HTTP/3-patches, vertrek van Quad9 uit Frankrijk en Taler op weg naar BaFin

Onderzoekers beschrijven QPACK-aanvallen die bij verschillende HTTP/3-implementaties weinig netwerkverkeer in zeer veel geheugenwerk kunnen omzetten. Tegelijk stopt Quad9 zijn gratis DNS-dienst in Frankrijk na een rechterlijke blokkadeplicht. Voor Europese betaalinfra is er een voorzichtiger signaal: GNU Taler richt een Duitse operator op, maar heeft nog geen BaFin-licentie of lanceringsdatum.

QPACK-aanvallen maken HTTP/3-headerlimieten urgent

Een nieuw onderzoek naar QPACK, de headercompressie van HTTP/3, beschrijft hoe een niet-geauthenticeerde client met compacte headerframes een server grote aantallen gedecodeerde headerobjecten kan laten vasthouden. Volgens de onderzoeker ontbreken in meerdere implementaties limieten op de gedecodeerde headersectie, worden ze te laat toegepast of telt de implementatie niet alle vereiste overhead mee. Dat kan tot memory exhaustion, een crash of in één geval een blijvende CPU-loop leiden.

De praktische inventarisatie is concreet. quic-go 0.57.0 (onder meer gebruikt door Caddy, Traefik en cloudflared), Cloudflare quiche 0.29.3, lsquic 4.9.0 en Wireshark-patches worden als gerepareerd genoemd. Voor Bun 1.4.3, Python-aioquic/mitmproxy en Rust-h3 noemt het stuk nog open risico’s of mitigaties. Bij h3 is het advies een redelijke max_field_section_size te configureren; bij mitmproxy HTTP/3 uitschakelen als die route niet nodig is. De auteur vermeldt IIS, Google quiche en ngtcp2/nghttp3 als niet geraakt in de geteste configuraties.

Dat maakt dit vooral een actiepunt voor teams die zelf HTTP/3 termineren: inventariseer de QUIC-library achter de proxy, update naar de genoemde fixed versie waar die beschikbaar is, en test expliciet dat limieten tijdens het decoderen worden afgedwongen. De bevindingen, amplificatiefactoren en affected-lijst komen uit één onderzoek; behandel ze niet als een volledige audit van alle HTTP/3-stacks. Onderzoek met versies, oorzaken en mitigaties · Lobsters-discussie

Quad9 stopt op 24 november met DNS-resolving in Frankrijk

Quad9 kondigt aan zijn gratis DNS-dienst vanaf 24 november niet meer aan gebruikers in Frankrijk aan te bieden. Aanleiding is volgens de Zwitserse non-profit een Franse rechterlijke uitspraak in een zaak van beIN: Quad9 zou domeinen voor Franse gebruikers moeten blokkeren wegens vermeende auteursrechtinbreuk rond sportuitzendingen. De financiële sanctie zou zijn verlaagd van €580.000 naar €1.000 per dag.

Quad9 zegt zo’n landafbakening niet betrouwbaar te kunnen uitvoeren zonder een gebruikersdossier op te bouwen. Het wijst ook op een eerdere Duitse zaak: geo-IP-blokkering bleek daar volgens de organisatie onvoldoende omdat een VPN de blokkade kon omzeilen. Wereldwijd blokkeren vindt Quad9 evenmin acceptabel, omdat een Franse uitspraak dan voor alle gebruikers zou gelden. De organisatie noemt bovendien circa twintig lopende Franse procedures rond honderden domeinen.

Voor Franse organisaties en huishoudens die 9.9.9.9 gebruiken is dit een concreet migratiesignaal: leg vast waar de resolver expliciet is ingesteld — netwerk, endpoints, containers en DNS-over-HTTPS-profielen — en kies en test tijdig een alternatief. Dit is geen algemene Europese dienststop. De juridische en technische interpretatie hierboven is primair die van Quad9; in de HN-discussie wordt de fundamentele spanning zichtbaar tussen territoriale blokkeerbevelen en een anonieme publieke resolver, maar die reacties zijn geen rechterlijke duiding. Quad9 over de beslissing · HN-discussie

GNU Taler zet Duitse operator op, maar euro-lancering wacht op vergunning

Het NGI Taler-project meldt de oprichting van Taler Operations AG in Bochum. Die nieuwe Duitse onderneming moet een GNU-Taler-exchange voor euro’s bedrijven en wil bij toezichthouder BaFin een vergunning als electronic-money institution (EMI) aanvragen. Pas na die autorisatie kan de operatie starten; een lanceringsdatum ontbreekt.

Dat vervangt de eerdere route via GLS Bank. Die bank besloot in januari volgens Taler niet verder te gaan als uitgever van e-money, maar blijft wel als ondersteunend consortiumlid betrokken. Taler Operations AG moet daarnaast nog financiering ophalen; de aankondiging noemt voor investeerders een minimumbedrag van €50.000. De protocolsoftware en referentie-implementatie blijven volgens het project vrije software.

De ontwikkeling is interessant omdat er nu een specifieke, gereguleerde route voor een euro-uitrol is, eerst in Duitsland en daarna mogelijk in de eurozone. Het is nadrukkelijk geen bewijs dat Taler al als betaalmiddel beschikbaar is of dat de BaFin-vergunning volgt. In de HN-discussie gaat veel debat over wat privacy in zo’n gereguleerd betaalmodel precies betekent; dat verandert niets aan de nog open vergunning- en financieringsstappen. Aankondiging van Taler Operations AG · HN-discussie

Verder nog

• Share-links kleiner blootstellen met Caddy: een self-hostingpatroon houdt de volledige Immich- of Nextcloud-dienst achter VPN of IP-beperking en laat een publieke Caddy-proxy alleen strikt toegestane share-routes door. De proxy valideert de token eerst bij de backend en geeft voor de rest 404 terug. Dat beperkt de bereikbare applicatiecode, maar beschermt niet tegen fouten in de overblijvende routes; configuraties kunnen ook bij applicatie-updates breken en elke aanvraag kost een extra backend-check. Patroon en voorbeelden · Lobsters-discussie
• Waarom macOS’ gcc toch Clang start: een technische analyse volgt Apples /usr/bin/gcc via libxcselect en xcrun naar de Developer Tools-directory, waar een tweede wrapper uiteindelijk clang of clang++ uitvoert. Handig als een build op macOS zich anders gedraagt dan bij echte GCC: controleer met xcrun --find gcc welke toolchain je werkelijk aanroept en installeer of kies expliciet een GCC-toolchain als die compatibiliteit nodig is. De uitleg is reverse engineering van de auteur, geen nieuwe Apple-documentatie of compilerwijziging. Analyse · Lobsters-discussie