Google.fr bloqué pour apologie du terrorisme suite à une « erreur humaine » d’Orange

Parce que les root sont des serveurs faisant autorité gros débile, ils n’ont aucunes fonctionnalités pour faire de la “récursion”… Les mecs qui parlent sans savoir sont vraiment marrant

Bien sûr que si les root font autorité sur le “.”, tu y récupèreras les NS des TLD soit fr. / com. / net. et ainsi de suite…
C’est un peu triste de voir autant de commentaires techniques alors que les gens n’y connaissent rien, et ça se permet de beugler à tout va alors que ça comprend même pas le fonctionnement basique du protocole

Tout à fait d’accord, juste qu’ici il faut tout préciser sinon les gens vont encore crier au complot, à mort Orange et fanboyisme de Free. Ce n’est pas contre toi, mais pour les autres " />

authority en anglais, il est bilingue

Les serveurs root sont joignables par n’importe quel serveur récursif, le tien, celui d’orange, d’une petite PME du moment qu’il a les adresses de ces serveurs (que tu trouves aisément sur internet ou directement dans le package de l’applicatif DNS).

Quand tu fais ta requête www.orange.fr. ton serveur récursif si il n’a rien en cache ira demander aux serveurs roots qui fait autorité sur le fr., ils te donneront l’adresse des serveurs de l’AFNIC à qui tu demanderas qui fait autorité sur le orange.fr. où on te donnera l’adresse des NS (name server) d’Orange qui te desserviront les différents records (A, AAAA etc…) pour www.orange.fr.

Donc les root sont bien des serveurs faisant autorité joignables par n’importe qui, ils ne connaissent bien entendu que les NS des TLD (premier élément le plus à gauche du FQDN sauf zone “interne/privée”)

Voilou

Non du tout, si je te donne l’IP de mon serveur récursif tu peux venir l’utiliser sans aucun souci en te dédouanant des DNS de ton FAI. Sauf si celui-ci via sa box décide de rediriger l’ensemble de ton trafic DNS (peu importe sa destination) sur ses serveurs auquel cas tu devras utilisé un VPN par exemple.

Un serveur faisant autorité n’a pas de cache puisque c’est lui qui a les informations concernant un ou plusieurs domaines (typiquement les root ont le fr / com / net etc…).
Le cache est toujours au niveau des récursifs (OS, navigateur, box) car 80 à 90% des requêtes DNS sont quasiment toujours les mêmes, donc pour éviter au serveur récursif de faire une résolution complète on utilise le système de cache pour gagner du temps (pas besoin d’aller voir X serveurs faisant autorité). Il suffit d’une fois pour que la réponse soit mise en cache avec un TTL (pour éviter justement que lorsqu’on change par exemple une IP pour un www.orange.fr on se retrouve à pointer vers un serveur qui n’existe plus). A son échéance (le TTL) le premier client qui viendra demander au serveur récursif la résolution du FQDN concerné se verra obligé de faire le processus de “récursion” pour récupérer la réponse qu’il mettra en cache pendant une durée determinée par le TTL (choisi par l’admin de la zone).
Ce sont les grandes lignes en gros..

Le souci d’Orange hier, outre le fait qu’ils ont blacklisté google/ovh/wiki, est que tu n’as pas la main sur tous les caches de la Terre. Donc de fait, même si tu rollback (ça prend au grand max 20/30min) ton blacklistage, que tu flush/vide les caches de serveurs récursif du FAI il te restera toujours les caches de l’OS / navigateur / applicatif / box du client dans lequel tu auras la mauvaise réponse (jusqu’à échéance du TTL qui était de 17200sec hier quasi 5h)
 
Je ne sais pas si j’ai répondu à ta question " />
 

Oui c’est ce que je t’explique depuis tout à l’heure, il faut forcément un serveur récursif dans la chaine. Mais le serveur root est ouvert à tout le monde, tu peux le requête il te répondra sur ce qu’il sait pas plus !
SI tu lui demandes de te résoudre www.orange.fr il te répondra uniquement qu’il connait les NS de fr. Et ça s’arrêtera là, ensuite c’est ton serveur récursif qui s’occupe de faire le reste

