RFC 7838 : HTTP Alternative Services
Une nouveauté dans le monde #HTTP : ce #RFC décrit un mécanisme permettant d’indiquer des endroits alternatifs où trouver le contenu demandé. Ce n’est pas une classique redirection : l’URI reste le même, on découple simplement l’identificateur (l’URI) et le localisateur (l’endroit où chercher et le protocole à utiliser).
N’eut-il pas été plus simple de faire un SRV _https._tcp.example.com.?
Si ? Ah. Bon. Impatient de voir les contournements de SOP liés à cette nouvelle... RFC.
Accessoirement, je suis surpris de ne pas te voir hurler à la mort. La vie privée en prend un sacré coup avec ce mécanisme. Super cookie, me voici.
@X_cli Oui, HTTP est hélas le seul protocole Internet où il n’y a pas de mécanisme d’indirection du domaine vers le serveur :-( Pas de SRV, pas de MX :-(
@X_cli Pour l’histoire du super-cookie, tu peux détailler ? Tous les serveurs « alternatifs » sont choisis par le gérant du serveur « origine ». Donc, on suppose qu’ils font partie de la même bande. Et qu’il n’y a donc rien d’étonnant à ce qu’ils partagent les mêmes données.
Quelle différence (pour la vie privée) avec le cas où un « load balancer » peut rediriger vers plusieurs serveurs ?
Mettons que je sois une régie publicitaire voulant traquer un utilisateur à travers plusieurs sites, un réseau social voulant faire un shadow profile d’utilisateurs, via des boutons mis sur tous les sites, ouun gestionnaire de site voulant identifier de manière unique un utilisateur derrière du NAT. Scénario Sci-Fi, donc.
Je génère un nom de domaine unique par utilisateur qui vient voir l’URI principale et je mets l’attribut « persist » ou un âge très important.
Par exemple, mettons que tu retournes ${RANDOM}.www.bortzmeyer.org pour la page d’accueil de ton blog. Mon navigateur mémorise que a874HgkIh.www.bortzmeyer.org est l’URL à interroger pour accéder à la homepage de ton blog.
Dorénavant, à chaque fois que tu auras un visiteur de ton blog accédant à a874HgkIh.www.bortzmeyer.org, tu sauras que c’est « moi », identifié par l’URL qui m’est unique. « Moi » et non moi, car tu sauras que c’est le même utilisateur (ou plus précisément le même profil navigateur), mais tu ne sauras pas mon nom.
Edit : je précise que cela m’a sauté aux yeux, mais après vérification, c’est bien un élément qui est évoqué dans les « security considerations » de la RFC.
Le logiciel « de sécurité » #PrivDog détourne les flux chiffrés et les déchiffre, présentant son propre certificat (oui, comme #SuperFish)
▻http://arstechnica.com/security/2015/02/security-software-found-using-superfish-style-code-as-attacks-get-simpl
▻http://www.ghacks.net/2015/02/23/privdog-is-superfish-all-over-again
La boîte (filiale de Comodo) qui développe PrivDog recrute ▻http://rabota.ua/company36171/vacancy5402164
Vous avez peut-être déjà vu passer dans vos journaux HTTP la trace de PrivDog :
192.0.2.105 - - [17/Jan/2015:13:23:42 +0000] "GET /priv.dog.settings/GetStatistics?date=1421501009109 HTTP/1.1" 404 424 "http://www.bortzmeyer.org/dns-routing-hijack-turkey.html" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/39.0.2171.95 Safari/537.36" www.bortzmeyer.org
Du coup il est possible d’afficher un message indiquant à l’utilisateur que son ordinateur est en risque ?
@Archiloque C’est facile : s’il est sous Windows, il est en risque :-)
Le bitsquatting menace-t-il les utilisateurs de l’Internet ?
►http://www.bortzmeyer.org/bitsquatting.html
Vous avez confiance dans les composants électroniques de votre
ordinateur ? Vous croyez que, lorsque vous tapez ou sélectionnez
▻http://j.mp/18o6EDz, vous vous retrouverez
bien là où vous pouvez déclarer vos revenus ? Vous avez
tort. L’électronique, c’est fragile. Un bit 1 peut se changer en 0
subitement (ou le contraire) et, à partir de là, le
▻http://kremlin.ru se change en
▻http://kremlin.re/&hellip ; C’est le bit
flipping (le c…
Pas mal. Faudrait voir aussi ce qui pourrait arriver par email…
Rendre l’auto-hébergement facile et sans douleur
▻http://links.homlett.net/post/45846643185
Rendre l’auto-hébergement facile et sans douleur : ― #www.bortzmeyer.org ‒ March 20, 2013 at 01:00AM.
Aujourd’hui, des millions d’utilisateur innocents sous-traitent leur présence en ligne à des gros industriels du cloud comme Google ou Facebook. Cela, au détriment de leur vie privée et au prix d’une complète perte de contrôle de leurs propres données. L’alternative libre est évidemment l’auto-hébergement, avoir un jeu d’applications qui mettent en œuvre cette présence en ligne, sur une machine qu’on (...)
Sécurité du pair-à-pair et composant central
▻http://links.homlett.net/post/45594606789
Sécurité du pair-à-pair et composant central : ― #www.bortzmeyer.org ‒ March 16, 2013 at 01:00AM.
Les techniques fondées sur le pair-à-pair sont souvent présentées comme permettant un Internet sans centre et sans autorité. Ce n’est vrai que si on ne se préoccupe pas de sécurité. Dès qu’on est confronté à des méchants qui tentent délibérement d’attaquer le réseau, le problème est bien plus complexe. Désolé de jouer les porteurs de mauvaise nouvelle mais la plupart des … Lire la suite →
Le bon (...)
@homlett petite question : pourquoi recenser ici une veille que tu fais ailleurs ? je comprends bien l’intérêt quand il y a les liens vers les sources originales, mais renvoyer vers ton site à chaque fois moins
@thibnton Oui, il faut malheureusement cliquer deux fois... Je préférerai clairement renvoyer directement vers les sources originales, mais Seenthis et Tumblr s’entendent mal. Si je le fais malgré tout, c’est simplement parce que je n’ai pas encore trouvé un outil de veille « parfait ». Tiny tiny RSS + Tumblr c’est super : ça me permet de faire presque exactement ce que je veux, mais il manque clairement « l’aspect social ». Ce que permet Seenthis et avec une communauté que j’apprécie. Mais Seenthis n’a pas d’API me permettant de le coupler avec tt-rss par exemple...
Je ne suis pas un utilisateur averti de Seenthis, c’est très génant ? (Je peux arrêter).
@thibnton Ah mais j’ai dit une bêtise, #Seenthis a une #API maintenant ! → ►http://seenthis.net/fran%C3%A7ais/mentions/article/api
Donc j’ai codé un truc moche (edit : qui j’espère ne bugguera pas trop...) pour que ça envoi directement vers la source, c’est génial !
#SeenThis entre dans le troisième millénaire : le bot qui va vérifier les URL cités est désormais en #IPv6 !
[2a01:e0b:1000:11:226:b9ff:fe86:1c71]:54180 - - [26/Oct/2011:10:38:52 +0200] « GET /6392.html HTTP/1.0 » 200 44081 « ►http://seenthis.net » "SPIP-2.1.10 (►http://www.spip.net)" www.bortzmeyer.org
#SPIP
Par contre, #SeenThis_Bug qui transforme les noms de domaines dans le journal en URL, -1