Et la marmotte... DANE non plus ne touche à rien de ce qui existe déjà, il peut complètement coexister avec le modèle actuel, et regarde les réticences qu’il rencontre.
Au temps pour moi, j'avais zappé la discussion sur DANE et surtout sa description. C'est très intéressant d'ailleurs.
Premier point : si les empreintes sont publiées dans le DNS, il faut pouvoir se fier aux données du DNS. Bonne nouvelle, il suffit de les signer, et DNSSEC et là pour ça. Mauvaise nouvelle : les acteurs du web mettent un point d’honneur à faire comme si DNSSEC n’existait pas.
Pas mieux, j'ai pas encore essayé DNSSEC, uniquement à cause de l'énumération des enregistrements DNSSEC de la zone.
Deuxième point : c’est le même point négatif que toutes les autres alternatives envisagées depuis des années : tant que tu ne mettras pas Google, Mozilla, Microsoft ou Apple derrière toi, ça ne sera jamais implémenté que par quelques geeks dans leur coin.
On est d'accord. Je vais divergé un peu mais mon opinion c'est que Mozilla ne défend plus les utilisateurs.
Premier exemple, Firefox 31.6.0 sous Windows (à vérifier pour GNU/Linux, *BSD), ne permet plus de désactiver javascript par l'interface utilisateur, il faut passer pour about:config.
Les requêtes safebrowsing semblent interroger les serveurs de Google, donc les sites qu'on visite, les fichiers qu'on télécharge, peuvent être connus de Google (Je serais moins réfractaire si c'était les serveurs de Mozilla).
Les requêtes Jquery (j'entends par là, tout ce qui va sur googleapis.com) qu'on retrouve sur certains sites et qui intérrogent les serveurs de Google encore, je comprends pas pourquoi on fait des requêtes (sur Google), alors que le principe d'Internet c'est d'être décentralisé, du coup je préférerais avoir la librairie incluse dans le navigateur par exemple.
Un dernier petit exemple, les referer, on sait que Facebook & co, peuvent suivre les utilisateurs, même si ils ne sont pas inscrits grâce au bouton "j'aime" parce ce que le navigateur transmet le site référant à l'image du bouton.
C'est pour tout ça et pour d'autres exemples que je pense que Mozilla a arrêté de se battre pour des idéaux. Et si ils ont arrêté de se battre, alors on a plus rien à attendre d'eux.
Et je sais bien que certains exemples, que j'ai cité, peuvent casser certains sites web ou sont contraires aux RFCs mais je résumerai en disant qu'avant, on avait au moins le choix, maintenant on a le choix du conformisme.
Pour revenir au sujet, DANE semble aller dans le bon sens pour résoudre les faiblesses d'HTTPS mais j'aime bien mon idée aussi.
En fait, je pense que les deux sont bonnes, DANE résout les faiblesses d'HTTPS, alors que ma proposition voudrait généraliser le cryptage des données de la plus simple des manières.
DANE pour la sécurité des transactions, la chaîne de confiance, SHTTP pour généraliser la protection de la vie privée et des correspondances.
Et d'ailleurs, il faudrait appliquer les mêmes principes à SMTP mais celui-là est encore plus oublié qu'HTTP, et il faut rajouter le cryptage des requêtes DNS.
[^] # Re: shttp
Posté par bakeru . En réponse au journal HTTP poussé vers la sortie ?. Évalué à -4.
Au temps pour moi, j'avais zappé la discussion sur DANE et surtout sa description. C'est très intéressant d'ailleurs.
Pas mieux, j'ai pas encore essayé DNSSEC, uniquement à cause de l'énumération des enregistrements DNSSEC de la zone.
On est d'accord. Je vais divergé un peu mais mon opinion c'est que Mozilla ne défend plus les utilisateurs.
Premier exemple, Firefox 31.6.0 sous Windows (à vérifier pour GNU/Linux, *BSD), ne permet plus de désactiver javascript par l'interface utilisateur, il faut passer pour about:config.
Les requêtes safebrowsing semblent interroger les serveurs de Google, donc les sites qu'on visite, les fichiers qu'on télécharge, peuvent être connus de Google (Je serais moins réfractaire si c'était les serveurs de Mozilla).
Les requêtes Jquery (j'entends par là, tout ce qui va sur googleapis.com) qu'on retrouve sur certains sites et qui intérrogent les serveurs de Google encore, je comprends pas pourquoi on fait des requêtes (sur Google), alors que le principe d'Internet c'est d'être décentralisé, du coup je préférerais avoir la librairie incluse dans le navigateur par exemple.
Un dernier petit exemple, les referer, on sait que Facebook & co, peuvent suivre les utilisateurs, même si ils ne sont pas inscrits grâce au bouton "j'aime" parce ce que le navigateur transmet le site référant à l'image du bouton.
C'est pour tout ça et pour d'autres exemples que je pense que Mozilla a arrêté de se battre pour des idéaux. Et si ils ont arrêté de se battre, alors on a plus rien à attendre d'eux.
Et je sais bien que certains exemples, que j'ai cité, peuvent casser certains sites web ou sont contraires aux RFCs mais je résumerai en disant qu'avant, on avait au moins le choix, maintenant on a le choix du conformisme.
Pour revenir au sujet, DANE semble aller dans le bon sens pour résoudre les faiblesses d'HTTPS mais j'aime bien mon idée aussi.
En fait, je pense que les deux sont bonnes, DANE résout les faiblesses d'HTTPS, alors que ma proposition voudrait généraliser le cryptage des données de la plus simple des manières.
DANE pour la sécurité des transactions, la chaîne de confiance, SHTTP pour généraliser la protection de la vie privée et des correspondances.
Et d'ailleurs, il faudrait appliquer les mêmes principes à SMTP mais celui-là est encore plus oublié qu'HTTP, et il faut rajouter le cryptage des requêtes DNS.