Avantages du filtrage DNS:

• Filtre une très grande quantité de publicités/tracking/malware sans logiciel à ajouter (Exception: Sous Android il faut ajouter un logiciel).
• Fonctionne sous tous les OS (Windows, Linux, MacOSX…)
• Fonctionne dans toutes les applications (et pas que dans le navigateur).
• Sous Android, permet d'éliminer d'un coup la quasi-totalité des publicités et traqueurs, y compris dans les applications.
• Applicable poste par poste, ou sur un réseau complet si vous le configurez dans votre routeur (pi-Hole, pfSense, etc.)
• Très facile à mettre en place.
• Rapide.

Inconvénients:

• Ne filtre pas tout.

Pour moi, le plus gros inconvénient d'un filtrage côté résolution des noms (le terme DNS est incorrect ici car il ne couvre pas tous les cas d'usage présentés : le fichier hosts est justement un mécanisme de résolution hors du DNS), c'est l'absence de visibilité immédiate de ce qui est bloqué et la possibilité de débloquer facilement et immédiatement un contenu. Genre un site web ne fonctionne pas ou pas bien, je ne sais pas immédiatement que le problème vient d'un filtre et je ne peux pas désactiver le filtre en question en un clic. Les extensions pour navigateurs web proposent cette visibilité : "j'ai bloqué tel et tel élément, clique ici pour le débloquer".

• C'est d'autant plus problématique que les besoins divergent entre les personnes qui utilisent une même liste ou une même machine. Exemple : faut-il bloquer les services Google Android et/ou les boutons des réseaux sociaux (like, retweet, etc.) ? Pour moi la réponse est oui, mais elle sera non pour d'autres. Pour atteindre cet objectif tout en utilisant un filtrage côté résolution des noms, il faut être plus rigoureux sur les listes de filtrage que l'on utilise, c'est chiant.

Utiliser cette méthode sur tout un réseau entraîne des questions de (absence de) responsabilité. Dans un foyer ou une société commerciale, ça peut diminuer la vigilance des personnes genre "puisque la merde, y compris les phishings, est bloquée, je m'en fiche de tout, je clique partout" et amener des propos du type "c'est la faute du service informatique / parents, moi j'ai juste cliqué et c'était pas bloqué contrairement à d'habitude !". Même chose quand des amis viennent à la maison et que ça ne fonctionne pas « comme d'habitude » ou que ça ne fonctionne pas du tout : la pose d'un diagnostic peut être pénible.

« Très facile à mettre en place ». Avec une clé de registre winwin à modifier ?!

Je suis surpris de constater que SebSauvage utilise un critère de bonne moralité pour constituer sa liste : « Sites conçus pour choquer (goatse, 2girls1cup…) ».

Je reconnais que ça permet de bloquer la merde de winwin et/ou celle d'un fabricant d'ordiphone et/ou celle d'applications hors navigateur web, y compris ce qui est fait dans le dos de l'utilisateur, mais, en ce qui me concerne, j'utilise du logiciel libre, donc respectueux de ma personne (ça ne veut pas dire gratuit, les dons sont encouragés), y compris pour mes applications mobiles (+ sans compter que seules quelques-unes ont accès à Internet, les autres sont bloqués par le pare-feu AFWall+ pour Android) et mon système d'exploitation mobile. Du coup, l'aspect « bloquer la merde sur tout support » ne m'intéresse pas.

@Mydjey :

Idem, même retour, j'ai demandé à ma banque que le NFC soit désactivé sur ma carte et il l'est.

Ben, pas ici (Banque Popu). Liste des événements :

• Fin 2015, dans le cadre du renouvellement trisannuel, je reçois ma première carte bancaire siglée NFC. J'en demande la désactivation par LRAR. Pas de réponse ;
  
  
• Début 2018, on me vole ma carte bancaire. J'en demande une nouvelle. Sur le moment, j'oublie NFC, donc je reçois une carte NFC ;
  
