VPN

[MeowMeow]

Bonjour,

J'aimerais votre avis sur utilisation d'un vpn aujourd'hui.
De plus, j'aimerais savoir si il y a des gens qui utilisent NordVPN?

Je vous remercie :)

[CryoGen]

Vu que tu parles de NordVPN, je suppose donc que tu parles de VPN particulier pour surfer sur le net.

Perso j'ai ProtonVPN. Je ne l'utilise qu'en déplacement à l'étranger ou quand je dois me connecter à des réseaux non maitrisé (hotel, wifi public etc.).

[MeowMeow]

Pour NordVpn, il y a une belle offre en ce moment. 100€ pour 3 ans.

Dac @CryoGen .

 

Après, faut avoir tout le temps l'utilité du vpn...

[CryoGen]

Pas forcement tout le temps, mais assez souvent oui.

Comme je voyage assez souvent pour mes clients, le vpn permet de sécuriser ma connexion (vie privée) mais aussi d'accéder à des services en France qui sont bloqués par GeoIP.

Celà dit sur mon dernier voyage, je ne suis pas arrivé à faire fonctionner Netflix via le VPN, il détectait l'utilisation de celui ci....

[Soltek]

23 minutes ago, CryoGen said:

je ne suis pas arrivé à faire fonctionner Netflix via le VPN

Oui certains sont bloqués d'autres non (j'ai lu plusieurs fois que NordVPN ne l'était pas)...

 

@trOmAtism Tu peux toujours prendre un mois sans engagement pour le tester si tu as un besoin.

[MeowMeow]

Je me dit qu'avec le DNS over Https de chez firefox, cela me protège bien.

J'ai testé sous mon réseau entreprise. Je ne trouve aucune activité web sous mon adresse ip.
 

[Soltek]

14 minutes ago, trOmAtism said:

Je me dit qu'avec le DNS over Https de chez firefox, cela me protège bien.

Ce n'est pas la même chose.

14 minutes ago, trOmAtism said:

J'ai testé sous mon réseau entreprise. Je ne trouve aucune activité web sous mon adresse ip.

Que veux-tu dire et comment l'as-tu testé ?
En entreprise tout est loggué sans que tu ne t'en rende compte.

[Sheepux]

Coté tarif je retrouve l'équivalent en autohébergement via IAAS ARM chez Scaleway.
Installer openvpn, ca fonctionne bien pour 3€/mois, contrôle de bout en bout.

https://www.scaleway.com/fr/bare-metal-instances/ C1

4 ARMv7

2 Go

50 Go

200 Mbits/s

1 Gbit/s

€2.99/mo

[MeowMeow]

Le dns over https, me protège de mon FAI. Il ne peut voir mon historique web.

 

Il y a 11 minutes, Soltek a écrit :

Que veux-tu dire et comment l'as-tu testé ?
En entreprise tout est loggué sans que tu ne t'en rende compte.

J'ai regardé sur le firewall, un stormshield. Avec ou sans DoH. Sous DoH, pu aucune trace de mon activité web.

Il y a 9 minutes, Sheepux a écrit :

Coté tarif je retrouve l'équivalent en autohébergement via IAAS ARM chez Scaleway.
Installer openvpn, ca fonctionne bien pour 3€/mois, contrôle de bout en bout.

https://www.scaleway.com/fr/bare-metal-instances/ C1

4 ARMv7

2 Go

50 Go

200 Mbits/s

1 Gbit/s

€2.99/mo

Humm. C'est une bonne idée. Par contre, comment être sécûre? Ne pas afficher ces traces.
 

[Soltek]

7 minutes ago, trOmAtism said:

J'ai regardé sur le firewall, un stormshield. Avec ou sans DoH. Sous DoH, pu aucune trace de mon activité web.

Bah je ne sais pas comment est configuré ton Stormshield mais une entreprise est sensé être capable pendant un an de dire qui a fait quoi comme requête, que se soit http ou https, le Stormshield voit tout.

[CryoGen]

Il y a 42 minutes, Soltek a écrit :

Oui certains sont bloqués d'autres non (j'ai lu plusieurs fois que NordVPN ne l'était pas)...

Avec ProtonVPN ca marchait pendant un temps... j'imagine qu'il y a une course entre les fournisseurs média et VPN 😄

Il y a 8 minutes, trOmAtism a écrit :

Le dns over https, me protège de mon FAI. Il ne peut voir mon historique web.

