DNS, DoT, DoH – vulgarisons un peu!

Depuis quelques temps, les discussions sont très agitées au sujet de DoT et DoH, notamment parce que Firefox a commencé à activer « automatiquement » le changement de configuration.

Tout d’abord, DoT et DoH, c’est quoi ?

Les acronymes signifient DNS over TLS et DNS over HTTPS. Le principe est d’encrypter les demandes que vous faites aux divers serveurs DNS afin de ne pas permettre à des tiers de vous surveiller et de pouvoir monétiser vos données.

Mais en fait, un DNS c’est quoi ? (en version très simplifié)

Lors que vous souhaitez afficher le site www.disney.fr, votre navigateur va demander à votre ordinateur de trouver l’adresse numérique (IP) qui correspond à ce site. Votre ordinateur va alors demander aux serveurs DNS (Domain Name Server) configurés par défaut à quelle adresse numérique IP (IPv4) se trouve www.disney.fr, en l’occurence 76.223.18.1 ou 13.248.150.189 aujourd’hui.

Votre navigateur peut alors se connecter à l’adresse identifiée, 76.223.18.1, pour demander la page d’accueil du site que vous souhaitez voir. Tout internet fonctionne encore aujourd’hui avec ces adresses IP, suites de 4 chiffres entre 0 et 255. Mais comme il est beaucoup plus facile de mémoriser « www.disney.fr » que « 76.223.18.1 », le système DNS a été inventé et mis en place. Son travail est ainsi de servir d’annuaire pour trouver la correspondance numérique aux noms usuels. Exactement comme les pages blanches des annuaires téléphoniques en ligne : vous donnez le nom et vous obtenez le numéro.

(et je fais volontairement abstraction des adresses IPv6 qui ressemblent plutôt à ça « 2a02:26f0:f3:18b::356e » et dont l’usage va devenir massif puisque les stocks d’adresses IPv4 sont épuisés! Mais c’est une autre discussion)

Visibilité de votre trafic internet

Dans la plupart des cas, les DNS qu’utilisent votre ordinateur sont ceux de votre box, et ceux de votre box sont ceux indiqués par votre fournisseur d’accès. Il est probablement clair pour tout le monde que votre fournisseur d’accès peut voir l’intégralité de votre trafic : quels sites vous visitez, ce que vous y achetez ou vendez, quels courriels vous envoyez et de qui vous en recevez, etc. Les sites sécurisés (qui affichent un petit cadenas fermé dans votre navigateur) encryptent les informations que vous leur envoyez et ce que vous recevez d’eux, de sorte que votre fournisseur d’accès ne peut pas en voir le contenu. Mais, il peut toujours savoir sur quels sites vous vous rendez puisque vous utilisez ses DNS pour obtenir l’adresse IP nécessaire. Ainsi, l’opérateur télécom ne sait plus ce que vous faites sur le site mais toujours sur lesquels vous vous rendez, et à quelle fréquence, et combien de temps vous y restez. Et il peut aussi décider ce que vous avez le droit de voir, ou non.

Les requêtes que vous faites aux serveurs DNS ne sont pas chiffrées aujourd’hui (le protocole n’est pas prévu pour ça). Ainsi votre fournisseur d’accès peut « obtenir » la liste des sites que vous fréquentez, à qui vous envoyez des emails et de qui vous en recevez par exemple.

DoH et DoT permettent en revanche d’encrypter ces demandes de conversion de noms usuels en adresses IP. Votre navigateur n’utilisera plus les DNS par défaut de votre ordinateur mais ceux qui seront réglés pour lui spécifiquement. Et toutes les autres activités (Instagram, messagerie, Twitter, etc) utiliseront d’autres DNS (généralement ceux de votre box).

Le problème des voitures à plusieurs volants

Imaginez un taxi européen (post-Brexit-s’il-arrive-un-jour) avec le volant naturellement positionné à gauche. Supposons maintenant qu’un gentleman britannique appelle ce taxi, mais aussi qu’il vienne avec son propre volant sous le bras parce que celui situé à gauche n’est vraiment pas envisageable. La voiture se trouverait ainsi avec deux volants qui ne vont pas obligatoirement dans le même sens en même temps, le chauffeur et le client n’ayant pas le même intinéraire en tête pour la même destination. Vous voyez le désastre sur la route ? Pourtant, on peut raisonnablement dire que la bonne solution, pour l’anglais, serait de se conformer à la configuration du taxi qu’il appelle, ou de trouver un taxi avec la conduite à droite, plutôt que d’en ajouter un second. Firefox est précisément en train d’ajouter un second volant à toutes les « voitures », américaines pour l’instant ; mais le reste du monde suivra rapidement.

Il y a quelques jours, Firefox a en effet démarré cette conversion quasi automatique pour le continent US et a retenu Cloudflare comme fournisseur DNS. Après la dernière mise à jour de Firefox et lors du premier démarrage, celui-ci vous informe que la sécurité a été améliorée (sic!) ...........

(Suite de du post complet avec les illustrations ici)