[PDF] DNS over HTTPS (DoH) presentation générale et enjeux autour de l





Previous PDF Next PDF



Configurations de base en interface ligne de commande (CLI)

13 janv. 2021 Créer un objet Plage de ports ... Configurerles serveurs DNS utilisés parlefirewall ... CONFIG CONSOLE SSH state=1 userpass=1 port=ssh.



Résolveur DNS

Le moyen le plus simple de gérer un résolveur DNS ouvert est de configurer votre pare-feu pour bloquer le port 53 afin d'empê- cher les demandes DNS provenant 



Storyblok - Multicast DNS

Le moyen le plus simple de gérer une vulnérabilité Multicast DNS est de configurer votre pare-feu pour bloquer le port 5353. Veuillez noter que le blocage de ce 



DNS over HTTPS (DoH) presentation générale et enjeux autour de l

Les solutions de chiffrement présentées ici sont uniquement pour le lien entre machine terminale et résolveur. DoT : DNS-over-TLS (RFC 7858) port dédié 



Les Protocoles de Transport

Requête DNS (query). TRANSPORT. User Datagram Protocol (UDP). Port Destination : 53 (Serveur DNS). Port Source : 57127 (Poste Client). INTERNET.



UCOPIA Command Line Interface

3 juil. 2016 <path>. accountId: nom du compte host : adresse IP/DNS du serveur FTP port : numéro de port. secureMode : connextion sécurisée (on



Manuel dutilisation du ShareCenter DNS-320L D-Link

Le port USB hôte est réservé aux serveurs d'impression disques de mémoires ou surveillance d'ASI USB. Loquet. Appuyez sur le loquet pour libérer le panneau 



Paramétrage LAN & WAN

le port P3 peut être utilisé en tant que zone WAN ou LAN. Accès au WebGUI Serveur DNS disponible pour l'USG pour la résolution de nom.



Les protocoles UDP et TCP

de port. Une socket (historiquement développé dans Unix BSD) est un point de DNS. - NFS. - SNMP. - RIP. L'en-tête a une taille fixe de 8 octets.



Éléments danalyse de DNS-over-HTTPS dans les navigateurs

DNS trafic DNS clair. ? usage classique : association nom / IP DoH (RFC8484) - port 443 : tunnel TLS / HTTP1.1



[PDF] DNS Session 1: Principes de base

Le DNS est une base de données distribuée qui Connue comme " une consultation inverse de DNS " De temps en temps utilise le TCP port 53



[PDF] DNS over TLS: Three ways of not using port 53 - IETF

Goal is privacy for DNS requests and responses from stubs to recursives • TLS works well for client-server interactions and is well understood



[PDF] 1 Présentation du système DNS

lan commence par chercher l'adresse IP du serveur Web Pour cela il envoie une requête récursive au premier serveur DNS de sa liste de serveurs DNS soit dns-2



[PDF] TP n°10 - DNS - Thierry VAIRA Homepage

Domain Name System (DNS) qui associe nom de domaine et adresses IP Remarque : on pourra utiliser un filtre du type udp port == 53



[PDF] Architecture OSI et Internet Protocoles TCP/IP et DNS Plan

Les ports source et destination contiennent les numéros de port utilisés par UDP pour démultiplexer les datagrammes destinés aux processus en attente de les 



[PDF] Secure Domain Name System (DNS) Deployment Guide

The Domain Name System (DNS) is a distributed computing system that enables access to Internet resources by user-friendly domain names rather than IP addresses 



[PDF] Décoder des paquets comme étant du DNS sils sont sur un port

Et si on utilise un port alternatif ? Par exemple soit un nouveau serveur DNS qu 



[PDF] Wireshark Lab: DNS SOLUTION

ANSWER: The destination port for the DNS query is 53 and the source port of the DNS response is 53 Screenshot for ipconfig –all 6 To what IP 



[PDF] Ethereal Lab: DNS

The destination port for the DNS query is 53 and the source port of the DNS response is 53 Screenshot for ipconfig –all 6 To what IP address is the DNS query 



[PDF] Les protocoles UDP et TCP - Gipsa-lab

23 : Telnet ? 25 : SMTP ? 53 : DNS ? 69 : TFTP ? 80 : HTTP ? 1 Protocole UDP : User Datagram Protocol Le protocole UDP permet aux applications d' 

  • What are DNS ports?

    A DNS port is a network port used for communication between a DNS client and server. The standard port for DNS is port 53. DNS client applications use the DNS protocol to query and request information from DNS servers, and the server returns the results to the client using the same port.

  • What is the port 53 for DNS?

    DNS uses Port 53 which is nearly always open on systems, firewalls, and clients to transmit DNS queries. Rather than the more familiar Transmission Control Protocol (TCP) these queries use User Datagram Protocol (UDP) because of its low-latency, bandwidth and resource usage compared TCP-equivalent queries.