Les NS de fr. sont :
 
fr.            25337    IN    NS    f.ext.nic.fr.
fr.            25337    IN    NS    g.ext.nic.fr.
fr.            25337    IN    NS    e.ext.nic.fr.
fr.            25337    IN    NS    d.nic.fr.
fr.            25337    IN    NS    d.ext.nic.fr.

après c’est ton serveur récursif qui choisit lequel il va aller interroger, ils sont tous identiques ! Donc peu importe lequel il requête t’auras la même réponse !

Non non le blocage n’est pas fait au niveau du TLD, le blocage est fait chez ton FAI qui créé un faux serveur faisant autorité sur sa plateforme sur lequel il redirige toutes les requêtes de type XXX.terrorisme.fr / jeregardeduporno.com etc.. Ta requête DNS ne sort même pas de sa plateforme, elle est directement envoyé sur ce faux serveur faisant autorité qui ment sur la réponse.
C’est poru ça que si tu utilises un autre DNS que celui des FAI tu n’auras pas de blocage (ou très peu dépend du pays/loi/statut de l’entité qui héberge le serveur récursif)

Oui et non parce que le TLD n’est requêté que si dans ta requête tu utilises ce TLD, tu n’iras jamais voir les NS de l’AFNIC pour un domaine en .net / .com etc..
Il faudrait demander à tous les TLD de faire les blocages de sa branche (théoriquement faisable), et chaque TLD est établit dans un pays avec des lois différentes donc pas possible. Aujourd’hui la France ne peut pas forcer l’entité qui s’occupe du .com à bloquer le domaine jesuisunterro.com, tu ne peux pas non plus demander aux Chinois de bloquer terrorisme.cn ils vont te rire au nez.
Du coup le moyen le plus simple, qui touche le plus de monde (mais qui est facilement contournable) est de bloquer au niveau des serveurs récursifs parce que tout le monde passe par là de base (avant toutes modifications de la part du client) avec l’accès internet du FAI français. Et là tu peux bloquer n’importe quel domaine grâce au faux serveur faisant autorité avec redirection des requêtes qui arrivent sur le serveur récursif, ça ne sort pas de la plateforme du FAI donc aucune chance d’aller attraper le bon enregistrement DNS, du coup BAM on te ment et on t’envoie sur la jolie page qu’on a vu hier en fonction du site que tu visites (terrorisme, pedoporno, blocage arjet et j’en passe)

Quand l’hébergeur du nom de domaine est français, il est sous le couvert de la loi francaise donc si tu as un site de type jesuisunterro.fr tu as de forte chance pour que celui-ci soit bloqué au niveau de l’AFNIC car il gère le .fr, par contre pour les autres (comme expliqué avant) tu ne peux rien y faire donc tu passes par le FAI.
C’est pour ça que tu vois T411 changer constamment de TLD (il y a eu .fr, .io etc..), aujourd’hui ils sont en .ch (Suisse). L’AFNIC ne peut rien faire, le blocage sera donc fait par le FAI après décision de la justice francaise.

Ce qui faut voir en terme de serveur faisant autorité c’est que l’infrastructure DNS est distribuée et hiérarchisée ce qui fait que c’est très robuste mais aussi un vrai poulpe géant quand tu veux réaliser des blacklistages.
Si demain les serveurs AFNIC tombent, tu n’auras que les noms de domaines en .fr injoignables tout le reste (com/net/cn) continuera de fonctionner.
Il faut voir la structure du DNS comme un arbre inversé où le “.” soit les serveurs root est la base, ensuite on délègue à d’autres serveurs faisant autorité les TLD, AFNIC pour le .fr, DENIC pour le .de etc.. et ainsi de suite, l’AFNIC délègue des sous domaines à Orange, SFR, Free voire même à toi si tu veux avoir ton nom de domaine ledufakademy.fr. et ainsi de suite

Ce n’est même pas une question de transfert de zones, c’est juste que le DNS est régi par un organisme mondial appelé l’ICANN qui donne des droits et “privilèges” à d’autres organisme pour gérer une partie des noms de domaines dans le monde.
Nous on segmenté ça avec les TLD, chaque TLD est géré par un organisme différent (bon des fois un organisme en gère plusieurs), qui eux même donne des droits à d’autres entités (entreprises / particuliers) pour gérer des noms de domaines.

