Cloudflare crie à la censure et menace de quitter l’Italie après une amende salée

Ah oui, je ne pensais pas à FF avec le DoH. Pas con !

Pour le reste, oui, ça ne change pas grand chose pour eux d'attaquer les FAI + quelques gros DNS. On est d'accord là dessus.

Concernant l'IoT, ce serait intéressant de savoir l'impact que cela peut avoir. Car, il faut être honnête, l'IoT source de piratage d'oeuvre via les sites pirates, j'y crois moyen. Par contre, des objets IoT qui se trouveraient inutilisables car utilisant en dur sans possibilité de changer le DNS de CloudFlare, ça j'y crois beaucoup plus !

Quand je vois l'impact que cela a eu en France lors de l'arrêt du fonctionnement d'OpenDNS pour les IP françaises...

Si on voit émerger un site "iptvfoot.lt", il conviendrait de faire jouer le droit pour faire supprimer le nom de domaine du registre lithuanien plutôt que de courir derrière tous les fournisseurs de service de résolution de nom.

Le droit de quel pays ? Comment gère-t-on ce qui est légal dans un pays et illégal dans un autre ? Comment agir contre la censure ainsi ? Comment ça se passe pour un tld générique comme le .com ? C'est le pays qui le gère (ici, les USA) qui décident ?

Donc tous les sites pro IVG en .com (ou .org) par exemple pourraient être dénoncé si on suit ta recommandation.

Sincèrement, je veux bien qu'on agisse au niveau des TLD et de leurs gestionnaires. Mais dans ce cas, précise exactement comment tu t'y prendrais.

Je pense qu'il voulait dire mettre en place un filtre en fonction de l'IP source. 1.1.1.1 for families, ce n'est qu'un DNS menteur global, pas par IP ;)

[edit] contrairement à ce que son nom n'indique pas, 1.1.1.1 for families repose sur des DNS autres que 1.1.1.1. (1.1.1.2, 1.1.1.3, etc. en fonction du "filtrage" souhaité)

Oui, ils appliquent des filtres parentaux, sur d'autres DNS que 1.1.1.1 (les 1.1.1.2 et consort). Mais c'est un filtre global au niveau du DNS, pas un filtre en fonction de l'IP qui demande.

Pour la latence, ne pas oublier non plus qu'ils reçoivent un trafic hyper important. Il faut pouvoir tenir la charge. Et la latence au niveau DNS, ça peut se ressentir assez vite. Quand le DNS de mon FAI montre des signes de faiblesse, j'ai une connexion qui semble hyper lente quand j'arrive sur un site et que la résolution n'est pas encore en cache (le temps de récupérer le domaine + tous les domaines liés avec les conneries de traceurs ou autre).

Je ne dis pas que c'est anodin, mais on parle de Cloudflare quand même... Et puis il n'y a pas que l'Italie ou la France surement qui demandent des blocages d'IP, c'est un peu leur job aussi.

Cela a beau être leur job (on est d'accord là-dessus), au bout d'un moment, la technique est ce qu'elle est et montre ses limites.

CloudFlare a un trafic important à gérer. Son DNS, le 1.1.1.1 est utilisé dans le monde entier. Autrement dit : ils se tapent des connexions de partout vers 1.1.1.1, soit une unique adresse IP.

Alors OK, il existe des moyens pour faire en sorte que derrière cette unique IP se trouvent en réalité plusieurs machines pour répondre aux requêtes, mais il n'en reste pas moins qu'au bout du compte, CloudFlare, c'est 2 millions de requêtes DNS à gérer par seconde.

A ce niveau, il y a des considérations techniques qui dépassent allègrement les compétences du petit administrateur système que je suis. C'est bien pour cela que je prends des pincettes et ne dis pas que c'est facile et qu'ils n'ont qu'à ce sortir les doigts du séant pour y arriver et qu'ils ne font preuve que de mauvaise foi (soyons honnête, je pense qu'il y a une partie de mauvaise foi aussi, mais ce n'est pas pour autant qu'il faut en écarter les considérations techniques).

Je pense que ton operateur gere facilement 10 fois plus.

20 millions de requêtes ? Je doute sérieusement qu'un FAI (au niveau de la France par exemple), voit tous ses abonnés connectés, en même temps, envoyer en permanence une requête par seconde ;)

Après, attention, c'est une moyenne. Il y a des moments où il y a des creux (pas problématique) et des moments où il y a des pics (qu'on atteigne et dépasse les 10 millions de req / s est fort probable).

Enfin, l'argument se retourne un peu contre vous : si c'est si simple, pourquoi les DNS des opérateurs ont tendance à avoir un temps de réponse largement supérieur à ceux de CloudFlare par exemple ?

