contourner un blocage DNS, c'est trop facile !

Stéphane Bortzmeyer CC BY-SA 5/12/2014

Suite à la décision de la justice d’ordonner aux FAI français de bloquer #The_Pirate_Bay, via un mensonge dans les résolveurs #DNS ▻http://www.nextinpact.com/news/91265-pourquoi-the-pirate-bay-et-ses-miroirs-seront-bloques-en-france.ht , tous les rézosocios ont bruissé de messages du genre « pffff, m’en fiche, je vais changer de résolveur DNS et ils seront bien embêtés ». Pour les utilisateurs d’Unix, où la configuration du résolveur se fait dans le fichier /etc/resolv.conf, voici quelques exemples de configuration :

M. Michu

# Added automatically by the DHCP client

nameserver 192.0.2.53

# Automatically implements whatever policy is decided by the

# entertainment industry

Jean-Kevin, qui est un reBelZ dans son garage

# Fuck la licepo, je suis un rebel

# Google Public DNS

nameserver 8.8.8.8

nameserver 8.8.4.4

Le père de Jean-Kevin, qui veut regarder The Pirate Bay mais veut aussi un résolveur professionnel et sécurisé

# OpenDNS

nameserver 208.67.222.222

nameserver 208.67.220.220

L’expert IPv6 qui trouve que la censure, c’est mal, mais qu’utiliser IPv4, c’est bien pire

# Google Public DNS

nameserver 2001:4860:4860::8888 

nameserver 2001:4860:4860::8844

La grande sœur de Jean-Kevin, qui a une conscience politique

# Résolveurs anti-censure de FDN

nameserver 80.67.169.12

nameserver 2001:910:800::12

L’utilisateur d’ArchLinux ou de Gentoo, qui a lu les documents Snowden

# Les Vrais Hommes mettent Unbound sur leur machine

# Fuck Google aussi

nameserver 127.0.0.1

Le même, en version auto-radicalisé djihadiste IPv6

nameserver ::1

Le même, après avoir acheté un Raspberry Pi

# Unbound sur le Pi

nameserver 192.168.1.53

Stéphane Bortzmeyer CC BY-SA

b_b @b_b PUBLIC DOMAIN 5/12/2014

#lol
Merde je suis en mode papa...
Jean-Kevin range ta chambre ty con !

b_b @b_b PUBLIC DOMAIN
kankan @kankan CC BY-SA 5/12/2014

Et ils vont tous avoir une surprise quand le serveur DHCP va réécrire le resolv.conf...

kankan @kankan CC BY-SA
Reka @reka CC BY-NC-SA 5/12/2014

Ou installer un serveur en Norvège par exemple où pour l’instant, on ne parle pas du tout de bloquer quoi que soit d’autres que des quelques trucs pornos

Reka @reka CC BY-NC-SA
liotier @liotier CC BY-SA 6/12/2014

Idem - papa de Jean-Kevin : les listes d’exclusions à la carte d’OpenDNS sont une bonne première couche de censure pour limiter l’accès de mes cinq filles à des contenus potentiellement traumatisants à leur âge. Bon - ça c’est pour le LAN... Les hôtes de la DMZ domestique tapent sur un résolveur local - on a une dignité quand même !

liotier @liotier CC BY-SA
La Taupe @la_taupe PUBLIC DOMAIN 6/12/2014

Ca m’étonnerait pas aussi que les FAI filtrent directement au niveau des adresses IP, et dans ce cas il sera impossible d’accéder aux sites filtrés à moins de contourner par un proxy de type vpn.
Ca me semble bien trop facile à contourner les DNS menteurs ... non ?

La Taupe @la_taupe PUBLIC DOMAIN
Stéphane Bortzmeyer @stephane CC BY-SA 6/12/2014

@kankan Oui, problème connu : ►http://www.bortzmeyer.org/changer-dns.html #DHCP

Stéphane Bortzmeyer @stephane CC BY-SA
Stéphane Bortzmeyer @stephane CC BY-SA 6/12/2014

@la_taupe La décision de justice ►http://www.nextinpact.com/news/91261-telecharger-en-pdf-decision-blocage-the-pirate-bay.htm suggère très fortement un blocage DNS. Oui, c’est contournable mais M. Michu le pourra-t-il ? Je ne suis pas satisfait d’une liberté réservée aux geeks et aux hackers.

