votre avatar Abonné

Stéphane Bortzmeyer

est avec nous depuis le 23 février 2016 ❤️

360 commentaires

Le 16/06/2020 à 11h 41

L’article ne parle pas de la différence entre enveloppe et en-tête. Je suppose qu’elle a été trouvée trop subtile et trop difficile à pédagogiser mais elle est cruciale. Par exemple, SPF teste l’enveloppe et DKIM l’en-tête (et c’est pour ça que DKIM a des problèmes avec les listes de diffusion, mais pas SPF).

Le 15/06/2020 à 15h 02

« Les grandes lignes ont été tracées dans ce document » Pour l’instant, ce ne sont que des très grandes généralités, qui peuvent s’appliquer à tous les projets, non ? Et certaines de ces lignes sont assez mystérieuses, comme « l’autodescription des nœuds ».

Le 15/06/2020 à 09h 12







Stéphane Bortzmeyer a écrit :



 

Si vous voyez le signe mâle séparé, cela veut dire que le moteur de rendu utilisé ne gère pas la combinaison des caractères. (Qui est quelque chose de relativement récent dans Unicode, et qui sert entre autres à éviter la duplication des émojis : pas besoin de deux émojis « médecin mâle » et « médecin femelle », il suffit d’un émoji médecin abstrait, et des combinaisons.)





Pour information, voilà ce que ça donne sur un Firefox (où le genre par défaut est femelle). Ah, non, zut, pas d’images dans les commentaires, il faut aller voir en ligne.

 


Le 15/06/2020 à 08h 30







Jarodd a écrit :



Mais ça risque vite de dériver sur des polémiques sur la couleur ou le genre des emojis…





Rappel utile : comme tous les caractères Unicode, les émojis sont des caractères, pas des glyphes. Leur représentation ne fait pas partie de la norme. (Cf. les discussions sur le revolver d’Apple ou sur le burger de Google.) Un émoji « pilote d’avion » n’a donc pas de genre. (Mais les représentations graphiques, choisies par le fournisseur du logiciel, peuvent en avoir un.) Idem pour la couleur.


Le 15/06/2020 à 07h 54







Obidoub a écrit :



Quand je vois ça: 



 

Si vous voyez le signe mâle séparé, cela veut dire que le moteur de rendu utilisé ne gère pas la combinaison des caractères. (Qui est quelque chose de relativement récent dans Unicode, et qui sert entre autres à éviter la duplication des émojis : pas besoin de deux émojis « médecin mâle » et « médecin femelle », il suffit d’un émoji médecin abstrait, et des combinaisons.)


Le 13/06/2020 à 13h 35







ben5757 a écrit :



Oui mais pas DKIM ni DMARC .



 

Pour DKIM, on n’en sait rien, ne connaissant pas le(s) sélecteur(s) utilisé. Il faudrait regarder un message émis via ce service, pour savoir.


Le 12/06/2020 à 12h 36







John Shaft a écrit :



Je suis preneur de .su ! <img data-src=" />





Si tu veux faire du buzz sur Twitter (du buzz négatif, mais c’est mieux que pas de buzz du tout), essaie staline.su ou hitler.ss.

&nbsp;


Le 12/06/2020 à 12h 26







Soriatane a écrit :



Il y avait pas une demande de cacher ces informations personnelles dans le Whois à cause du RGPD ??





Ben justement oui, elles ne sont pas diffusées (essayez !)



Notons que le Monténégro ne fait pas partie de l’UE, ce qui complique l’analyse.


Le 12/06/2020 à 12h 18







Salamandar a écrit :



De mémoire, c’est le “legacy mode” ça.&nbsp; Ce qui est conseillé (lorsque c’est possible), c’est l’utilisation du dossier .well-known sur le serveur.

https://mon_domaine.fr/.well-known/autoconfig/mail/config-v1.1.xml





Conseillé par qui et où ? Déjà, cela suppose qu’il existe un serveur HTTP pour le domaine.


Le 12/06/2020 à 12h 16







ben5757 a écrit :



Question un peu plus pointu. Qu’est ce qui en est de SPF, DKIM et DMARC ?





