Quad9 verlaat Frankrijk na uitspraak over blokkades

De DNS-resolver Quad9 stopt zijn dienst voor gebruikers in Frankrijk. Dat maakte de Zwitserse stichting bekend in een blogbericht met de titel Farewell, France. Vanaf 24 november is 9.9.9.9 daar niet meer te gebruiken.

Wat de rechter eiste

De Franse rechter deed volgens Quad9 uitspraak in een zaak van beIN, een Qatarees bedrijf met vestigingen in Frankrijk dat uitzendrechten op sportwedstrijden bezit. beIN wil dat Quad9 de DNS-resolutie blokkeert voor een reeks domeinnamen die volgens het bedrijf zijn rechten schenden. Quad9 heeft met die domeinen of hun beheerders niets te maken.

De dwangsom viel een stuk lager uit dan geeist: de rechter bracht die terug van 580.000 euro naar 1.000 euro per dag. Voor Quad9 is dat niet het punt. De stichting beschouwt recursieve DNS als een neutrale, passieve dienst: "Wij weigeren categorisch om de DNS-antwoorden die u ontvangt te wijzigen of erover te liegen op een manier die ingaat tegen uw verwachtingen." (Hoe een resolver kan nagaan of een antwoord onderweg is aangepast, staat in dit artikel over DNSSEC.)

Waarom Quad9 niet gewoon Frankrijk filtert

Twee uitwegen die technisch klinken, zijn dat volgens Quad9 niet.

Wereldwijd blokkeren kan in principe wel. De namen zouden in de blokkadelijst passen die Quad9 gebruikt voor malware- en phishingbescherming op 9.9.9.9; de variant zonder die bescherming, 9.9.9.10, blijft ongefilterd. Maar dan geldt een Franse uitspraak voor elke internetgebruiker ter wereld. Dat weigert de stichting, met het argument dat ook Frankrijk niet zou willen dat andere landen hun wetten zo exporteren.

Blokkeren op geoIP werkte eerder juist tegen Quad9. In de Duitse zaak die Sony Music aanspande, gebruikte de tegenpartij een VPN om de geblokkeerde inhoud alsnog vanuit Duitsland te bereiken. De rechter oordeelde daarop dat Quad9 zich niet aan de uitspraak hield en legde een boete wegens niet-naleving op. Quad9 won die zaak uiteindelijk, maar het kostte jaren en zes cijfers aan kosten.

Fundamenteler is dat Quad9 niet weet wie zijn gebruikers zijn. De dienst is gratis, zonder account en zonder identificatie, en de stichting registreert volgens haar privacybeleid alleen de autonome systeemnummers van netwerken, geen IP-adressen of individuele gebruikers. Er is dus geen lijst van Franse gebruikers om een uitspraak op toe te passen.

Wie dit raakt

Per 24 november verliezen Franse gebruikers de dienst, inclusief de filtering op malware en phishing. Quad9 publiceerde een deellijst van Franse netwerken die de resolver gebruiken. Daarop staan onder meer DINUM, de digitale directie van de Franse premier, de arbeidsbemiddelaar France Travail, onderzoeksinstelling CEA in Paris-Saclay, het Institut Pasteur en het onderzoeks- en onderwijsnetwerk RENATER. De stichting hoopt dat dertig dagen genoeg is om over te stappen.

Nederlandse gebruikers van 9.9.9.9 houden hun dienst. Het precedent reikt wel verder: Quad9 schrijft dat er ongeveer twintig vergelijkbare rechtszaken lopen tegen de stichting en andere operators van resolvers in Frankrijk, en verwacht dat een deel daarvan dezelfde kant op gaat. In de zaak van beIN loopt nog een hoger beroep.