  • Is DNS using TCP or UDP?

    DNS uses TCP for Zone transfer and UDP for name, and queries either regular (primary) or reverse. UDP can be used to exchange small information whereas TCP must be used to exchange information larger than 512 bytes.
  • Most all DNS clients expect that the DNS server will be listening on port 53. All DNS servers run on port 53, period, end of discussion. Yet you can run them on alternate ports but the only operating system that allows a DNS client to connect directly to a custom DNS server on a non-standard port is OpenBSD.

DNS over HTTPS (DoH),

presentation générale et enjeux autour de l"adoption

Stéphane Bortzmeyer

bortzmeyer@nic.fr 1/14 2/14

Le DNSM. Michu1) www.pik.bzh ?

R

´esolveurRacine

2) www.pik.bzh ?

3) Ask d.nic.fr

d.nic.fr

4) www.pik.bzh ?

5) Ask sdns2.ovh.net

sdns2.ovh.net

6) www.pik.bzh ?

7) 2001:db8:1::238) 2001:db8:1::23

3/14

Le problème

Le DNS est l"étape obligée,

Mais il est très indiscret (RFC 7626),

Et susceptible de modifications en route,

Comment garantir confidentialité et intégrité? 4/14

Le problème

Le DNS est l"étape obligée,

Mais il est très indiscret (RFC 7626),

Et susceptible de modifications en route,

Comment garantir confidentialité et intégrité? 4/14

Le problème

Le DNS est l"étape obligée,

Mais il est très indiscret (RFC 7626), plein de gens peuvent savoir que vous demandezpornhub.com,Et susceptible de modifications en route, Comment garantir confidentialité et intégrité? 4/14

Le problème

Le DNS est l"étape obligée,

Mais il est très indiscret (RFC 7626),

Et susceptible de modifications en route, (largement utilisé à des fins de censure comme Sci-Hub en mars 2019 en France),Comment garantir confidentialité et intégrité? 4/14

Le problème

Le DNS est l"étape obligée,

Mais il est très indiscret (RFC 7626),

Et susceptible de modifications en route,

Comment garantir confidentialité et intégrité? 4/14

Censure en action

Vue par les sondes RIPE Atlas

% blaeu-resolve --requested 1000 --country FR --type A sci-hub.tw [186.2.163.90] : 183 occurrences [] : 9 occurrences [127.0.0.1] : 212 occurrences [ERROR: SERVFAIL] : 1 occurrences [ERROR: NXDOMAIN] : 2 occurrences

Test #22099888 done at 2019-06-25T13:25:37Z

5/14

Les solutions

Les solutions de chiffrement présentées ici sont (pour l"instant), uniquement pour

le lien entre machine terminale et résolveur.DoT : DNS-over-TLS (RFC 7858), port dédié (853), donc susceptible de blocage,

DoH : DNS-over-HTTPS (RFC 8484), le HTTPS normal sur le port 443, plus lent mais plus difficile à bloquer.Dans les deux cas, authentification habituelle TLS. 6/14

Les solutions

Les solutions de chiffrement présentées ici sont uniquement pour le lien entre

machine terminale et résolveur.DoT : DNS-over-TLS (RFC 7858), port dédié (853), donc susceptible de blocage,

DoH : DNS-over-HTTPS (RFC 8484), le HTTPS normal sur le port 443, plus lent mais plus difficile à bloquer.Dans les deux cas, authentification habituelle TLS. 6/14

Les solutions

Les solutions de chiffrement présentées ici sont uniquement pour le lien entre

machine terminale et résolveur.DoT : DNS-over-TLS (RFC 7858), port dédié (853), donc susceptible de blocage,

DoH : DNS-over-HTTPS (RFC 8484), le HTTPS normal sur le port 443, plus lent

mais plus difficile à bloquer. Réutilise toute l"infrastructure de HTTP.Dans les deux cas, authentification habituelle TLS.

6/14

Les solutions

Les solutions de chiffrement présentées ici sont uniquement pour le lien entre

machine terminale et résolveur.DoT : DNS-over-TLS (RFC 7858), port dédié (853), donc susceptible de blocage,

DoH : DNS-over-HTTPS (RFC 8484), le HTTPS normal sur le port 443, plus lent mais plus difficile à bloquer.Dans les deux cas, authentification habituelle TLS. 6/14

Autres choses sur DoH

HTTP/2 seulement,

Format " DNS binaire », pas évident à analyser en JavaScript. 7/14

Autres choses sur DoH

HTTP/2 seulement,

Format " DNS binaire », pas évident à analyser en JavaScript. 7/14

Autres choses sur DoH

HTTP/2 seulement,

Format " DNS binaire », pas évident à analyser en JavaScript. 7/14

On ne peut pas plaire à tout le monde

Depuis quelques mois, grosse offensive idéologique contre DoH, cf. débat au

FOSDEM en février 2019,Le protocole DoH?

