS simples dans Firefox et non dans le Système d’Exploitation (OS)
Le sens de votre question est-elle plutôt : est-je mis des adresses de résolver DNS "simple" dans le paramètre "network.trr.resolvers" ?
Si c'était le sens de votre question, la réponse est non. J'ai laissé la "valeur" par défaut de firefox (donné dans mon post précédent) :
Code : Tout sélectionner
[{ "name": "Cloudflare", "url": "https://mozilla.cloudflare-dns.com/dns-query" },{ "name": "NextDNS", "url": "https://trr.dns.nextdns.io/" }]
Si c'est le cas, c'est étonnant que ça fonctionne ?
En actualisant plusieurs fois la page https://browserleaks.com/ip, des fois je ne vois que mes DNS (ou que l'un d'entre eux) sans le Woodynet, des fois il y a le woodynet. C'est assez aléatoire, mais par "vague".
Je dirais que dans 6 cas sur 10, https://browserleaks.com/ip ne me détecte que les DNS, ou l'un d'entre-eux que j'ai moi-même rentré dans l'OS.
Je vais suivre votre conseil. C'est vrai que j'ai vu pas mal de personne qui conseillent Quad9 pour éviter de passer pas Google. Du coup, pauvre mouton ignorant, nous suivons. Bref.Plus le serveur est loin, plus le temps de réponse est long ; à cela s’ajoute le statut juridique et la juridiction ; aux USA il y a le Patriot Act et autres lois qui ne protègent absolument pas la vie privée, cela se constate avec les procès en pagaille entre Facebook, Twitter, Apple, Google et les organismes fédéraux, voire l’État fédéral.
J’aurais plutôt tendance à faire confiance aux pays nordiques, mais je n’ai pas la vérité révélée.
Donc "Cloudflare", paramétré par défaut dans Firefox n'est pas forcément conseillé !?Ainsi, pour la protection de la vie privée, il faut avoir conscience qu’elle n’est pas absolue ; il vaut mieux, pour l’heure, choisir des DNS ou DoH sous statut juridique européen et basés en Europe
ok je pense avoir compris. Cela alimente la liste qui apparait dans Préférences > Générale > Paramètres > Activer le DNS via HTTPS > Menu déroulant▬ network.trr.resolvers ; c’est l’action, ce que je veux faire, ce que j’ordonne.
(j'ai fait un test avec votre exemple en ajoutant quad9)
Ce paramètre correspond à sélectionner Quad9 dans la liste déroulante du menu "Activer le DNS via HTTPS"▬ network.trr.uri ; avec qui j’ordonne de le faire.
(network.trr.uri s'est changé tout seul quand je l'ai sélectionné)
Questions complémentaires :
Si le DNS sélectionné ne fonctionne pas (dans notre exemple quad9), passera-t-il automatiquement aux autres DOH dans la liste (ici dans notre exemple cloudflare puis NextDNS) ?
Si mon énoncé juste au-dessus est correct, imaginons maintenant que les 3 DoH ne fonctionnent pas, du coup on repassera par les DNS définis sur l'OS ou du FAI (si pas changé) ?
Du coup, ne peut-on pas définir les DoH directement sur l'OS, firefox les utiliserais donc par défaut sans activer l'option ans Paramètres ?
En vous remerciant pour les réponses apportées. C'est très instructif.
-
Cucurbitacé
- Animal mythique
- Messages : 5618
- Inscription : 22 juil. 2012, 05:27
Re: DNS over https
Bonjour,
Nous ne pouvons pas mettre de DNS simple sur les lignes de commande "trr" , car les trr utilisent DoH et ce dernier c’est une adresse Internet qui se finit avec "query" : mozilla.cloudflare-dns.com/dns-query
Alors qu’une adresse DNS simple, c’est une IP : 80.67.169.12
DoH et DNS ce n’est pas la même chose, DoH chiffre les DNS ; en réalité, avec DoH vous chiffrez vos échanges entrent votre Firefox et les DNS de l’opérateur DoH que vous avez choisi. DoH va directement s’adresser aux DNS de cet opérateur, mais utiliser une technologie de chiffrement.