Si tu diffuses de la merde avec un nom de domaine en .fr tu seras rapidement blacklisté directement par l’AFNIC sous décision de justice. Le blacklistage AFNIC est puissant car peu importe avec qui tu les interrogeras (n’importe quel recursif google, opendns, le tien) ton domaine ne sera pas accessible puisque c’est l’AFNIC la référence du .fr, en gros l’éditeur de l’annuaire téléphonique français (il raye ta ligne ou donne une adresse qui t’envoie au commissariat).
Si par contre tu as ton leduk.cn (nom de domaine en Chine), tu seras blacklisté niveau FAI donc là tu pourras quand même accéder à ton site via d’autres récursifs que les FAI français.

Le .me c’est le montenegro, OVH doit aller là bas car en terme de loi ça doit être souple je pense (tout en restant dans l’UE geographiquement parlant, les accords tout ça).
Donc le me est géré par un organisme comme l’AFNIC, qui a vendu le sous domaine anycast à OVH qu’on voit bien quand on fait un whois.
Du coup si tu diffuses du contenu illicite avec ce nom de domaine, tu seras blacklisté au niveau FAI et non TLD.

Bien sûr, ils sont ouvert à tout le monde. Juste que ce n’est pas lui qui fera la résolution complète de ta requête. Il te dira juste je ne connais pas www.orange.fr. mais je connais .fr. voilà son adresse.

Si tu demande www.orange.fr. aux NS de l’AFNIC ça sera pareil, je ne connais pas www.orange.fr. mais je connais orange.fr. voilà son adresse.
Tous les serveurs faisant autorité sont joignables unitairement mais ne se permettent pas de répondre sur un “secteur qui n’est pas le leur”, ils donnent en réponse ce qu’ils savent ni plus ni moins. C’est pour ça qu’on utilise un serveur récursif qui se charge de faire l’ensemble des échanges avec tous les serveurs faisant autorités que tu vas devoir aller voir pour résoudre ta requête et avoir ta petite réponse.

Oui très facile, protocole dédié qui utilise le port 53 (soit en dest ou source suivant le sens dans lequel tu te places)  souvent en UDP. Après tu as la possibilité de chiffrer le trafic DNS, très peu répandu aujourd’hui, et tu as DNSSEC qui permet de prouver l’authenticité, l’intégrité et la preuve de non existence d’un enregistrement à l’aide d’un système de signature (pour faire rapide).

Rien n’empêche le FAI propriétaire du serveur récursif de spoofer une réponse effectivement, c’est pour ça qu’il vaut mieux avoir son propre serveur (après tu as l’attaque de cache poisoning) que de faire confiance à un tiers type google, des open resolver que tu trouves en pagaille sur le net.
Le FAI étant sous le coup de la loi française, mentir sur autre chose que ce qui est décidé par l’Etat (blacklistage réglementaire) est très dangereux pour eux.

Les caches contiennent environ 90% des réponses, donc clairement pas pénalisé. Après clairement que si utilises un récursif où faut que tu te manges un lien transatlantique forcément tu vas le sentir (200ms de moyenne).
Suivant l’opérateur certains flux sont séparés dans des VLAN et donc “priorisés” avec des seuils, ce qui passe au dessus est droppé ni plus ni moins.
Le DNS étant la base de l’internet, pas de service DNS peu de monde navigue, je pense pas qu’ils s’amusent à leur mettre une priorité de merde pour faire passer du netflix.

