Firefox slår kontroversiel kryptering til i USA

...og det gør det meget sværere for ISP'er og andre MITM'er at finde ud af hvilke hjemmesider du besøger.

At de så kun gør det i USA (som har meget begrænset "statslig censur") og endvidere "ikke har planer" om at rulle det ud i andre geografier - det er lidt mystiskt, men det til trods skal de have kudos for at gøre noget godt.

At de så kun gør det i USA (som har meget begrænset "statslig censur") ...

I netop USA har ISP'ere meget stor appetit på at profilere deres "kunder" og sælge den information videre til andre (og tilsyneladende, jo større ISP, jo færre skrupler og jo større appetit). Det kombineret med at tilsynet med samme nærmest har valgt at have endog meget let hånd, sikkert af ideologiske årsager, gør at netop i USA er "brugerne" i langt højere grad solgt til stanglakrids.

Så jeg er ikke overrasket over at det starter i USA.

Men elastik i metermål, og ønsker om at sælge oplysninger om ens "kunders" adfærd til andre er bestemt ikke begrænset til USA. Herhjemme har vi f.eks. tidligere set, hvordan TDC meget gerne vil lave penge på oplysninger om deres "kunders" adfærd til f.eks. turistforeninger (en anden form for oplysninger, bevares, men samme dårlige vane, og i begge tilfælde er "kunderne" reduceret til hjælpeløse tilskuere, mens deres adfærd bliver pænt pakket ind og solgt til uvedkommende).

Dvs. ikke som faneindstilling? En standart er en heraldisk fane, der bæres på en stav eller et spyd. Der burde altså stå "standardindstilling".

De to ord (standart og standard) har dog samme rod, da ordet "standard" kommer fra det våbenskjold, der var på riddernes standardter.

På engelsk staves de to ord ens: https://en.wikipedia.org/wiki/Heraldic_flag#Standard

... og hvis man ikke stoler på sin ISP, så stoler man på DNS udbyderen. Uanset protocollen (dog giver traditionel DNS mulighed for at andre læser hvilke DNS opslag man laver fordi protocollen ikke er krypteret). I dette tilfælde skubbes tilliden til Cloudflare som bliver DNS over HTTPS udbyder for Firefox.

Jeg kan ikke forstå hvorfor jeg skulle have mere tillid til Cloudflare end til Google eller min egen ISP.

Hvis man vil have sikre og nogenlunde anonyme DNS opslag, så skal man lave noget hvor opslag går igennem mange uafhængige DNS udbydere. Og helst skal DNS opslag fordeles på en række forskellige udbydere sådan at ingen ser min komplette DNS historik.

I øvrigt er det problematisk efterhånden som alt skal igennem HTTPS. Det gør det meget sværere at vide hvad der ryger ind og ud af netværket. Vi kan ikke bruge portnummer til noget fordi alt er 443. Og vi kan ikke bruge remote IP adresse til noget fordi det blot er en cloud provider. Vi bevæger os i den gale retning.

... og hvis man ikke stoler på sin ISP, så stoler man på DNS udbyderen.

I praksis er det ofte meget nemmere og billigere at vælge en alternativ DNS udbyder end en alternativ ISP.

I praksis er det ofte meget nemmere og billigere at vælge en alternativ DNS udbyder end en alternativ ISP.

Men hvorfor rykke DNS valg ind i browseren? Hvorfor er dette ikke længere en funktion som konfigureres af DHCP og hvor DHCP servicen kan vælge om det er en lokal DNS server, ISP'ens DNS server eller cloudflare/googles DNS service der bruges.

For det fleste bliver dette en setting som aldrig ændres med det resultat at Cloudflare modtager alle DNS opslag fra Firefox. Snart vil google sikkert modtage alle DNS opslag fra Chrome, etc. Det er ikke godt for brugerne.

I praksis er det ofte meget nemmere og billigere at vælge en alternativ DNS udbyder end en alternativ ISP.

Eller man kan køre sin egen resolver.

Ofte undrer det mig at det ikke er en standard komponent i en bredbåndsrouter.

Var det ikke bedre at satse på DNSSEC end en protokol, som Mozilla holdet har fundet på?

Som jeg har forstået den store del af problemstillingen, er det at ISP'er i USA historisk set har logget og solgt information om deres brugeres adfærd på nettet til reklamenetværk.

Da en ISP både har information om brugeren (navn, adresse, køn, osv) samt information om præcis hvilke sider denne besøger og i nogle tilfælde, hvad brugeren foretager sig på siden, sidder de inde med information der er perfekt til reklamenetværk.

Ved at bruge DoH, tager man noget af den data og værdi fra ISP'en. Data de ikke har nogen ret til, i øvrigt.

Er det en perfekt løsning? Nej. Er det en bedre løsning end den nuværende, når den store fjende er din ISP der prøver at samle information om din færden på nettet? Ja.

Jeg kan ikke forstå hvorfor jeg skulle have mere tillid til Cloudflare end til Google eller min egen ISP.

Enig!

Man kan ikke være paranoid nok. For virkeligheden overgår vores fantasi: https://www.dr.dk/nyheder/indland/forsvaret-har-koebt-krypteringsudstyr-...

Jeg kan ikke forstå hvorfor jeg skulle have mere tillid til Cloudflare end til Google eller min egen ISP.

Fordi google er et reklame-bureau (kig på hvor de tjener deres penge) der lever af at spionere mod dig, mens cloudflare ikke direkte har nogen interesse i hvad du foretager dig.

Det er det der undrer mig mest...

Hvis man vælger en_US som sprog, er det så ikke præcis den samme binære vi får over hele verden? Det er det da i Ubuntu og Debian mener jeg i hvert fald...

Eller checker den binære hvor i verden den kører når den starter op?

Man kan ikke være paranoid nok. For virkeligheden overgår vores fantasi: https://www.dr.dk/nyheder/indland/forsvaret-har-koebt-krypteringsudstyr-...

Tag det roligt. Den sag har mange flere facetter. DR's sensationsversion er kun en lille del af historien.

Fordi google er et reklame-bureau (kig på hvor de tjener deres penge) der lever af at spionere mod dig, mens cloudflare ikke direkte har nogen interesse i hvad du foretager dig.

Hvad får cloudflare ud af denne aftale? Hvad får cloudflare ud af at drive en offentlig DNS resolver? I mine øjne får de det samme ud af det som Google (der også driver en offentlig DNS resolver). De får indblik i alle de DNS opslag som brugeren laver (såfremt browseren kører DNS over HTTPS).

Hvorfor skulle nogen af dem vælge at drive DNS services hvis ikke de var interesserede i data? Jeg har svært ved at forestille mig at det er ren altruisme. I den forbindelse er det værd at huske at DNS over HTTPS lækker langt mere information end DNS over UDP port 53 (specielt hvis port 53 request først rammer en lokal DNS server, dernæst en ISP DNS server og først derefter det store internet). Denne information kan bruges til at servere reklamer eller til efterretningsformål. Vælg selv hvad du tror ...

Var det ikke bedre at satse på DNSSEC end en protokol, som Mozilla holdet har fundet på?

From wikipedia: DNSSEC was designed to protect applications (and caching resolvers serving those applications) from using forged or manipulated DNS data, DNSSEC does not provide confidentiality of data; in particular, all DNSSEC responses are authenticated but not encrypted.

DNSSEC er desuden designet så at ISPen får lov til at være man in the middle. I USA er det tilsyneladende ISPen der er fjenden, så der er brug for en anden løsning.