En regardant pour le domaine pris en exemple dans l’article, on voit que Gandi a mis le SPF :

https://dns.bortzmeyer.org/lejardinier.me/TXT


Le 12/06/2020 à 12h 14

Normalement, le BE (bureau d’enregistrement, que Next Inpact appelle curieusement gestionnaire de domaine) doit mettre le nom de son client dans la base du registre, sinon, ce sont des malhonnêtes.



(Notez que le serveur whois du .me est très discret.)

Le 12/06/2020 à 12h 11

J’ai apprécié que l’article utilise un exemple concret, pas uniquement des généralités. Et l’article dit bien qu’il n’y a pas que Gandi qui offre ces services.

Le 12/06/2020 à 12h 10

« Notez que l’extension « .me » est&nbsp;l’extension géographique du Monténégro, mais elle est ouverte à tous depuis plus de 10 ans. » Attention, il est fréquent qu’on choisisse le domaine de tête (TLD, pour Top-Level Domain) juste parce que le terme fait cool (ou bien pour faire une blague, genre biè.re). Lorsque tout va bien, ça n’a pas de conséquences. Mais, s’il survient un litige, alors on s’apercevra que les procédures de litige sont très différentes d’un domaine de tête à l’autre. S’il faut défendre ses droits devant un tribunal monténégrin, ça peut être intéressant. Certains TLD donnent par exemple des privilèges particuliers à des organisations d’ayant-droits, permettant à ceux-ci de supprimer plus facilement les domaines qu’ils n’aiment pas.



Bref, bien que se pencher sur les contrats (« J’ai lu [ah, ah] et j’accepte les conditions d’enregistrement dans le TLD .example ») et autres questions juridiques ne soit pas forcément exaltant, cela peut valoir la peine.



L’EFF avait fait une bonne étude à ce sujethttps://www.eff.org/wp/which-internet-registries-offer-best-protection-domain-ow…

&nbsp;

Le 12/06/2020 à 11h 58

Pour les fanas de technique, notez que la découverte automatique des paramètres du serveur de messagerie (que Thunderbird fait très bien) se fait grâce à la méthode normalisée dans le RFC 6186, méthode qui consiste à ajouter dans le DNS des enregistrements de service. Regardez avec un client DNS (ici, le DNS looking glass) :https://dns.bortzmeyer.org/_imaps._tcp.lejardinier.me/SRV

Le 05/06/2020 à 11h 38

On peut aussi noter que, quand l’article utilise des résultats calculés par un programme informatique (la majorité des articles scientifiques, même en biologie, en maths et en sociologie), ce programme n’est quasiment jamais vérifié (parce que c’est long, et aussi parce que le « reviewer » ne connait pas l’informatique, parce que «&nbsp; je relis un article de biologie, je ne fais pas d’informatique »). Cela donne parfois des problèmes intéressants :https://seenthis.net/messages/854269https://seenthis.net/messages/806572

Le 14/05/2020 à 15h 43







David_L a écrit :



Oui, ça devrait idéalement être intégré aux box. Mais quelque chose me dit que les FAI ne vont pas être pressés de sauter le pas… <img data-src=" />





Et quel intérêt ? Cela sécuriserait une communication qui est de toute façon uniquement sur le réseau local. Les dangers sont après.


Le 14/05/2020 à 15h 41







DayWalker a écrit :



Si le DoH n’est pas possible en utilisant un serveur chez notre FAI, est-ce parce qu’ils ont la flemme et ne l’ont pas activé ? Ou bien parce que coté OS (windows), il manque une brique pour pouvoir l’utiliser/activer simplement ?





Ou bien parce que ça n’a aucun intérêt ? Si on a confiance dans son FAI, guère de raison d’utiliser DoH.


Le 14/05/2020 à 15h 40

kgersen a écrit :

De toute y’a forcement un problème de ‘poule & œuf’ donc un client DoH soit utilise des IPs en dur (comme celui de Windows) soit utilise le DNS classique. Firefox utilise le DNS classique mais a une option pour spécifier en dur l’IP de l’uri ( network.trr.bootstrapAddress ) si on n’a pas confiance dans son résolveur DNS local.



Ou bien utiliser la base locale (/etc/hosts sur Unix).

