Thread by @pbeyssac

D'abord, petit fil sur la censure française du #DoH -- puisqu'il ne s'agit pas que de ça, mais surtout de ça pour l'instant, c'est en creux dans l'intervention ci-dessous.

https://twitter.com/cedric_o/status/1378014243618967553

Actuellement il existe une procédure nationale française de blocage administratif national par la police, sur liste totalement opaque gérée par celle-ci et l'Arjel (autorité des jeux en ligne).

l'Arjel bloque les sites de jeux en ligne hébergés à l'étranger (dont l'hébergeur/opérateur échappe donc à la loi fr) qui contreviennent à la loi française sur la question. La police bloque les sites promouvant le terrorisme. Tout ça, sans juge.

En supplément, la justice peut ordonner au cas par cas des blocages de sites illégaux, comme sci-hub.st, par exemple, ou des sites de streaming illégal, etc.

La liste police+Arjel ne concerne que les 4 plus gros FAI français (SFR, Free, Orange, Bouygues). Pourquoi pas les autres ? Parce que la liste est secrète. En disséminer l'application plus largement ne ferait que rendre sa confidentialité plus difficile.

Une liste secrète, d'un point de vue démocratique, c'est déjà un peu ennuyeux. Personne ne peut savoir qu'il existe en blocage, à moins de tomber dessus. Et même là, ça peut passer pour une panne.

En théorie les recours existent pour lever les blocages abusifs, encore faut-il savoir qu'ils existent (cf plus haut "liste secrète") et savoir qu'il y a une procédure de recours. Ça fait beaucoup de si.

Jusqu'à il y a peu, la liste police était vérifiée par un médiateur envoyé par la CNIL. Depuis (sauf erreur), c'est le CSA qui en est chargé, dans le cadre de sa transformation par LREM en censeur prenant sous sa coupe l'Internet (un précédent auquel nous avions échappé 25 ans).

Restent les décisions de blocage par la justice, qui en général sollicitent les 4 mêmes gros opérateurs. Je ne suis pas assez dans le secret des dieux pour savoir si cela atterrit dans la liste police+arjel ou si c'est géré différemment.

Les décisions de justice sont récupérables pour la plupart, encore faut-il savoir où les trouver (coucou l'#opendata des décisions). Pour être au courant, à moins, comptez sur le travail de veille de la presse essentiellement (coucou @reesmarc).

Le blocage DNS a un inconvénient : il est facile à contourner en utilisant un autre serveur DNS que les serveurs menteurs des 4 FAI concernés. Et c'est facile car il existe des serveurs ouverts depuis des années, dans le but d'avoir un meilleur service DNS.

On peut donc citer 9.9.9.9 (quad9), le plus respectueux de la vie privée. Ou bien 1.1.1.1 (Cloudflare), 8.8.8.8 (Google).

Depuis l'affaire Snowden, qui a révélé les écoutes abusives en masse de la NSA, la plus grande partie d'Internet est passée au chiffrement pour s'en protéger. Le dernier chaînon essentiel, c'est le DNS, qui est en train de passer au chiffrement avec DoT et DoH.

Donc, Firefox et d'autres navigateurs ont promu des systèmes DoH pour améliorer la confidentialité de notre navigation. Firefox propose par défaut Cloudflare. Et comme on pouvait s'y attendre, ça déplaît au législateur français, puisque ça aboutit à contourner son blocage DNS.

Et là je tiens à remercier @ebothorel qui m'a fourni l'occasion de discuter de son amendement, même si ce fut hélas trop court vu le nombre de choses à dire.

Donc le législateur fr souhaite étendre entre autres aux opérateurs DoH la liste nationale de blocage. Pour un opérateur étranger (la plupart le sont), il faudra un représentant sur le territoire national (ou UE suivant le cas) qui "prendra les coups" en cas de non respect.

Déployer du DoH était une occasion pour les français de contrer le risque intrinsèque que comporte DoH par son déploiement de "gafamiser" la résolution DNS en la centralisant sur quelques acteurs de grosse taille.

Inutile de dire que l'obligation de censure risque de nuire à ce mouvement, en créant une contrainte pour les opérateurs DoH qui sera plus facilement absorbée par les gros que par les petits (sempiternelle question de quasi toute législation sur le numérique).

On peut bien sûr créer des seuils d'application, mais ceux-ci créent des... effets de seuil (#surprise), qui peuvent empêcher de petits acteurs de devenir significatifs.

Je ne sais pas comment la liste DoH & al sera gérée. Mais cela repose exactement les mêmes problèmes de secret et de diffusion que la liste DNS. Et après les opérateurs DoH, qui prendra les coups ? N'importe quel intermédiaire en est susceptible.

Et cela pose comme toujours le problème, pas nouveau, de gestion opaque par des autorités administratives (bavures, secret) des listes de censure. Voilà. Fin pour l'instant. Ce fil est bien plus long que je pensais initialement, désolé...

Complément, si vous voulez utiliser un serveur DoH bien de chez nous, celui-ci est opéré par @bortzmeyer. bortzmeyer.org/doh-mon-resolv… (et il faudrait que je retape celui d'eu\.org pour avancer, mais s'il y a des coups à se prendre, ça ne donne guère envie...)