Les DNS simples sont non chiffrés donc elle ne nécessite aucun protocole particulier, ni adresse particulière.
Les DNS pour faire vite et simple, ce sont les adresses de serveurs qui vont chercher vos demandes, car vous n’êtes pas connecté directement à Internet, vous ne cherchez rien sur Internet directement ; le fil de votre ordinateur branché à Internet grosso modo ne sert à rien, pour que cela fonctionne il y a un intermédiaire des immenses serveurs auquel votre fil est branché.
Vous demandez à ces serveurs : « va me chercher le site de UGC ».
Ces serveurs ont des programmes, calculateurs, des catalogues, etc. ; ils vont chercher votre demande et vous la livre.
Quand vous êtes avec un contrat chez un Fournisseur d’Accès à Internet (FAI) vous utilisez ses serveurs, la DNS ou les DNS sont les adresses de ses serveurs du genre : « mon ordinateur je t'ordonne de faire toutes tes demandes de sites Internet au 7 boulevard FAI en la ville de Poupoune – France ».
C’est comme une adresse postale ou un numéro de téléphone, vous joignez quelqu’un qui va travailler pour vous, aller chercher pour vous.
Vous pouvez choisir une autre adresse d’un autre serveur différent de celui de votre FAI ; ainsi vous pouvez contacter une autre adresse donc DNS.
Quand vous vous adressez à quelqu’un il enregistre vos demandes, vos commandes pour savoir ce qu’il doit vous livrer, votre FAI les gardes mêmes quand il a fait la livraison, il les traite, les exploite.
D’autres serveurs qui proposent des DNS, eux une fois qu’ils vous ont livré effacent tout.
Une adresse (DNS simple) d’un serveur peut être interceptée par des pirates, des espions qui scannent en permanence l’Internet pour voir ce que vous faites et détourner vos demandes ; du style : « va me chercher le site de UGC » eux l’ont vu et il détourne votre demande en vous emmenant sur un faux site UGC, un qu’ils ont préparé pour piquer vos numéros de cartes bancaires, pour tenter de pirater l’ordinateur directement, etc.
Le DoH va utiliser les mêmes DNS mais chiffrer les échanges, donc ceux qui scannent pour espionner, pirater, ne savent pas ce que vous avez demandé, ainsi ils ne peuvent pas détourner.
Vous dites à cette DNS : « protège-moi, chiffre nos échanges en utilisant la technique DoH ».
Pour les Box et Systèmes d’Exploitation, ce sont à eux de prévoir une possibilité d’utiliser la demande de chiffrement vers des DNS, la demande chiffrement = DoH.
Windows 10 pourrait le proposer, il semble que Microsoft y travaille.
Ubuntu semble déjà le proposer, mais là il faut s’orienter vers un forum Ubuntu.
Pour Cloudflare The Mozilla Foundation, qui programme Firefox, a des accords avec cette entreprise ; cela ne veut pas dire qu’elle est nulle, c’est juste qu’elle est sous juridiction des USA et que dans le système de juridiction en question la notion de vie privée n’existe pas ; au sein de l’Union Européenne, c’est un droit fondamental garanti par le Traité constitutionnel européen, la Charte des droits et la Déclaration européenne des droits de l’homme ; ce n’est pas l’apothéose, car certains pays peuvent détourner le droit.
Bien à vous.
Nous ne pouvons pas mettre de DNS simple sur les lignes de commande "trr" , car les trr utilisent DoH et ce dernier c’est une adresse Internet qui se finit avec "query" : mozilla.cloudflare-dns.com/dns-query
Alors qu’une adresse DNS simple, c’est une IP : 80.67.169.12
DoH et DNS ce n’est pas la même chose, DoH chiffre les DNS ; en réalité, avec DoH vous chiffrez vos échanges entrent votre Firefox et les DNS de l’opérateur DoH que vous avez choisi. DoH va directement s’adresser aux DNS de cet opérateur, mais utiliser une technologie de chiffrement.
Les DNS simples sont non chiffrés donc elle ne nécessite aucun protocole particulier, ni adresse particulière.
