Mozilla a présenté, dans un billet dédié publié aujourd’hui, une nouvelle technologie présente dans Firefox depuis la dernière version 118. L’Encrypted Client Hello, ou ECH, permet d’ajouter une couche supplémentaire de protection de la vie privée à la navigation. Pour autant, ECH n’est pas réservé à Firefox. Explications.

En 2020, dans une série d’articles sur DNS-over-HTTPS (DOH), nous avions interviewé Stéphane Bortzmeyer. Pour l’ingénieur, « gérer des serveurs DNS permet beaucoup de choses, dont le pouvoir de suivre n’importe qui dans ses habitudes de navigation. C’est vous qui déterminez alors ce que va voir quelqu’un en tapant une adresse. C’est en grande partie le territoire des fournisseurs d’accès ».

Depuis, DOH a continué à faire progressivement son chemin, au point que pratiquement tous les navigateurs et systèmes d’exploitation le gèrent aujourd’hui. Et si l’on en reparle, c’est parce que le billet de Mozilla présente un nouveau mécanisme de protection qui en tire parti.

Encrypted Client, hello !

« La plupart des données partagées sur les sites web, telles que les mots de passe, les numéros de carte de crédit et les cookies, sont protégées par des protocoles cryptographiques tels que Transport Layer Security (TLS). ECH est une nouvelle extension de TLS qui protège également l'identité des sites web que nous visitons, comblant ainsi la lacune en matière de protection de la vie privée dans notre infrastructure de sécurité en ligne existante », explique Mozilla.

Ce qui intéresse la fondation, c’est le premier « Hello » échangé, et plus généralement toutes les informations qui ne concernent pas directement les communications entre le navigateur et un site. En premier lieu, l’adresse visitée.

Dans une connexion classique, le site visé a maintenant toutes les chances d’être en HTTPS. Tout le trafic sera donc chiffré et, normalement, protégé contre les regards extérieurs. En revanche, l’adresse du site n’est pas protégée. On pourrait comparer (grossièrement) aux conversations WhatsApp : le contenu des conversations et appels est chiffré, mais le service peut savoir à qui vous parlez, quand et combien de temps.

C’est ce que propose de faire Encrypted Client Hello : chiffrer également cette information. La technologie est d’ailleurs décrite comme une extension de TLS, sachant récupérer une clé publique depuis le serveur DNS pour chiffrer le nom du site visité, information qui en temps normal apparait durant la « poignée de mains » initiale.

Pour les sites, pas de miracle : ils doivent être compatibles avec ECH. Toutefois, comme le met en avant Mozilla, il s’agit d’une norme ouverte que tout le monde peut déployer. Cloudflare a d’ailleurs annoncé sa prise en charge le 29 septembre.

Le retour de DOH

DNS-over-HTTPS a beau être pratiquement partout maintenant, il n’est pas forcément utilisé. L’activation est en effet manuelle et dépend des choix de l’utilisateur. Car pour pouvoir s’en servir, il faut obligatoirement sélectionner le prestataire. C’était l’un des problèmes pointés par Stéphane Bortzmeyer en 2020 : Firefox proposait par défaut Cloudflare, entreprise américaine donc soumise au Cloud Act.

Pour se servir d’ECH, DOH doit impérativement être activé, puisqu’il lui sert de fondation. Dans les options de Firefox, il faut se rendre dans la partie « Vie privée et sécurité » et choisir la Protection renforcée ou maximale. La différence entre les deux est le « fallback » de la Protection renforcée : si le DNS sécurisé ne fonctionne pas, le navigateur se rabattra sur le DNS classique. Par défaut, Cloudflare est toujours proposé, Firefox permettant de choisir NextDNS (également une société américaine) ou un serveur personnalisé.

Dès que DNS-over-HTTPS est activé par l’une des deux options, ECH entre en piste. Il n’y a rien à faire de particulier, son fonctionnement est automatique et vient se greffer sur DOH. Du moins quand ECH sera là, car le déploiement a commencé aujourd’hui. Mozilla ne donne d’ailleurs pas de calendrier.

ECH n’est pas réservé à Firefox

Le développement d’Encrypted Client Hello est bien une initiative de Mozilla, mais comme elle le dit elle-même, la fondation n’a pas travaillé seule : « Mozilla développe cette nouvelle technologie de protection de la vie privée sur internet depuis près d'une demi-décennie, en collaboration avec d'autres navigateurs, des fournisseurs d'infrastructure, des chercheurs universitaires et des organismes de normalisation tels que l'IETF (Internet Engineering Task Force) ».

Le meilleur exemple de cette ouverture est qu’ECH est pris en charge par la version 117 de Chromium, comme on peut le lire dans les notes de version de Chrome ou dans cette page de Chrome Platform Status.

Encrypted Client Hello est donc amené à se répandre rapidement, tout du moins du côté des clients. Quant à l’autre moitié de l’équation – les sites – il faudra attendre de voir si la sauce prend.