Le 14/05/2020 à 15h 40







Zebulon84 a écrit :



Y a-t-il des résolveurs français ou européens qui supportent ou ont annoncé un futur support de DOH ?





Le mien :-)https://www.bortzmeyer.org/doh-mon-resolveur.html Il est même en .fr.



Mais il y en a d’autres chez la FFDN ou les CHATONS, comme dans la liste à la fin du README enhttps://framagit.org/bortzmeyer/homer


Le 06/05/2020 à 10h 08

Quelle est la source de cette information, d’ailleurs ? Je ne vois rien sur le site Web d’Orange Business Services, et Google ne trouve que cet article (et un du Journal du Net, derrière un paywall).

Le 05/05/2020 à 13h 11







Kazer2.0 a écrit :



Après, grâce à Framasoft, j’ai découvert le protocole DP-3T qui a l’air de permettre le contact-tracing sans enfreindre la vie privée (https://framablog.org/2020/04/12/une-appli-de-tracage-du-covid-9-qui-echappe-a-b… ).







DP3-T (ou PACT, qui en est très proche, des dizaines de protocoles ont été publiés mais seuls DP3-T et ROBERT ont bénéficié d’un service comm’) a ses inconvénients aussi.https://eprint.iacr.org/2020/399


Le 30/04/2020 à 15h 16







fry a écrit :



est-ce qu’un système type “blockchain” (pour la décentralisation) dans laquelle les labos / medecins qui dépistent un patient sont les seuls à pouvoir écrire, à l’aide du smartphone du patient, les identifiants aléatoires qu’il a eu au cours des X derniers jours ne pourrait pas faire le taf ?

avec un identifiant aléatoire par jour





Vous décrivez exactement les protocoles comme PACT ou DP3T (en rajoutant “blockchain”, qui n’a absolument aucun intérêt ici, puisqu’il n’y a qu’une seule autorité qui pourrait écrire).

Passons sur le “anonymisation totale” , évidemment impossible (on parle d’une application de SUIVI DE CONTACTS, ce qui est l’antithèse de l’anonymat).

Le problème principal de PACT/DP3T/votre proposition est que la liste des pseudonymes temporaires des personnes infectées est publique. C’est potentiellement un risque, compte tenu de la vaste expérience que nous avons des succès de la réidentification.


Le 24/04/2020 à 16h 47

Moi, j’apprécie de voir des articles longs, détaillés et réfléchis. Si je veux du rapide et court, il y en a plein partout sur l’Internet. Si je suis abonné, c’est bien pour avoir du plus approfondi.

Le 22/04/2020 à 14h 29







vizir67 a écrit :



davantage motivé par le désir d’agir, de faire quelque chose, même inutile…





« Je danse autour des mes carottes en chantant du Sardou pour qu’elles poussent plus vite »



« Mais c’est inefficace ! »



« C’est facile de critiquer, mais tu as une meilleure idée ? »

&nbsp;

https://framablog.org/2020/04/22/stopconneries/


Le 20/04/2020 à 06h 52







jb a écrit :



Pas d’open source dans l’implémentation?





ROBERT est un protocole, pas un logiciel. Les auteurs de ROBERT travaillent à une mise en œuvre sous licence MPL (donc libre, sauf erreur). Mais rien ne dit que c’est ce qui sera utilisé dans l’application officielle.


Le 19/04/2020 à 16h 55







haelty a écrit :



Les id sont générées par le smartphone…





Eh non, relisez le document de description de ROBERT.


Le 02/04/2020 à 12h 00

Tiens, je viens seulement de remarquer que, dans l’article originel de Cloudflare,https://blog.cloudflare.com/introducing-1-1-1-1-for-families/, le second dessin montre… des parents homos. Est-ce que ça a été ajouté après la bavure ou bien était-ce depuis le début ?

Le 02/04/2020 à 11h 57







jmc_plus a écrit :



Je ne suis pas encore à m’excuser d’être hétéro, merci !





Personne ne l’a demandé, rassurez-vous, les homosexuels ne sont pas cannibales, non plus.


Le 02/04/2020 à 11h 54







v1nce a écrit :



Je comprends parfaitement que des parents puissent ne pas souhaiter que leurs enfants soient exposés à de la propagande.