Sans compter que le DNS de l'opérateur, c'est l'opérateur qui nous le donne. Il peut donc proposer plusieurs DNS très simplement à ses abonnés pour répartir la charge. Il peut le faire beaucoup plus facilement qu'un CloudFlare ou Google (dont l'IP est fixe).

Et vu ce qu'ils postent sur leur blog, je pense pas que 2M req/s soit un probleme pour eux.

Dans cet article ils expliquent ce qu'ils ont mis en place pour encaisser 1M de paquets UDP par sec (coincidence??? ) sur 1 seule machine

Article intéressant. Merci ! Je note que pour atteindre le million de paquet par seconde, ce n'est pas trivial et qu'ils ont donc du faire preuve d'ingéniosité, le goulot d'étranglement initial étant le kernel Linux (ou plutôt, les changements de contexte kernel / userland) et le hardware.

Et effectivement, pour une machine qui peut recevoir (attention, recevoir, pas traiter !!) 1 million de requêtes, multiplier les machines permet en théorie de traiter plus de requêtes.

Se pose alors la question de la répartition de la charge. L'adresse IP du DNS étant unique, comment faire pour que le répartiteur de charge, qui va recevoir des millions de requêtes par seconde, puisse tenir la charge ? Et c'est là que l'article prend toute son importance : c'est loin d'être simple.

D'un côté, qu'il y ait un brin de mauvaise foi de la part de CloudFlare, honnêtement, ça ne m'étonnerait guère. De l'autre, je n'arrive pas à écarter pour autant les considérations techniques, surtout à un tel niveau de sollicitation. Encore moins maintenant que j'ai lu cet article.

Car, il ne faut pas oublier que dans le cas du DNS, il ne s'agit pas de recevoir 2 millions de requêtes par seconde, mais de traiter 2 millions de requêtes par seconde. Certaines en UDP, d'autre en DoH, et il faut gérer la résolution, le filtrage, etc. Et ça, ce n'est clairement pas une seule machine qui pourra le faire.

Cet article pointe donc plutôt les techniques avancées que peut mettre en place un répartiteur de charge pour accepter le plus de requêtes possibles pour les transmettre à un autre serveur derrière (et donc, en plus, x2 au niveau des communications réseaux).

1) filtrer le DNS ce n'est clairement pas compliqué, ils le font deja : https://developers.cloudflare.com/1.1.1.1/ip-addresses/ ==> le but c'est d'avoir 1.1.1.1 non filtré, et 1.1.1.2 pour bloquer le malware, 1.1.1.3 pour bloquer le porn.

Donc, il n'y a pas de limitation technique.

Avoir un DNS menteur pour tout le monde (cas du 1.1.1.2 et 1.1.1.3) et un DNS qui renvoie un résultat différent en fonction de l'adresse IP du demandeur, c'est tout, sauf la même chose ;)

Prétendre que ce n'est donc pas une limitation technique car c'est la même chose est juste du non sens.

2) le principal soucis ce n'est pas que cloudflare eventuellement autorise la resolution de ces vilains domaines, mais SURTOUT qu'ils sont en frontal de certains de ces sites, les delivrent, les protegent, et se font du pognon avec.

1) pas certains qu'ils se fassent beaucoup de pognon avec ce genre de sites. Je subodore même une utilisation gratuite des services, pour éviter l'usage de moyen de paiement qui permettrait de remonter facilement aux détenteurs.
2) CloudFlare a le statut d'hébergeur si je ne me trompe pas. Ce n'est pas à lui de décider si le contenu est légal ou non, mais à la justice. Sinon, on en revient à une privatisation de la justice. Est-ce souhaitable ? De mon point de vue non.

CloudFlare n'est pas jouasse en Italie à cause de l'amende. Ca, ça peut se comprendre, surtout qu'elle est salée. Le côté "vierge effarouchée" a tendance à me courir aussi sur le haricot.

Cela n'empêche pas que la question de fond reste un équilibre précaire entre liberté et censure. La "déjusticiation" de la justice (= décision rendu non plus par une autoritaire judiciaire, mais par une autorité administrative voire une entreprise d'ordre privée) ne me parait pas sain du tout. Il y a eu des soucis par le passé, les rapports de transparence de Google l'ont largement prouvé par le passé.

Et si un blocage raté (ou pas dans les temps) entraine une forte amende, on va avoir un effet de "surblocage", où on bloque toute demande, sans analyse, parce que si on se trompe, c'est amende. Et c'est déjà arrivé par le passé aussi, avec des services totalement légitimes qui ont été indisponible pendant plusieurs heures (d'ailleurs, c'était pas en Italie ?).