Les DNS pour faire vite et simple, ce sont les adresses de serveurs qui vont chercher vos demandes, car vous n’êtes pas connecté directement à Internet, vous ne cherchez rien sur Internet directement ; le fil de votre ordinateur branché à Internet grosso modo ne sert à rien, pour que cela fonctionne il y a un intermédiaire des immenses serveurs auquel votre fil est branché.
Vous demandez à ces serveurs : « va me chercher le site de UGC ».
Ces serveurs ont des programmes, calculateurs, des catalogues, etc. ; ils vont chercher votre demande et vous la livre.
Quand vous êtes avec un contrat chez un Fournisseur d’Accès à Internet (FAI) vous utilisez ses serveurs, la DNS ou les DNS sont les adresses de ses serveurs du genre : « mon ordinateur je t'ordonne de faire toutes tes demandes de sites Internet au 7 boulevard FAI en la ville de Poupoune – France ».
C’est comme une adresse postale ou un numéro de téléphone, vous joignez quelqu’un qui va travailler pour vous, aller chercher pour vous.
Vous pouvez choisir une autre adresse d’un autre serveur différent de celui de votre FAI ; ainsi vous pouvez contacter une autre adresse donc DNS.
Quand vous vous adressez à quelqu’un il enregistre vos demandes, vos commandes pour savoir ce qu’il doit vous livrer, votre FAI les gardes mêmes quand il a fait la livraison, il les traite, les exploite.
D’autres serveurs qui proposent des DNS, eux une fois qu’ils vous ont livré effacent tout.
Une adresse (DNS simple) d’un serveur peut être interceptée par des pirates, des espions qui scannent en permanence l’Internet pour voir ce que vous faites et détourner vos demandes ; du style : « va me chercher le site de UGC » eux l’ont vu et il détourne votre demande en vous emmenant sur un faux site UGC, un qu’ils ont préparé pour piquer vos numéros de cartes bancaires, pour tenter de pirater l’ordinateur directement, etc.
Le DoH va utiliser les mêmes DNS mais chiffrer les échanges, donc ceux qui scannent pour espionner, pirater, ne savent pas ce que vous avez demandé, ainsi ils ne peuvent pas détourner.
Vous dites à cette DNS : « protège-moi, chiffre nos échanges en utilisant la technique DoH ».
Pour les Box et Systèmes d’Exploitation, ce sont à eux de prévoir une possibilité d’utiliser la demande de chiffrement vers des DNS, la demande chiffrement = DoH.
Windows 10 pourrait le proposer, il semble que Microsoft y travaille.
Ubuntu semble déjà le proposer, mais là il faut s’orienter vers un forum Ubuntu.
Pour Cloudflare The Mozilla Foundation, qui programme Firefox, a des accords avec cette entreprise ; cela ne veut pas dire qu’elle est nulle, c’est juste qu’elle est sous juridiction des USA et que dans le système de juridiction en question la notion de vie privée n’existe pas ; au sein de l’Union Européenne, c’est un droit fondamental garanti par le Traité constitutionnel européen, la Charte des droits et la Déclaration européenne des droits de l’homme ; ce n’est pas l’apothéose, car certains pays peuvent détourner le droit.
Bien à vous.
-
Thibault042020
- Arias
- Messages : 19
- Inscription : 05 avr. 2020, 12:47
Re: DNS over https
Merci cucurbitacé.
Je viens aussi avec des réponses et quelques questions :
Tout d'abord j'ai réussi à trouver quelque chose sur le serveur WOODYNET :
https://medium.com/@useradd_deploy/dns- ... 85e18459b9
Hypothèse : plusieurs serveurs Woodynet (voir image ci-dessous) du réseau Quad9 peuvent répondre à la requête envoyée ?
Voilà une d'aujourd'hui :
-----------
Remarque : toutes les adresses DoH ne semblent pas toutes se finir par "query". En effet, le DoH de NextDNS parametré par défaut en second dans firefox se termine par "io" (https://trr.dns.nextdns.io)
-----------
Pour ceux que ça intéresse, il existe des choses pour configurer le chiffrage des requêtes DNS sur linux. Un peu de lecture :
https://www.shaftinc.fr/chiffrement-dns-pratique.html
La technologie utilisée est DNS sur TLS (DoT)
A priori DNS sur Https (DoH) est assez récent et pas forcément bien implémentée sur les OS. Bien que le logiciel "stubby" prévoit le DoH sur la prochaine version de son logiciel :
https://dnsprivacy.org/wiki/display/DP/ ... n+-+Stubby
Cucurbitacé, pouvez-vous me confirmer que si on met en place le DoT sur l'OS, je n'ai pas besoin d'activer le paramètre dans Firefox ?
