\documentclass{beamer}
%\documentclass[ignorenonframetext,handout]{beamer}
%\usepackage{pgfpages}
%\pgfpagesuselayout{2 on 1}[a4paper,border shrink=5mm]

\usetheme{Antibes}
\usepackage[french]{babel}
\usepackage[utf8x]{inputenc}
\usepackage{bortzmeyer-utils}

\title{Choisir son résolveur DNS, pas si facile (\insertframenumber{}/\inserttotalframenumber)}
\author{Stéphane Bortzmeyer\\\texttt{stephane+ubuntuparty@bortzmeyer.org}}
\date{Ubuntu Party, Paris, 26 novembre 2017}
\setlength{\parskip}{15pt plus 10pt minus 10pt} 

\begin{document}

\maketitle

\begin{frame}
    \frametitle{Le DNS}
    DNS = \foreign{Domain Name System}
    \begin{overlayarea}{\textwidth}{.6\textheight}
  \begin{itemize}
  \item<2->Les adresses IP ne sont pas stables\only<2>{ (et ont d'autres
    limites)},
   \item<3->On utilise donc plutôt des \emph{noms} qui, eux, sont
     stables,
    \item<4->Le DNS est une base de données qui associe à ces noms des
      informations\only<4>{ (comme les adresses IP)},
     \item<5->C'est une technologie d'\emph{infrastructure} comme
       l'eau ou l'électricité : tant qu'elle marche, personne ne la
       voit.\only<5->{ Le DNS reste donc peu connu et peu discuté.}
  \end{itemize}
 \end{overlayarea}
\end{frame}

\begin{frame}[fragile]
  \frametitle{Les noms DNS}
      \begin{overlayarea}{\textwidth}{.6\textheight}
  \begin{itemize}
  \item<2->Exemples de noms de domaines : \url{ubuntu-paris.org}, \url{www.phy.cam.ac.uk},
    \url{www.potamochère.fr}, \url{gmail.com}, \url{www.st-cyr.terre.defense.gouv.fr},
    \url{fr.wikipedia.org}\ldots
  \item<3->Le nom le plus général (TLD \foreign{Top-Level Domain} ou
    domaine de tête), à la
    fin.
  \end{itemize}
 \end{overlayarea}
\end{frame}

\begin{frame}
  \frametitle{L'arbre du DNS}
  \includegraphics[scale=0.3]{arbre.eps}
\end{frame}

\begin{frame}
  \frametitle{Résolution de noms, ou le protocole DNS en action}
  \includegraphics[scale=0.41]{resolution.eps}
\end{frame}

\begin{frame}
  \frametitle{Le pouvoir du résolveur DNS}
  \begin{overlayarea}{\textwidth}{.6\textheight}
  \begin{enumerate}
  \item<2->Si le résolveur est en panne $\longrightarrow$ plus de DNS
    $\longrightarrow$ plus d'Internet,
  \item<3->Le résolveur peut être lent,  
  \item<4->Le résolveur peut mentir\only<4>{ (cas de la Main Rouge en
    France, décret n° 2015-125 du 5 février 2015)},
  \item<5->Le résolveur peut enregistrer vos requêtes\only<5>{ (vous
    avez consulté \url{www.djihad.sa}, \url{pornhub.com} et
    \url{alcooliques-anonymes.fr})},
  \item<6->Le trafic peut être lu avant ou après le résolveur\only<6>{
    (amont ou aval)},
  \item<7->\emph{Qui contrôle votre résolveur DNS contrôle tout votre
    usage de l'Internet}.
  \end{enumerate}
 \end{overlayarea}
\end{frame}

\begin{frame}
  \frametitle{Comment je trouve mon résolveur DNS ?}
\begin{overlayarea}{\textwidth}{.6\textheight}
  \begin{enumerate}
  \item<2->Par défaut, indiqué à votre machine par le serveur DHCP, % http://www.bortzmeyer.org/changer-dns.html
  \item<3->Ce serveur DHCP peut être contrôlé par votre FAI / votre
    service informatique, ou bien cela peut être un engin à
    vous\only<3>{ (100 \% libre avec OpenWRT; cf. Turris Omnia)},
  \item<4->On peut souvent surmonter cette décision et indiquer le
    résolveur qu'on veut.  
  \end{enumerate}
 \end{overlayarea}
\end{frame}