  
• Début 2019, ma banque m'annonce qu'elle va remplacer ma carte bancaire en application du règlement européen 2015/751 (les catégories changent et une carte à débit différé se nomme désormais une carte de crédit, donc il faut changer son sigle qui dit carte de débit… Le droit rattrape enfin la réalité, mais le changement de sigle au motif d'information du consommateur est inutile… Joli gaspillage de plastique et d'électronique. On notera que ce règlement européen est entré en application en juin 2016, donc ma banque aurait pu me fournir une carte conforme dès début 2018… Gaspillage, bis). Par courrier simple, je demande à ma banque d'être vigilante sur l'adresse postale qu'elle utilisera puisqu'en 2018 la carte a été envoyé à la bonne adresse, mais pas le code. Pas de réponse. Plus d'un mois après, une carte est marquée comme expédiée dans mon espace personnel sur le site web de ma banque, mais je ne la recevrai pas. Deux mois plus tard, j'envoie une LRAR à ma banque afin d'indiquer que je n'ai pas reçu la carte. J'en profite pour demander la désactivation de NFC. Ma banque fait durer le plaisir en voulant re-vérifier mes données personnelles (adresse postale, etc.) tout en rejetant mon justificatif de domicile. À chaque LRAR en réponse, je rappelle l'intégralité de ma demande afin qu'elle ne soit pas oubliée dans la réponse à leurs questions, qui inclue la désactivation du NFC. Début septembre 2019, un courrier de ma banque blablate « À la réception de la nouvelle carte, avec l’option sans contact désactivée, […] ». En toute logique, fin septembre 2019, je reçois une carte… avec le NFC activé. Je le signale par LRAR début octobre 2019 et mi-novembre 2019 (LRAR qui traitent également d'autres sujets, pas fou ;) ) ;
  
  
• Après un échange téléphonique à la mi-décembre 2019 (pour traiter d'autres sujets), je reçois ENFIN une carte dont la banque m'informe que le NFC est désactivé, ce dont je doute (voir paragraphe suivant) mais je n'ai pas encore vérifié.

Il me semble même que je peux l'activer et le désactiver moi-même dans les paramètres quand je met ma carte dans une borne de ma banque (borne de dépôt ou borne de retrait je ne sais pas).

Selon la manière dont s'est implémenté, ça peut me poser problème. La carte dite « NFC désactivée » comporte le sigle NFC et le circuit NFC (j'ai vérifié). Si le circuit NFC peut être activé / désactivé à la demande, ça veut dire qu'il est fonctionnel. Comment être sûr qu'il n'est pas """"en écoute"""" (façon de parler, en NFC, c'est le lecteur qui fourni l'énergie), dans l'attente d'une séquence qui permet de réactiver le circuit NFC ? Est-on sûr que la réactivation est seulement possible depuis un appareil en contact avec la carte / puce électronique ? Renaud Lifchitz, le gus qui a publiquement exposé la fuite des données persos stockées sur les cartes bancaires via NFC disait, en 2012, que le protocole / formatage des données et les fonctionnalités (EMV) sont environ identiques, que l'on communique avec la puce avec ou sans contact…

@Oros :

C'est bien d'ajouter tous les entêtes HTTP «de sécurité». Mais quand tu as quelqu'un qui faire du MITM sur ta connexion, ça vaut plus rien.

Vrai uniquement si l'attaquant est actif, qu'il modifie les paquets IP sur le réseau (et cette limite est clairement mentionnée dans les RFC qui normalisent les entêtes). Or, ce n'est pas le modèle de menace que t'as présenté lors de notre dernier échange sur le sujet. J'ai bien compris que cette phrase est une entrée en matière, mais je précise pour les autres lecteurs.

Pour ça j'ai développé un plugin Firefox qui permet de détecter ces attaques :-)
Documentation et codes sources : https://github.com/Oros42/checkcertif

J'ai regardé tout ça. Première chose : bien joué. Moi : :O :) \o/

Mes remarques :

• Je me suis renseigné un minimum afin de vérifier que tu ne ré-inventes pas la roue et, a priori, non, il n'y a pas de """"produit"""" équivalent. On avait Certificate Patrol, mais cette extension Firefox est morte. On a Certificate Pinner dont je ne sais pas encore quoi penser. De toute façon, cet outil utilise le modèle de sécurité TOFU (Trust On First Use, on fait confiance la première fois, et si le certificat x509 change, on génère une alerte, ce qui suppose d'avoir surfé au préalable sur tous les sites qui sont susceptibles de nous intéresser à partir d'un accès à Internet propre), ce qui n'est pas ce que tu proposes ;
  
  
• Ton serveur, https://chkcrt-dev.ecirtam.net/, semble être hors service ;
  
