Une nouvelle panne semble avoir touchée les serveurs DNS d'Orange ce mercredi (quelques semaines après "l'erreur humaine" qui a touché quelques - gros - sites). Encore une fois, les réseaux sociaux (mais pas que) ont répandus l'idée d'arrêter d'utiliser les résolveurs de son FAI pour passer sur ceux de Google, de Cisco (OpenDNS) ou autres OpenNIC fumeux (quelques examples).
Certes Google Public DNS, pour rester sur le plus connu, est fiable (il ne ment pas et ne tombe pas souvent en panne) mais, Google étant Google, c'est leur donner accès à l'intégralité des requêtes DNS partant de vos machines, soit à peu prêt toute votre activité sur le net. Regardons ce que donnent de telles métadonnées [...]
Que voit on : en vrac, des requêtes qui ressemblent fort à un Firefox venant d'être lancé, avec en prime - en profilant un peu - des requêtes permettant de débusquer quelques extensions (Privacy Badger ici), des requêtes pour avoir l'adresse de trackers BitTorrent, le fait que je visite les sites d'Acrimed et de Valeurs Actuelles en même temps, mais aussi le site du Parti Socialiste et un site de vidéos de chatons (ne me jugez pas, merci).
Bien sûr, j'ai fabriqué l'exemple pour l'occasion afin de forcer le trait. Ceci dit, il faut prendre conscience du fait que le DNS est - indirectement - très efficace pour vous traquer et vous profiler. Ce n'est pas aussi élaboré que les mouchards des GAFA, mais c'est tout de même extrêment parlant,
Eh oui que faire ? car en attendant les résolveurs de votre FAI sont en panne. Je vois 3 options :
- Si vous êtes flemmard, vous pouvez passer sur les résolveurs ouverts de FDN. Ce sont des gens sérieux et digne de confiance. À noter qu'ils ne sont pas à l'abri d'un détournement comme mentionné plus haut.
Ça serait top de ne pas concentrer tout le trafic DNS chez FDN sinon on recrée un point central avec les mêmes problèmes ! Voici une liste d'autres résolveurs DNS ouverts sérieux et digne de confiance (puisque membres de la FFDN, tout comme FDN) : http://diyisp.org/dokuwiki/doku.php?id=technical:dnsresolver
- Si vous êtes encore plus flemmard, que vous souhaitez garder les résolveurs de votre FAI mais juste pouvoir aller sur le Web le temps d'une panne, utilisez Tor Browser. Avec un peu de chance, vous y prendrez goût (et avec la recrudescence de censure, vous devriez).
- Vous savez comment changer vos résolveurs sous Windows ou Linux ? Bonne nouvelle, vous êtes suffisament compétents pour utiliser votre propre résolveur.
Le top du top, c'est d'installer un résolveur dans votre réseau local, oui mais de les configurer pour transférer vos requêtes à un autre résolveur de confiance comme ceux cités ci-dessus. Ainsi, tout le monde y gagne : vous gagnez en vitesse (puisque le cache est local), vous pouvez faire de la validation DNSSEC donc vérifier l'intégrité des réponses que le DNS fournit et tout ça sans surcharger les serveurs qui font autorité sur les noms de domaine que vous consultez souvent.