Cloudflare, Apple et Fastly séparent la connaissance DNS à l'aide d'un proxy, afin que personne ne sache qui a fait la demande

Dan Goodin, d'Ars Technica, a rapporté que Cloudflare, Apple et le réseau de diffusion de contenu Fastly ont introduit Oblivious DNS over HTTPS (ODoH), une modification du système de noms de domaine destinée à empêcher les fournisseurs et les indiscrets de voir quelles adresses les utilisateurs visitent. DNS over HTTPS et DNS over TLS chiffrent déjà les recherches, mais un petit groupe de fournisseurs peut encore journaliser l'usage d'Internet de potentiellement des milliards de personnes. Comme le fournisseur voit à la fois la requête et l'adresse IP de l'ordinateur qui l'émet, il peut encore établir des profils détaillés.

ODoH place un proxy réseau entre les utilisateurs et le résolveur DNS. Le client chiffre sa requête destinée au résolveur cible à l'aide de HPKE, avec la clé publique de la cible obtenue via DNS. Le proxy transmet la requête chiffrée et ne peut pas la lire. La cible la déchiffre, répond et chiffre la réponse, qui revient par le proxy. Seul l'utilisateur a accès à la fois à la requête et à l'adresse IP qui l'a envoyée.

Cloudflare a rapporté que, dans une étude, le surcoût d'ODoH par rapport à une requête DoH passant par un proxy était inférieur à 1 milliseconde au 99e centile. Les entreprises ont travaillé avec l'Internet Engineering Task Force en vue d'une norme industrielle.

Chiffrer la requête destinée au résolveur et la relayer via un proxy, afin qu'aucune partie unique ne détienne jamais à la fois les sites qu'un utilisateur visite et son identité.

DoH et DoT protègent contre les indiscrets sur le réseau, mais pas contre le résolveur lui-même.

Peu de fournisseurs proposent un DNS chiffré, ce qui concentre le risque pour la vie privée chez eux.

Un proxy qui ne peut pas déchiffrer et un résolveur qui ne peut pas voir l'adresse du client gardent les deux faits séparés.

Les messages restent chiffrés de bout en bout bien qu'ils traversent deux connexions HTTPS distinctes.

Si l'on ne peut pas faire confiance à une partie pour détenir deux faits liés, répartir ces faits entre deux parties afin qu'aucune ne puisse les réunir.

Ars a décrit ODoH comme un travail en cours à la fin de 2020 : les coûts de performance du proxy et du chiffrement étaient encore en cours de mesure, Firefox et d'autres avaient manifesté leur intérêt, et Google et Microsoft étaient absents. Le média a indiqué que l'absence de ces acteurs suggérait que le protocole avait encore un long chemin à parcourir.