  
• Lors de la configuration de GnuPG sur le serveur, tu laisses le choix du nom du dossier de config' GPG, donc, dans la doc' du serveur, mentionne bien de changer la valeur de la variable « _gnupgHome » dans le fichier « config_chkcrt.php ». J'ai perdu un temps fou avec ça ! ;
  
  
• Quel est l'intérêt du panneau latéral qui apparaît à l'installation / activation de l'extension ? ;
  
  
• J'ai essayé d'ajouter un serveur dans la configuration de l'extension. Ça ne fonctionne pas : quand je clique sur le bouton « Save », pouf, le formulaire se vide. Aucune requête est faite au serveur indiqué, donc j'imagine qu'il y a un contrôle local de la saisie, mais j'ai rien vu d'évident dans le code JS ;
  
  
• J'ai exporté la config', je l'ai modifiée afin d'ajouter un serveur, puis je l'ai importée. Tous les sites web sont marqués « en danger » alors que le panneau latéral de l'extension montre qu'elle a ni les hashs calculés en local ni les distants. Normal : d'après mon journal Apache et mon wireshark, aucune requête a été effectuée ;
  
  
• La nouvelle config' n'est pas prise en compte (wireshark montre que l'extension cause toujours à l'ancienne URL, par exemple). Le seul remède que j'ai trouvé, c'est de désactiver / activer l'extension ;
  
  
• Si l'extension n'arrive pas à contacter un serveur, elle affiche une icône croix rouge et le message « Danger ». Il faudrait un code retour différent, je pense. Même chose si le site web est en HTTP ;
  
  
• La modification d'un serveur ne fonctionne pas : cliquer sur le bouton « Save » ne fait pas revenir à l'affichage par défaut (« add server »), même si l'on modifie un serveur valide comme le tien ;
  
  
• Le taux d'échec est important. Sur Twitter, les requêtes pour les contenus médias imbriqués sont marquées « ? ». En permanence. Sur Youtube, tantôt ça met tout en « … » (wait), tantôt ça marque « i.ytimg.com » en rouge / danger. En permanence. Sur ton shaarli ou le mien ou d'autres sites propres (sans xxxxx contenus tiers), ça échoue, mais si on redémarre l'extension, ça fonctionne ;
  
  
• À quoi sert la liste de domaines embarquée dans l'extension ? ;
  
  
• A priori, l'extension met en cache les résultats. Véridique ? Tu pourrais différencier le cache positif et le négatif (quand échec ou absence de réponse) ;
  
  
• Conceptuellement, j'ai deux remarques :
  • Ton procédé n'est pas discret. Dans ton modèle de menace, ça passe, mais dans notre échange, tu parlais de pays autoritaires, et là, ça se voit sur deux points : en volume de requêtes et si jamais le nom de l'outil est dans le nom d'un serveur. Dans certains de ces pays, rien que le fait de tenter de feinter met les gens en danger ;
    
    
  • Les CDN / routage anycast, bref, tout ce qui réparti la charge, est susceptible de générer des fausses alertes car le serveur ne tombera pas sur la même instance que l'extension, donc le certificat pourra être différent (pas la même date d'expiration, par exemple). Ça posait problème avec Certificate Patrol. On pouvait vérifier le certificat intermédiaire plutôt que le final, mais ça générait aussi de fausses alertes trop fréquentes.

@Ecyseo :

Dire qu'il n'y a que les plus grosses, c'est faux. J'ai passe commande la semaine dernière et me suis fait livrer dans une librairie de taille moyenne voire petite, tenue par un couple fort sympathique.

Ho ? Retour intéressant. L'écrasante majorité de celles de ma ville sont toujours absentes.

Je n'ai pas eu de réponse à mon email adressé à l'éditeur de ce site web…

Chose à faire : discuter de ce site web avec la nouvelle propriétaire de ma librairie préférée.

@Zeseb :

La météo juste pour le lendemain en général c'est assez fiable. Et en général la tendance au niveau des températures est assez bonne.

Je ne partage pas du tout ce constat. Même quelques heures avant un changement drastique, le site web de Météo France est souvent aveugle aux phénomènes courants (je ne parle pas d'une tempête). :O

Le réveil matin, difficile de sauter la pas !!