------------
Je me permets de revenir sur mes questions complémentaires posées sur mon précédent post :
Quid de la première question : si le DoH sélectionné ne fonctionne pas, est-ce que les autres DoH enregistrés dans la liste sont sollicités ? ou bien ils passent directement aux DNS classiques de l'OS ou du FAI (avec du coup un network.trr.mode=2) ?
En vous remerciant
Bonne soirée.
Je viens aussi avec des réponses et quelques questions :
Tout d'abord j'ai réussi à trouver quelque chose sur le serveur WOODYNET :
https://medium.com/@useradd_deploy/dns- ... 85e18459b9
Au final, il s'agirait de serveur Quad9.Testing Your DNS Settings
After you change your settings, it’s a good idea to confirm that your DNS queries are being routed to Quad9. Here are three ways you can test whether your DNS settings are working.
DNS leak test
The easiest way to check is to run an online DNS leak test. When you do so, you should see that the responding ISP is WoodyNet.
If you’re wondering why you’re seeing WoodyNet, it’s because Quad9 is what’s called an anycast DNS, which automatically routes queries to the nearest server. While Quad9 has servers at more than 100 locations around the globe, it doesn’t own its own servers. Instead, Quad9 relies on Packet Clearing House (which is present at 160+ internet exchange points) to host DNS servers for it. PCH’s Executive Director is Bill Woodcock a/k/a Woody. Hence, WoodyNet.
Hypothèse : plusieurs serveurs Woodynet (voir image ci-dessous) du réseau Quad9 peuvent répondre à la requête envoyée ?
Voilà une d'aujourd'hui :
-----------
OK, et c'est une bonne chose. Mais qu'avez-vous voulu dire ici ? :Nous ne pouvons pas mettre de DNS simple sur les lignes de commande "trr" , car les trr utilisent DoH et ce dernier c’est une adresse Internet qui se finit avec "query" : mozilla.cloudflare-dns.com/dns-query
Alors qu’une adresse DNS simple, c’est une IP : 80.67.169.12
Par curiosité, j'ai cherché où mettre des DNS "simple" dans Firefox, je n'ai pas trouvé.Auriez-vous par hasard mis vos DNS simples dans Firefox et non dans le Système d’Exploitation (OS)
Remarque : toutes les adresses DoH ne semblent pas toutes se finir par "query". En effet, le DoH de NextDNS parametré par défaut en second dans firefox se termine par "io" (https://trr.dns.nextdns.io)
-----------
Pour ceux que ça intéresse, il existe des choses pour configurer le chiffrage des requêtes DNS sur linux. Un peu de lecture :
https://www.shaftinc.fr/chiffrement-dns-pratique.html
La technologie utilisée est DNS sur TLS (DoT)
A priori DNS sur Https (DoH) est assez récent et pas forcément bien implémentée sur les OS. Bien que le logiciel "stubby" prévoit le DoH sur la prochaine version de son logiciel :
https://dnsprivacy.org/wiki/display/DP/ ... n+-+Stubby
Cucurbitacé, pouvez-vous me confirmer que si on met en place le DoT sur l'OS, je n'ai pas besoin d'activer le paramètre dans Firefox ?
------------
Je me permets de revenir sur mes questions complémentaires posées sur mon précédent post :
La réponse à la deuxième question doit être : cela dépend du "network.trr.mode". Si =2, alors oui il passera sur les DNS de l'OS ou du FAI.Si le DOH sélectionné ne fonctionne pas (dans notre exemple quad9), passera-t-il automatiquement aux autres DOH dans la liste (ici dans notre exemple cloudflare puis NextDNS) ?