\begin{frame}
  \frametitle{Critères de choix d'un résolveur DNS}
\begin{overlayarea}{\textwidth}{.6\textheight}
  \begin{enumerate}
  \item<2->Fiabilité,
  \item<3->Performance\only<3>{ (\emph{attention}, c'est vraiment
    difficile à mesurer, notamment cache chaud vs. cache froid)},
  \item<4->Non-mensonger, ou alors seulement les mensonges que
    j'approuve,
  \item<5->Authentifié,
  \item<6->Protégé contre l'écoute, en amont et en aval.
  \end{enumerate}
 \end{overlayarea}
\end{frame}

\begin{frame}
  \frametitle{Résolveur du FAI / service informatique}
\begin{overlayarea}{\textwidth}{.6\textheight}
  \begin{enumerate}
  \item<2->Souvent rapide\only<2>{ (car proche)},
   \item<3->Fiabilité variable\only<3>{ (Orange se trompant et
     redirigeant vers la Main Rouge le 17 octobre 2016)}, % http://www.bortzmeyer.org/google-detourne-par-orange.html
  \item<4->Souvent menteur\only<4>{ (Deutsche Telekom ment sur les
    domaines non existants, les gros FAI français mentent sur ordre de
    la justice, de l'ARJEL, de la police\ldots)},
  \item<5->Que font-ils des données ?
  \item<6->Écoute difficile en amont\only<6>{ (mais, en aval, aucun ne
    fait de \foreign{QNAME minimisation})}.
  \end{enumerate}
 \end{overlayarea}
\end{frame}

\begin{frame}
  \frametitle{Résolveur public}
  (Comme Cisco OpenDNS, LDN, Google Public DNS, Quad9, FDN\ldots)
\begin{overlayarea}{\textwidth}{.6\textheight}
  \begin{enumerate}
  \item<2->Parfois lointain, donc lent,
   \item<3->Fiabilité variable\only<3>{ (être joignable 24x7 est difficile)},
  \item<4->Parfois menteur\only<4>{ (Cisco OpenDNS, Quad9)},
  \item<5->Que font-ils des données ?\only<5>{ Le RGPD protège-t-il,
    pour des acteurs étrangers ?},
  \item<6->Rarement chiffré\only<6>{ (sauf Cisco OpenDNS, LDN et
    Quad9)} donc vulnérable à l'écoute en amont. En aval, on est
    « protégé » par le nombre de requêtes.
  \end{enumerate}
 \end{overlayarea}
\end{frame}

\begin{frame}
  \frametitle{Son propre résolveur}
  Peut être sur un PC\only<1>{ (Ubuntu, bien sûr !)} ou sur une
  « \foreign{box} » qu'on contrôle\only<1>{ (brique Internet ?)}.
\begin{overlayarea}{\textwidth}{.6\textheight}
  \begin{enumerate}
  \item<2->Proche, donc rapide, lorsque le cache est chaud,
   \item<3->Aussi fiable que le reste du réseau local,
  \item<4->Menteur uniquement si on le veut (\url{googleanalytics.com}),
  \item<5->Aucune capture des données (si logiciel libre),
  \item<6->Vie privée : bonne protection des requêtes amont mais très mauvais pour
    les requêtes aval\only<6>{ (pensez à la \foreign{QNAME minimisation})}.
  \end{enumerate}
 \end{overlayarea}
\end{frame}

\begin{frame}
  \frametitle{Conclusion}
  \begin{overlayarea}{\textwidth}{.6\textheight}
    \begin{itemize}
    \item<2->On peut aussi combiner des solutions\only<2>{ (résolveur
      local faisant suivre au résolveur public)},
    \item<3->Il n'y a pas de solution DNS idéale,
    \item<4->Les autres techniques de résolution de noms \only<4>{(Namecoin,
      GNUnet) }sont plutôt expérimentales, peu déployées, ont leurs
      propres défauts.
    \end{itemize}
  \end{overlayarea}
\end{frame}

\end{document}