Risque de centralisation aveccertainsdéploiements.Résolution prise en main par les applications et pas par le système d"exploitation?

Perte de contrôle par les intermédiaires : ils ne peuvent plus surveiller et censurer. Résolution dépendant du lieu problématique

Tout sur le port 443.

Confiance dans le résolveur? (Comme avec tous les résolveurs.) 8/14

On ne peut pas plaire à tout le monde

Depuis quelques mois, grosse offensive idéologique contre DoH,

Le protocole DoH? HTTP est trop bavard.

Risque de centralisation aveccertainsdéploiements.Résolution prise en main par les applications et pas par le système d"exploitation?

Perte de contrôle par les intermédiaires : ils ne peuvent plus surveiller et censurer. Résolution dépendant du lieu problématique

Tout sur le port 443.

Confiance dans le résolveur? (Comme avec tous les résolveurs.) 8/14

On ne peut pas plaire à tout le monde

Depuis quelques mois, grosse offensive idéologique contre DoH,

Le protocole DoH?

Risque de centralisation aveccertainsdéploiements. Deux ou trois résolveurs DNS

pour tout le monde?Problème non spécifique à DoH.Résolution prise en main par les applications et pas par le système d"exploitation?

Perte de contrôle par les intermédiaires : ils ne peuvent plus surveiller et censurer. Résolution dépendant du lieu problématique

Tout sur le port 443.

Confiance dans le résolveur? (Comme avec tous les résolveurs.) 8/14

On ne peut pas plaire à tout le monde

Depuis quelques mois, grosse offensive idéologique contre DoH,

Le protocole DoH?

Risque de centralisation aveccertainsdéploiements.Résolution prise en main par les applications et pas par le système d"exploitation?

Problème non spécifique à DoH, tous les logiciels malveillants font déjà cela.Perte de contrôle par les intermédiaires : ils ne peuvent plus surveiller et censurer.

Résolution dépendant du lieu problématique

Tout sur le port 443.

Confiance dans le résolveur? (Comme avec tous les résolveurs.) 8/14

On ne peut pas plaire à tout le monde

Depuis quelques mois, grosse offensive idéologique contre DoH,

Le protocole DoH?

Risque de centralisation aveccertainsdéploiements.Résolution prise en main par les applications et pas par le système d"exploitation?

Perte de contrôle par les intermédiaires : ils ne peuvent plus surveiller et censurer. C"est un peu fait exprès... Etce n"est pas spécifique à DoH. Cf. RFC 8404 qui regrettait déjà cette perte.Résolution dépendant du lieu problématique

Tout sur le port 443.

Confiance dans le résolveur? (Comme avec tous les résolveurs.) 8/14

On ne peut pas plaire à tout le monde

Depuis quelques mois, grosse offensive idéologique contre DoH,

Le protocole DoH?

Risque de centralisation aveccertainsdéploiements.Résolution prise en main par les applications et pas par le système d"exploitation?

Perte de contrôle par les intermédiaires : ils ne peuvent plus surveiller et censurer. Résolution dépendant du lieu problématique (CDN, noms privés, DNS64...) Problème commun à tous les résolveurs publics.Tout sur le port 443. Confiance dans le résolveur? (Comme avec tous les résolveurs.) 8/14

On ne peut pas plaire à tout le monde

Depuis quelques mois, grosse offensive idéologique contre DoH,

Le protocole DoH?

Risque de centralisation aveccertainsdéploiements.Résolution prise en main par les applications et pas par le système d"exploitation?

Perte de contrôle par les intermédiaires : ils ne peuvent plus surveiller et censurer. Résolution dépendant du lieu problématique

Tout sur le port 443.

Confiance dans le résolveur? (Comme avec tous les résolveurs.) 8/14

On ne peut pas plaire à tout le monde

Depuis quelques mois, grosse offensive idéologique contre DoH,

Le protocole DoH?

Risque de centralisation aveccertainsdéploiements.Résolution prise en main par les applications et pas par le système d"exploitation?

Perte de contrôle par les intermédiaires : ils ne peuvent plus surveiller et censurer. Résolution dépendant du lieu problématique

Tout sur le port 443.

