@bortzmeyer @R1Rail @LienRag bah j'ai pas plus confiance en cloudflare qui en plus a déjà plein d'informations sur les sites visités

@R1Rail @LienRag M'en fiche, j'utilise un résolveur DoH libéré délivré.

@bortzmeyer @R1Rail @LienRag sauf que tu râles sur ce qui n'est qu'une option par défaut, plus facile à désactiver que mettre son propre resolveur DoH

@R1Rail @bortzmeyer

Ah il est désactivable le canari méchant ?

@LienRag @R1Rail @bortzmeyer Il me semble, ou en choisissant la bonne valeur pour la préférence de firefox, celle qui a un nom à la CO qui n'a rien à voir avec DoH.

@R1Rail @LienRag Meuh non, il y a un menu graphique à la souris convivial GUI user-friendly, maintenant.

@bortzmeyer @R1Rail @LienRag Donc c'est encore plus simple que de monter son propre résolveur DoH qui doit être accessible de partout et en accès public pour fonctionner.

@R1Rail @LienRag « En accès public » Euh, non. (Celui de nos collègues de SIDN est privé, par exemple.)

@bortzmeyer La dernière fois que j'avais regardé c'était le cas; Sans compter que monter un DoH était quand même une bonne grosse saloperie Web bourré de librairies incontrolées.

@R1Rail N'importe quoi. (Et je sais de quoi je parle, moi, je gère un serveur DoH. )

@bortzmeyer @R1Rail Ah ? tu as une doc pour en monter un ? J'ai déjà un nginx et un unbound qui tournent, ça devrait être simple alors ?

@R1Rail https://www.bortzmeyer.org/doh-mon-resolveur.html

@R1Rail ldd trouve 34 bibliothèques (dont la libc et le loader). Pour un programme moderne, ce n'est pas beaucoup :-)

@bortzmeyer @R1Rail Et vu que tu es seul utilisateur sur ton résolveur DoH et que lui fais ses requêtes en clair tu es tout aussi espionnable que sans. Tu n'as rien gagné. Le DoH te protège uniquement parce que tu es au milieu de la foule, ce qui impose la centralisation, et donc un acteur qui lui va être en première place pour t'espionner.

@R1Rail @bortzmeyer C'est plus ou moins vrai, ou en tout cas plus compliqué que ca, donc ca ne tient pas dans un toot.Le serveur DoH utilisé peut être un serveur virtuel/physique dans un nuage, et donc les requêtes qu'il fera seront noyées parmi plein d'autres.Il est toujours important de d'abord spécifier contre quoi on veut se protéger, de là découlent les défenses. Il y a aussi les promoteurs de l'usage de plusieurs résolveurs et répartir les requêtes entre. Sans compter la QNAME minimization

@R1Rail Les requêtes sortantes sont en clair, mais QNAME minimisation + cache améliorent les choses. Et je ne suis pas le seul utilisateur. L'opposition binaire résolveur strictement individuel vs. gros GAFA est absurde.

@bortzmeyer @R1Rail tu utilises quel logiciel pour le serveur DoH?

@amdg2 @R1Rail https://www.bortzmeyer.org/doh-mon-resolveur.html

@bortzmeyer @R1Rail @LienRag Il faut coder à la main l'en-tête. De fait il faut donc un résolveur public.
Sans parler des options liées et de leur (non ?) documentation, mais ça c'est standard chez mozilla

@R1Rail @LienRag Non, c'est faux et tu n'as manifestement pas testé. (La syntaxe standard user@password dans l'URI marche parfaitement avec Firefox et un DoH privé. Pas essayé avec l'authentification par certificat.)

@bortzmeyer @R1Rail @LienRag n'ayant pas de serveur DoH demandant authentification (et ta solution marchera pas chez moi j'ai déjà nginx sur le 443) je ne vois pas comment tester.
Et là on retombe sur le manque de doc accessible de Mozilla

@R1Rail @LienRag Le user@password dans l'URL est tout à fait standard, et ne nécessite donc pas de doc spécifique de Mozilla.

@bortzmeyer @R1Rail @LienRag Pas trouvé sur mon Firefox Android. Je chercherai sur le Linux quand je l'aurai booté.

@bortzmeyer @R1Rail @LienRag Mettre network.trr.mode à 5 (l'option en question) reste plus sûr que l'interface. 🤔 (question de confiance dans la zoli interface — placée dans Général/Paramètres Réseaux et non Vie privée, d'ailleurs — a priori 🤔)

@bortzmeyer @R1Rail @LienRag (en parlant de DoH - et surtout DoT - je vais bientôt ouvrir mon résolveur public. Reste à terminer la doc et 2-3 trucs. #Teasing)

@R1Rail @LienRag @bortzmeyer Mozilla (mais Android fait la même entourloupe) a effectivement décidé de parler de "Trusted Recursive Resolver" (et donc l'option s'appelle "trr" dans leur code), alors que ce n'est pas (juste) le transport qui permet de dire si on fait confiance à la partie en face ou pas (c'est bien pour cà que dans TLS, qui assure à la fois confidentialité et authentification, les deux aspects sont séparés même si très souvent utilisés simultanément)

@R1Rail @LienRag Les ayant-droits sont d'accord https://twitter.com/ebothorel/status/1232211946591703040