Donc on bloque les sites religieux, par exemple ? (Qui, eux, font de la propagande explicitement dirigée vers les enfants.)


Le 02/04/2020 à 08h 59







tomsierra a écrit :



est ce vraiment une mauvaise chose que des enfants&nbsp;n’ait pas accès à des sites LGBTQIA+ .&nbsp; (en plus du contrôle parental etcetc)

&nbsp;



Oui, c’est une mauvaise chose. (Ou alors il faudrait expliquer pourquoi.) L’homosexualité n’est ni un danger, ni une maladie.


Le 26/03/2020 à 14h 49







Mihashi a écrit :



SFR ?





Sinon, j’ai un résolveur DNS récursif en local (package DNS Server sur mon NAS Synology).

Dans ce cas les DoH et DoT entre mes ordi et mon serveur n’ont pas d’intérêt (si j’ai confiance dans les machines connectées à mon réseau ), non ?



Et qu’est-ce que je peux faire (enfin plutôt espérer) pour que mes requêtes soient chiffrées entre mon résolveur et le reste du monde ?





En effet, dans ce cas, DoH et DoT sur le réseau local n’ont guère d’intérêt.



Pour le lien entre résolveur et serveurs faisant autorité, il n’est en effet pas chiffré pour l’instant. L’IETF y travaille.


Le 26/03/2020 à 14h 46







xillibit a écrit :



ce n’est plus faisable avec TLS 1.3, plus de man in middle possible par un antivirus ou la passerelle internet de l’entreprise





Euh, vous pouvez expliquer ? Parce que c’est faux. Si on peut installer l’AC de son choix sur chaque poste (classique en entreprise), TLS 1.3 ne change rien.


Le 26/03/2020 à 12h 18







coco74 a écrit :



Perso sur android, vu que l’on peut régler que le DoH (DNS privés) et pas les DNS, je met dns.adguard.com sur mes appareils ce qui permet de bloquer la plupart des pubs.





À ma connaissance, Android ne parle que DoT, pas DoH.


Le 26/03/2020 à 11h 21







Qruby a écrit :



J’ai plus confiance dans mon FAI que dans CLoudflare.





Si c’est FDN, je comprends.


Le 26/03/2020 à 11h 12







Jarodd a écrit :



Ca ne répond pas à ma question. Les Chatons ce sont des serveurs personnels ou asosciatifs, donc ont-ils les ressources nécessaires pour encaisser une grosse charge ?





Si, cela répondait à votre question : l’idée n’est pas d’avoir un énorme résolveur tenant la charge de millions d’utilisateurs, mais des milliers (« une armée »), chacun ne gérant qu’une partie des utilisateurs.


Le 26/03/2020 à 11h 11







Jarodd a écrit :



Si je comprends bien, une des meilleures solution envisageables aujourd’hui c’est DoH + un service non menteur (comme celu ide la FDN) ?





&nbsp;Ou DoT. DoH n’est utile que si on est coincé derrière un pare-feu fasciste. Autrement, DoT est très bien. La plupart des résolveurs sécurisés ont les deux. (PUB : c’est le cas de doh.bortzmeyer.fr / dot.bortzmeyer.fr)


Le 26/03/2020 à 10h 03

DoH permet tout à fait cela. Après, il faut trouver un client DoH validant avec DNSSEC et je ne crois pas qu’il en existe (mais plusieurs sont en cours de développement).

Le 25/03/2020 à 09h 06







aureus a écrit :



Et pourquoi pas faire du DOT sur le port&nbsp; 53 ?





On peut toujours faire ce que l’on veut, mais ça va perturber les innombrables middleboxes, IDS et transparent proxies.&nbsp;



Et avec le port 443, on perturberait l’écosystème Web (il y a déjà un serveur HTTP sur ce port).


Le 24/03/2020 à 18h 18

Le chiffrement, c’est la plaie. Les gens honnêtes qui n’ont rien à cacher ne l’utilisent pas.

Le 24/03/2020 à 18h 09







aureus a écrit :





  • En terme de charge/consommation réseau ça va être clairement de la consommation en plus.