Confiance dans le résolveur? (Comme avec tous les résolveurs.) 8/14

Firefox TRR (Trusted Recursive Resolver)

9/14

Chiffré

10.101.0.51→185.43.135.1 TCP 74 45046→https(443) [SYN] Seq=0 Win=26200 Len=0 MSS=1310 SACK_PERM=1 TSval=1420387234 TSecr=0 WS=128

185.43.135.1→10.101.0.51 TCP 74 https(443)→45046 [SYN, ACK] Seq=0 Ack=1 Win=28960 Len=0 MSS=1310 SACK_PERM=1 TSval=580329493 TSecr=1420387234 WS=128

10.101.0.51→185.43.135.1 TCP 66 45046→https(443) [ACK] Seq=1 Ack=1 Win=26240 Len=0 TSval=1420387350 TSecr=580329493

10.101.0.51→185.43.135.1 TLSv1 608 Client Hello

185.43.135.1→10.101.0.51 TLSv1.2 1364 Server Hello

185.43.135.1→10.101.0.51 TLSv1.2 655 Certificate, Server Key Exchange, Server Hello Done

10.101.0.51→185.43.135.1 TLSv1.2 192 Client Key Exchange, Change Cipher Spec, Encrypted Handshake Message

10.101.0.51→185.43.135.1 TLSv1.2 546 Application Data, Application Data, Application Data

185.43.135.1→10.101.0.51 TLSv1.2 104 Application Data

10/14 dnsdist, pour faire votre résolveur DoH dnsdist est un relais DNS, avec répartition de charge. Il permet de faire facilement

DoT, DoH et DNS classique.

addDOHLocal("0.0.0.0:443", "/etc/dnsdist/server.pem", "/etc/dnsdist/server.key") 11/14

Firefox

Mozilla a annoncé DoH pour Firefox en juin 2018 Par défaut, vers le résolveur public de Cloudflare

Pour se protéger des FAI, on va vers un GAFA?

12/14

Firefox

Mozilla a annoncé DoH pour Firefox en juin 2018 Par défaut, vers le résolveur public de Cloudflare

Pour se protéger des FAI, on va vers un GAFA?

12/14

Firefox

Mozilla a annoncé DoH pour Firefox en juin 2018 Par défaut, vers le résolveur public de Cloudflare

Pour se protéger des FAI, on va vers un GAFA?

12/14

HTTP est indiscret

Trop de détails dans la requête, comparé au DNS, Projet de profil pour réduire le bavardage HTTP. 13/14

HTTP est indiscret

Trop de détails dans la requête (User-Agent:, par exemple), comparé au DNS,Projet de profil pour réduire le bavardage HTTP.

13/14

HTTP est indiscret

Trop de détails dans la requête, comparé au DNS, Projet de profil pour réduire le bavardage HTTP. 13/14

Conclusion

DoH est nécessaire, puisque les FAI ne veulent pas comprendre ce qu"est la neutralité du réseau,DoH est indispensable puisque souvent seul le port 443 est libre. Il faut davantage de résolveurs DoH publics. Prenons exemple sur les tchèques https://odvr.nic.cz/doh. Logiciels existants : Knot, dnsdist.14/14

Conclusion

DoH est nécessaire, puisque les FAI ne veulent pas comprendre ce qu"est la neutralité du réseau,DoH est indispensable puisque souvent seul le port 443 est libre. Il faut davantage de résolveurs DoH publics. Prenons exemple sur les tchèques https://odvr.nic.cz/doh. Logiciels existants : Knot, dnsdist.14/14

Conclusion

DoH est nécessaire, puisque les FAI ne veulent pas comprendre ce qu"est la neutralité du réseau,DoH est indispensable puisque souvent seul le port 443 est libre. Il faut davantage de résolveurs DoH publics. Prenons exemple sur les tchèques https://odvr.nic.cz/doh. Logiciels existants : Knot, dnsdist.14/14

Conclusion

DoH est nécessaire, puisque les FAI ne veulent pas comprendre ce qu"est la neutralité du réseau,DoH est indispensable puisque souvent seul le port 443 est libre. Il faut davantage de résolveurs DoH publics. Prenons exemple sur les tchèques https://odvr.nic.cz/doh. Logiciels existants : Knot, dnsdist.14/14 www.afnic.fr contact@afnic.fr

Merci !

quotesdbs_dbs42.pdfusesText_42
[PDF] pop3

[PDF] dns rapide

[PDF] fichier dactivité je mexerce cm2

[PDF] tronc commun scientifique français

[PDF] najah math tronc commun

[PDF] exercices résolus monohybridisme

[PDF] cours genetique monohybridisme dihybridisme

[PDF] monohybridisme cours pdf

[PDF] exercices corrigés monohybridisme dihybridisme

[PDF] monohybridisme explication

[PDF] texte passé composé imparfait cm1

[PDF] quand utiliser le passé composé ou l'imparfait

[PDF] ceb grandeurs exercices

[PDF] ceb grandeurs 2017

[PDF] ceb grandeurs 2011