Oui c’est possible théoriquement pour un FAI mais :

• Cher car il faut des routeurs capables de gérer ce genre de règles en nombre, déployer ces règles sur chaque routeur de ton réseau de collecte à chaque NI, NO, NE, point de peering tout ça.
  


• Empiler des règles réseaux de merde comme ça c’est une dégradation des perfs des routeurs (traitement paquets etc..)
  


• Empiler des règles c’est aussi plus de chance de faire une erreur lors d’une reconfiguration de l’équipement ou un debugging
  


• Tous les équipements réseaux ne sont pas gérer par la même équipe, à contrario des DNS (à fortiori) donc t’évites des échanges longs, douloureux et quiproquo
  
  Si aujourd’hui les FAI ont choisi le DNS c’est parce que ça coûte rien, le process est très simple et c’est centralisé (pas comme les X routeurs que tu as au quatre coins de ton réseau).

Non si tu n’utilises pas les serveurs récursifs d’Orange ils n’ont pas de moyen autre de te bloquer. L’écran blanc était certainement dû au fait que les serveurs lamainrouge était mort sous le flood des clients redirigés chez eux

Ca coute beaucoup trop cher de faire du DPI vu le nombre de requête à traiter, 35 millions de clients pour Orange ça en fait un paquet d’IPS pour filtrer tout ça… Au pire tu VPN et ils ne peuvent rien y faire puisque ce n’est plus taggé comme DNS.

 Le but de l’opérateur est d’appliquer la loi, bloquer le site par un moyen. Ils le font par DNS car pas cher, ni plus ni moins. Ils sont pas là pour faire chier dans les pires stratégies l’abonné.
Le problème des autres serveurs récursifs (openDNS, google etc…) c’est que vos données partent vous ne savez où, sont certainement monnayées. Je vous conseille sincèrement d’utiliser vos propres DNS (un petit BIND/unbound/powerDNS) ça tourne même sur un raspi ou c’est embarqué directement dans certains routeurs.

Dans les box (notamment sur celle d’Orange) c’est un simple dnsmasq qui ne fait pas de résolution (juste du caching/redirection vers les vrais récursifs Orange).
Comme dans ta box il y met les VIP DNS Orange, par défaut sur tes équipements tu dois être en prendre les paramètres par défaut de la passerelle.
Si tu les changes tu n’auras aucun souci (type 8.8.8.8) au niveau de l’opérateur, c’est ni plus ni moins qu’un simple routage qui envoie ton paquet DNS vers les serveurs que tu as choisis (il n’y a aucun contrôle fait par l’opérateur ou juste des stats).
 
Pour le eavesdropping oui et non, aujourd’hui c’est certainement le cas il doit y avoir des stats sur le nombre de clients qui utilisent des DNS autre que celui du FAI, la possibilité peut être aussi de voir le contenu des paquets (projet big data) mais ça coûte très cher ! Pour le DNS, tu as des extensions pour chiffrer ton trafic, une fois chiffré ton opérateur ne pourra rien faire (enfin pas dans l’immédiat)

Tu n’as pas besoin de “redirecteurs”, si ton bind est configuré en mode récursif et qu’il a la liste des serveurs root (penser à la mettre à jour) ça fera le taf tout seul comme celui de ton FAI.

niveau VPN je n’ai pas encore trouvé mon bonheur, j’en essaye plusieurs mais souvent payant pour avoir une BP non bridé et un trafic illimité. Ca commence à vraiment exploser ce marché, ça ne tardera pas à voir débarquer un truc qui fonctionne bien pour peanuts.

Après faut regarder exactement les FQDN de ce trafic DNS, ça sera du teredo.microsoft.ipv6 quelque chose comme ça, mais si ton fils à installer du caca tu auras les malwares/spyware qui font transiter leurs données via le DNS grâce aux enregistrements TXT par exemple (notamment le cas des antivirus et d’apple).
Je te conseille une petite capture puis d’isoler les FQDN pour voir un peu les FQDN requêtés. Tu trouveras peut être quelques surprises pour épurer la bête.