    Euh, à l’ère de la vidéo haute-définition de films de chats, s’inquiéter des quelques octets supplémentaires du DNS, c’est assez étrange.


Le 24/03/2020 à 18h 08







aureus a écrit :





  • A force de faire du HTTP(S) partout (parce que c’est ce que connaissent les développeurs faut pas se mentir) &nbsp;





    Pas du tout. La raison pour laquelle DoH a été créé (cf. le RFC) était pour pouvoir fonctionner partout, y compris sur un hotspot pourri où seuls les ports 80 et 443 passent.


Le 24/03/2020 à 18h 06







aureus a écrit :



Troisième question, est-ce qu’il y a une raison technique à ne pas avoir fait du STARTTLS pour DNS ?





Plus personne n’utilise STARTTLS, SMTP l’a abandonné dans le RFC 8314https://www.bortzmeyer.org/8314.html Et à juste titre, STARTTLS n’offre aucune sécurité, un attaquant actif peut trivialement empêcher le passage en TLS.

&nbsp;


Le 24/03/2020 à 18h 04

aureus a écrit :

Seconde question est-ce qu’a terme on va donc devoir gérer les DNS de l’OS et les DOH dans le navigateur ? Et du coup pourquoi pas un client DOH dans d’autre applications ?



&nbsp;Aucune idée, DoH est juste un protocole, comme DoT, comme le DNS classique, il peut être mis dans le système d’exploitation ou bien dans les applications.&nbsp;

Le 24/03/2020 à 17h 58







David_L a écrit :



Tu peux avoir une IP dans une URL, je dis ça, je dis rien <img data-src=" />





https://1.1.1.1/dns-query :-)


Le 24/03/2020 à 17h 28

Du DoT vers quel résolveur ?

Le 23/03/2020 à 14h 32

Il est très possible que le problème ne soit pas tant l’argent, que les procédures de recrutement très longues et très lourdes. (Et qu’on ne peut pas simplifier, même quand « nous sommes en guerre », pas question de faire bouger l’administration.)

Le 23/03/2020 à 12h 07

Pas d’accord, en général les opérateurs opposent Disney (ou le futur Salto) à Netflix précisement en leur reprochant d’être OTT (cf. l’arrivée de Netflix « dans la Freebox »). Mais il est exact que la définition est souvent floue.

Le 23/03/2020 à 10h 07

“Over The Top” Ceux qui n’ont pas signé d’accord avec les FAI, et font de l’Internet « normal », sans fonctions spéciales dans la « box », sans équipements installés chez le FAI.

Le 23/03/2020 à 09h 36

Le lien LinkedIn est le même que le lien Twitter. Le bon doit plutôt êtrelinkedin.com LinkedIn

Le 23/03/2020 à 07h 51

« je me marre quand je vois dans les commentaires tous ces gens qui

s’improvisent experts réseau/télécom et qui pense savoir ce qu’il se

passe tout mieux que tout le monde, ce sont sûrement les mêmes gens qui

s’improvisent experts en épidémiologie » Cette attitude technocratique et méprisante est trop fréquente dans les discours officiels en ce moment pour que je la laisse passer. Étant donné que tout le monde est affecté par l’épidémie, il est parfaitement normal que les citoyens discutent des mesures prises. Étant donné que tout le monde utilise l’Internet, il est parfaitement normal que les citoyens discutent de ce qui se fait en matière d’infrastructure de l’Internet.



Les citoyens ne sont pas tous bien informés ? Eh bien c’est aux gens qui connaissent de le faire, au lieu de se complaire dans l’attitude hautaine « décidément, qu’est-ce que les gens sont cons ». Les citoyens participeront aux débats de toute façon (et heureusement). Si on veut qu’ils le fassent de façon intelligente, cela dépend de nous (je suppose qu’une bonne partie des lecteurs de Next Inpact sont informaticiens…)



Et les données, les chiffres ? On m’a reproché de publier les statistiques d’un point d’échange Internet, en arguant que le France-IX n’est pas représentatif. Je ne demande pas mieux que de m’appuyer sur d’autres chiffres. Publiez-les, au lieu de dire « faites-nous confiance, de toute façon vous êtes trop cons pour comprendre ».