Stéphane Bortzmeyer @stephane CC BY-SA
La Taupe @la_taupe PUBLIC DOMAIN 6/12/2014

@stephane je suis du même avis que toi, que les FAI se conforment simplement au jugement et à la recommandation de bloquer la résolution des noms de domaines des sites de The Pirate Bay, c’est bien mieux pour Mme Michu, les geeks ou les hackers.
Mais je pense que les FAI iront plus loin ; ils ont 15 jours pour apporter une réponse, et je pense que logiquement ils pourraient jouer le jeu des majors, en filtrant les adresses IP de tous les sites en question. Bien sur je ne souhaite pas ça, mais je ne serais pas surpris d’un blocage plus dur, qui priverait l’accès à Mme Michu.
Je pense qu’un filtrage plus stricte envers le « réseau bittorrent » arrangerait bien les FAI, par exemple pour freiner les gourmand en bande passante.

La Taupe @la_taupe PUBLIC DOMAIN
Stéphane Bortzmeyer @stephane CC BY-SA 6/12/2014

@la_taupe Concernant le filtrage par adresse IP, le « problème », du point de vue des censeurs, est que The Pirate Bay peut en changer souvent (plus que de noms de domaines, car ceux-ci nécessitent de prévenir les utilisateurs). Concernant le filtrage de BitTorrent, The Pirate Bay n’est après tout qu’un moteur de recherche, et pas le seul. Je ne crois pas qu’il soit responsable de la majorité du trafic BitTorrent (411, sites de partage privés...)

Stéphane Bortzmeyer @stephane CC BY-SA
La Taupe @la_taupe PUBLIC DOMAIN 6/12/2014

Merci pour ta remarque @stephane, ça m’aide dans mon raisonnement. Mais je me demande toujours si tous les FAI amèneront la même « réponse », à savoir de ne pas répondre aux requêtes DNS pour les sites en question.
Par exemple, est-ce que ça pourrait arranger certains FAI, de virer (droper) tout simplement les paquets « de type bittorrent », donc de faire du filtrage de paquet ? Bien sûr, en se mettant du point de vue d’un FAI dont les idées politiques seraient en accord avec celles des majors...

La Taupe @la_taupe PUBLIC DOMAIN
Thomas Schmit @thomasschmit CC BY-SA 6/12/2014

@stephane, peux-tu expliquer la configuration de « l’utilisateur d’ArchLinux ou de Gentoo, qui a lu les documents Snowden » ?

Thomas Schmit @thomasschmit CC BY-SA
Stéphane Bortzmeyer @stephane CC BY-SA 7/12/2014

@thomasschmit L’utilisateur a mis un résolveur local sur sa machine (comme décrit en ►http://www.bortzmeyer.org/son-propre-resolveur-dns.html ) et mis 127.0.0.1 (alias localhost, la machine locale) dans le resolv.conf pour diriger les requêtes DNS vers ce résolveur local.
C’est la seule méthode correcte, du point de vue sécurité. Toutes les autres nécessitent de faire confiance à un tiers (le FAI, Google, FDN...) et à la sécurité du lien avec ce tiers (forcément faible pour le protocole UDP, qu’utilise le DNS).

Stéphane Bortzmeyer @stephane CC BY-SA
b_b @b_b PUBLIC DOMAIN 7/12/2014

@stephane cité par ici : ▻http://www.zdnet.fr/actualites/pour-contourner-le-blocage-des-sites-web-il-suffit-de-changer-de-resolveur-dns

b_b @b_b PUBLIC DOMAIN
BigGrizzly @biggrizzly CC BY-NC-SA 7/12/2014

Ça va mal se finir pour Stéphane ça...
A la façon dont les ayant-droits étudient une action en justice contre les bloqueurs de publicité, ils étudient aussi une action en justice contre les contourneurs de décisions de justice.
#mauvais_citoyens

BigGrizzly @biggrizzly CC BY-NC-SA
Hoʍlett @homlett PUBLIC DOMAIN 7/12/2014

https://31.media.tumblr.com/4aebfb42072149323a99aadad430ea46/tumblr_nesgtvs7sH1ttwgxzo1_1280.png

Hoʍlett @homlett PUBLIC DOMAIN
Stéphane Bortzmeyer @stephane CC BY-SA 10/12/2014

Un assez bon résumé en français de cette histoire de choix du résolveur DNS ▻http://www.01net.com/editorial/636231/the-pirate-bay-contourner-un-blocage-dns-cest-trop-facile

Stéphane Bortzmeyer @stephane CC BY-SA
Hoʍlett @homlett PUBLIC DOMAIN 16/03/2015

Bon et bien voilà, je me suis auto-radicalisé djihadiste IPv6...

Hoʍlett @homlett PUBLIC DOMAIN

Écrire un commentaire

contourner un blocage DNS, c’est trop facile !

/636231