3 results for tags
DNSSEC x
-
Pourquoi obliger le SSL par défaut est une grosse connerie | Sam & Max
<Mon Apr 4 03:10:15 2016 - permalink -
"HTTPS fonctionne sur le principe d’autorités centrales. Vous devez obtenir un certificat auprès d’une autorité de confiance ../..
En clair, forcer SSL partout, c’est donner la main à quelques grosses boites pour décider qui a le droit d’être sur le Web ou pas"
"Par ailleurs, si un chiffrement généralisé de qualité permettrait d’éviter la surveillance de masse, le chiffrement via SSL ne le permet pas.
En effet, un gouvernement a juste à générer des certificat validé par les registrars pour chaque site visité. On sait depuis Prism qu’ils le font"
Dans les commentaires :
"Faudrait déjà que les navigateurs implémentent DANE (en gros on met le certificat dans le DNS, donc pas besoin de CA). Mais ça implique de déployer DNSSEC, d’où l’argument de la simplicité." explications à la suite
> "Si l'AC DigiNotar est reconnue comme AC de confiance par un client TLS (exemple Firfox), elle peut signer des certificats pour n'importe quel nom"
http://www.bortzmeyer.org/6698.html
> Voir aussi ce billet au sujet proche
http://liens.azqs.com/GeekNik/?Vykbvg- http://sametmax.com/pourquoi-obliger-le-ssl-par-defaut-est-une-grosse-connerie/
-
Domain Name System Security Extensions — Wikipédia
< DNSSEC (« Domain Name System Security Extensions ») est un protocole standardisé par l'IETF permettant de résoudre certains problèmes de sécurité liés au protocole DNS.Sun Mar 22 12:13:03 2015 - permalink -
Autres explications :
https://msdn.microsoft.com/fr-fr/library/hh831411(v=ws.11).aspx
http://www.internetsociety.org/deploy360/fr/dnssec/
# Article
- Les sujets abordés :
problèmes des DNS FAI distant Français + Résolveur DNS : publics ou routeur local
+ Peut-on avoir confiance dans le réseau ? blocage port 53 + Résolveur DNS FAI menteurs + détournement trafic résoveur DNS publics
Voir le cas Turc : https://liens.azqs.com/GeekNik/?VPpzqQ
+ DNSSEC + P2P ( GNUnet .onion) + blocchain (Namecoin)+ DNS/TLS + DNSCrypt
En résumé : "Les requêtes et réponses DNS sont très rarement protégées, donc assez simples à manipuler"
https://www.nextinpact.com/news/101825-blocage-par-erreur-dorange-et-dns-quelle-fiabilite-pour-cet-element-essentiel-net.htm
# Test du résolveur DNS
http://dnssec.vs.uni-due.de/
http://www.internetsociety.org/deploy360/fr/resources/sites-de-tests-dnssec/
Test du DNS sur un site
http://dnssec-debugger.verisignlabs.com/azqs.com- http://fr.wikipedia.org/wiki/Domain_Name_System_Security_Extensions
-
DNS Menteur :: Le cas Turc
< Détournement DNS en Turquie à la réunion FRnog : Solutions possiblesSun Mar 22 11:43:04 2015 - permalink -
# Résumé du diaporama
- Censure du web via résoleurs DNS
1) FAI Turc censures par résolveurs DNS menteurs (21 mars)
2) Utilisateurs migrent vers DNS public
3) FAI Turc bloquent l’accès à résolveurs DNS public (25 mars). (Internet is kaput)
4) FAI turcs injectent des routes à résolveurs DNS public (29 mars) pour les faires mentir
- Solutions
DNSSEC : Résolveur validant http://liens.azqs.com/GeekNik/?dNS7zA
TSIG ou DNScrypt : Authentifier le résolveur
Aucune solutions de sécutrité de routage (ex : RPKI) ne fonctionnent pas
Les VPN sont une solution
> Source du lien
http://www.bortzmeyer.org/turquie-dns-frnog.html
# C’est quoi, un DNS qui ment ?
Explication du fonctionnement du sytème DNS + loie en France
http://pixellibre.net/2015/03/cest-quoi-un-dns-qui-ment/- http://www.bortzmeyer.org/files/turquie-dns-frnog.pdf