Si mon énoncé juste au-dessus est correct, imaginons maintenant que les 3 DoH ne fonctionnent pas, du coup on repassera par les DNS définis sur l'OS ou du FAI (si pas changé) ?
Quid de la première question : si le DoH sélectionné ne fonctionne pas, est-ce que les autres DoH enregistrés dans la liste sont sollicités ? ou bien ils passent directement aux DNS classiques de l'OS ou du FAI (avec du coup un network.trr.mode=2) ?
En vous remerciant
Bonne soirée.
-
Cucurbitacé
- Animal mythique
- Messages : 5618
- Inscription : 22 juil. 2012, 05:27
Re: DNS over https
Bonjour,
Je ne connais pas les Systèmes d’Exploitation (OS) de type Lunix ; ainsi, vous devez faire un essai, vous ne mettez rien dans Firefox, vous organisez votre DoT ou DoH dans votre OS et vous vérifiez sur le site mis plus avant.
Le mode 2 de "trr" sert en cas de problème avec le chiffrement sur les DNS, à utiliser les DNS mises dans l’OS, la Box, ou celle du FAI.
Bien à vous.
Je ne connais pas les Systèmes d’Exploitation (OS) de type Lunix ; ainsi, vous devez faire un essai, vous ne mettez rien dans Firefox, vous organisez votre DoT ou DoH dans votre OS et vous vérifiez sur le site mis plus avant.
Le mode 2 de "trr" sert en cas de problème avec le chiffrement sur les DNS, à utiliser les DNS mises dans l’OS, la Box, ou celle du FAI.
Bien à vous.
Re: DNS over https
Bonsoir
Curcubitacé ,Pour info je viens de trouver ceci DNS Unbound https://chez-oim.org/index.php?topic=1599.0 cela est il intéressant
pour
un surf normal
Curcubitacé ,Pour info je viens de trouver ceci DNS Unbound https://chez-oim.org/index.php?topic=1599.0 cela est il intéressant
pourun surf normal
-
Cucurbitacé
- Animal mythique
- Messages : 5618
- Inscription : 22 juil. 2012, 05:27
Re: DNS over https
Bonjour,
C’est en place depuis longtemps ; cela consiste à transformer son ordinateur en serveur DNS ; il y a plusieurs logiciels qui le permettent.
Vous pouvez aussi pratiquer le chiffrement avec des logiciels tels que DNScrypt, votre ordinateur devient un servur DNS et logiciel chiffre ; en ce qui me concerne, j'ai essayé, mais ne suis jamais arrivé à faire fonctionner DNScrypt.
Cordialement.
C’est en place depuis longtemps ; cela consiste à transformer son ordinateur en serveur DNS ; il y a plusieurs logiciels qui le permettent.
Vous pouvez aussi pratiquer le chiffrement avec des logiciels tels que DNScrypt, votre ordinateur devient un servur DNS et logiciel chiffre ; en ce qui me concerne, j'ai essayé, mais ne suis jamais arrivé à faire fonctionner DNScrypt.
Cordialement.
-
Thibault042020
- Arias
- Messages : 19
- Inscription : 05 avr. 2020, 12:47
Re: DNS over https
Bonjour à vous deux.
Je me permet justement de rebondir sur unbound.
C'est un logiciel qui permet uniquement de créer un DNS ? Car il parle également de la prise en charge de DNS on TLS et de DNSSEC :
https://nlnetlabs.nl/projects/unbound/about/
Par ailleurs, si création d'un serveur DNS sa propre machine, ne faut-il pas que ce serveur communique avec des serveurs DNS externe pour avoir les annuaires? Comment cela fonctionne-t-il ?
Cordialement
Je me permet justement de rebondir sur unbound.
C'est un logiciel qui permet uniquement de créer un DNS ? Car il parle également de la prise en charge de DNS on TLS et de DNSSEC :
https://nlnetlabs.nl/projects/unbound/about/
Par ailleurs, si création d'un serveur DNS sa propre machine, ne faut-il pas que ce serveur communique avec des serveurs DNS externe pour avoir les annuaires? Comment cela fonctionne-t-il ?
Cordialement
Qui est en ligne ?
Utilisateurs parcourant ce forum : Google [Bot] et 1 invité