Comme je l'ai écrit dans ma réponse à Sammy, ça se fait petit à petit et encore plus facilement en fonction des situations (pas d'enfants, emploi tolérant aux horaires, activité prévue stimulante, etc.). Je conseille de commencer à pratiquer le sans réveil-matin en printemps / été (la lumière qui traverse les volets de bonne heure et la chaleur donnent envie de se bouger). Go go go ? :)

@Sammyfisherjr :

(désolé, mais tu fais vraiment trop long !)

(Ne pas répondre que c'est proportionnel à la taille du zboub ou inversement proportionnel, je sais jamais… ne pas répondre que c'est… ne pas…)
J'essaye d'être complet, de mélanger arguments, imaginaire alternatif, histoire, et, parfois, émotions. Tout ce qui est nécessaire afin que la mayonnaise prenne. :)
Je pense que vouloir aller vite et au plus court est un tort et probablement l'un des éléments qui nous mettent mal sur les sujets majeurs.

=> les montres m'emmerdent ; la mienne est dans ma poche...

Ça fonctionne ? T'as pas la pulsion régulière de vérifier l'heure comme on vérifie les notifications de son téléphone ? J'avais ça, perso.

=> la météo c'est stupide : tu ne vas pas aller bosser parce qu'il pleut ? Non.

Yep. Je lis aussi ça dans l'autre sens : comme on passe l'essentiel de notre temps à subir des activités indésirées, dont un emploi, on essaye de faire en sorte que le cadre de ces activités (et celui des activités désirées, du coup) se déroule le moins mal possible (ou soit optimal), et la météo y contribue… mais elle peut aussi avoir l'effet inverse genre commencer à te déprimer parce que tu crois qu'il va pleuvoir…

1/ la météo sert à combler une sorte d'angoisse compulsive. On est sûr de rien, mais au moins, on va savoir le temps qui est prévu.

C'est ce que j'essayais de formuler. Tu le fais mieux que moi. :) C'est une peur comme une autre, comme celle de l'inconnu ou celle du changement ou…

2/ ça sert aussi à alimenter les conversations. "Salut ! Fait pas beau hein ? Oui mais c'est bon pour les cultures. Ah bin oui, après cette chaleur ça fait du bien." Ce genre de conversation me saoule, mais j'essaie de m'adapter pour ne pas faire trop ours...

Même constat. C'est un sujet sans risque / consensuel puisque la météo ne dépend pas de nous (quoi qu'avec la géoingénérie… mais la personne lambda ne le sait pas). Par contre, j'ai progressé : je regarde encore moins la météo qu'au moment de l'écriture de mon shaarli, même si y'a encore du boulot. \o/

Prolongement : dans un de ses articles de blog, Aaron Swartz suggérait de remplacer les propos « ça va ? » / « météo » inutile par un « sur quoi es-tu en ce moment ? qu'est-ce qui t'intéresse ? ». Je trouve que c'est positif : ça peut mettre en avant des intérêts souvent ignorés, ce qui peut augmenter l'estime de soi du questionné tout en apprenant des choses au questionneur et en créant des vrais liens sociaux. J'ai (un peu) essayé, mais ça tombe assez vite à l'eau compte-tenu de l'écrasante majorité des réponses : « rien », « je regarde la série Netflix machin », « rien… ce soir, ça sera levrette… peut-être ».

=> pour le réveil matin, je suis d'accord sur le constat, mais j'aurais un peu peur du plantage. Genre tu te réveilles tous les jours avant le réveil entre 6h30 et 7h, et le jour où tu ne le mets pas, crac, 9h45 !

Comme j'l'ai écrit : ouais, l'apprentissage est difficile. Trop tôt ou trop tard. Mais, petit à petit, on se cadence et l'on tient dans le temps, sauf les lendemains de beuverie / geekerie, bien entendu. :D En ce qui me concerne, il y a eu deux déclencheurs : apprendre à se faire confiance (au début, je me réveillais """"en sursaut"""" plusieurs fois par nuit) et être motivé par l'activité du jour, souvent un emploi (même avec un réveil, je n'arrivais pas à me lever dans le cadre d'un précédent emploi). Avoir un emploi à moins de cinq minutes à pied qui ne nécessite pas d'être présentable ("j'ai pas eu le temps") et qui tolère une large amplitude horaire, ça aide bien au début.

Bref, je trouve toujours que ça vaut le coup, de ne pas être interrompu pendant son sommeil. Les rêves sont importants dans notre rapport / apport au monde. Essaye encore ? :)