Bien sur que si, le https envoyant l'uri en clair pour l'instant.

Il y a 9 minutes, trOmAtism a écrit :

J'ai regardé sur le firewall, un stormshield. Avec ou sans DoH. Sous DoH, pu aucune trace de mon activité web.

Ca m'étonne, faut que je teste sur mon stormshield. Mais sur mon Kerio dans les log de filtrage je voyais l'uri initial tout de même...

Il y a 19 minutes, Sheepux a écrit :

Coté tarif je retrouve l'équivalent en autohébergement via IAAS ARM chez Scaleway.
Installer openvpn, ca fonctionne bien pour 3€/mois, contrôle de bout en bout.

https://www.scaleway.com/fr/bare-metal-instances/ C1

4 ARMv7

2 Go

50 Go

200 Mbits/s

1 Gbit/s

€2.99/mo

Pas con.

[Sheepux]

Bon, erratum, j'ai oublié que les prix sont en hors taxe, donc ca sera plus cher mais perso je ne fait pas confiance à un prestataire tier pour avoir un accès VPN si le but est de protéger ma vie privée.

Et pour le IAAS y'a aussi le même tarif en VM dev (2vpu, 2GoRam), mais au moins en socle x86-64.

[MeowMeow]

Il y a 30 minutes, Soltek a écrit :

Bah je ne sais pas comment est configuré ton Stormshield mais une entreprise est sensé être capable pendant un an de dire qui a fait quoi comme requête, que se soit http ou https, le Stormshield voit tout.

Concernant le DoH :

Comment fonctionne le DNS sur HTTPS ?

Le protocole DNS-over-HTTPS fonctionne en prenant le nom de domaine tapé dans par l'utilisateur dans son navigateur. Cela envoie une requête à un serveur DNS pour connaître l'adresse IP du serveur web qui héberge ce site spécifique.

C'est ainsi que le DNS normal fonctionne aussi. Cependant, DoH prend la requête DNS et l'envoie à un serveur DNS compatible DoH (résolveur) via une connexion HTTPS chiffrée sur le port 443, plutôt qu'en texte clair sur le port 53.

De cette façon, le DoH cache les requêtes DNS dans le trafic HTTPS régulier, de sorte que les observateurs tiers (dont les FAI) ne pourront pas suivre le trafic et dire quelles requêtes DNS les utilisateurs ont exécuté et déduire quels sites Web ils sont sur le point d'accéder.

Nommé " Internet Vilain"

De plus, Les applications peuvent être livrées avec des listes internes codées en dur de résolveurs DNS compatibles DoH où ils peuvent envoyer des requêtes DoH. Ce mode de fonctionnement contourne les paramètres DNS par défaut définis par les fournisseurs d'accès Internet (FAI) locaux.

C'est une des raisons pour lesquelles un groupe de FAI britanniques a nommé Mozilla pour le prix 2019 Internet Vilain pour son projet de soutenir le protocole DoH, qui selon eux contrecarrerait leurs efforts dans le filtrage du mauvais trafic.

En réponse, et en conséquence  de la situation complexe au Royaume-Uni où le gouvernement bloque l'accès aux contenus violant les droits d'auteur et où les FAI bloquent volontairement l'accès aux sites Web sur les abus envers les enfants, Mozilla a décidé de ne pas activer cette fonctionnalité par défaut pour les utilisateurs britanniques.

 

Source : https://www.zdnet.fr/pratique/pratique-comment-activer-dns-over-https-doh-dans-firefox-39887257.htm

[Sheepux]

ta requête DNS sera peut être sécurisée, mais pas forcément la requête HTTPS.

Pas tout le monde ne sait aujourd'hui qu'il y a un entête non sécurisé le SNI: https://fr.wikipedia.org/wiki/Server_Name_Indication

Il faut donc en complément s'assurer que ton navigateur n'envoi pas l'entête SNI (mais cela peut poser un problème au service distant car le SNI simplifie le routage).

[MeowMeow]

Merci pour l'information.

[Sheepux]

En complément je suis tombé récemment sur un article détaillé sur le SNI (je cherchais autre chose mais j'ai repensé à ce topic) et surtout sur l'implémentation de encryptedSNI.

https://lafibre.info/cryptographie/encrypted-sni/ (la source en anglais: https://blog.cloudflare.com/encrypted-sni/ )

[MeowMeow]

Super merci :)