DNS over HTTPS (DoH) è un protocollo che migliora la sicurezza e la privacy delle richieste DNS (Domain Name System) crittografandole utilizzando HTTPS (Hypertext Transfer Protocol Secure). Questo protocollo consente ai client di risolvere in modo sicuro i nomi di dominio in indirizzi IP, garantendo che terze parti non possano facilmente intercettare o manomettere le query e le risposte DNS. DNS su HTTPS rappresenta un importante progresso nella sicurezza Internet e ha guadagnato popolarità grazie alla sua capacità di proteggere gli utenti da varie minacce, come il dirottamento DNS e le intercettazioni.
La storia dell'origine del DNS su HTTPS (DoH) e la prima menzione di esso
Il concetto di crittografare il traffico DNS esiste da un po’ di tempo, ma il DNS su HTTPS ha guadagnato notevole attenzione quando è stato proposto per la prima volta da Patrick McManus di Mozilla nell’ottobre 2017. La bozza iniziale del protocollo DoH è stata pubblicata nell’Internet Engineering Task Force ( IETF) di Patrick McManus e altri collaboratori. Da allora, il protocollo è stato sottoposto a numerose iterazioni e perfezionamenti, che hanno portato alla sua ampia accettazione e adozione.
Informazioni dettagliate su DNS su HTTPS (DoH)
DNS su HTTPS fornisce un modo sicuro e privato per risolvere i nomi di dominio sfruttando le funzionalità di crittografia di HTTPS. Le query DNS tradizionali vengono generalmente inviate in formato testo semplice, rendendole vulnerabili all'intercettazione e alla manipolazione. Con DoH, le query DNS vengono crittografate e trasmesse su canali sicuri, offrendo numerosi vantaggi:
-
Privacy: DNS su HTTPS nasconde il contenuto delle richieste DNS, impedendo agli ISP, agli amministratori di rete o ad attori malintenzionati di monitorare le attività Internet degli utenti in base al loro traffico DNS.
-
Sicurezza: La crittografia del traffico DNS protegge gli utenti dagli attacchi basati su DNS, come lo spoofing DNS e gli attacchi man-in-the-middle, garantendo che gli utenti ricevano risposte legittime da server DNS autorevoli.
-
Eludere la censura: DNS su HTTPS può aiutare a bypassare il filtro DNS e la censura imposti da alcuni governi o ISP, consentendo agli utenti di accedere a siti Web e servizi bloccati.
-
Prestazione migliorata: Utilizzando HTTPS, DNS su HTTPS sfrutta l'infrastruttura esistente e trae vantaggio dalle ottimizzazioni apportate per le comunicazioni Web sicure, con conseguenti tempi di risoluzione DNS potenzialmente più rapidi.
La struttura interna del DNS su HTTPS (DoH) – Come funziona
DNS su HTTPS funziona racchiudendo le query e le risposte DNS in pacchetti HTTPS, che vengono quindi inviati e ricevuti da server DoH specializzati. Ecco una spiegazione passo passo di come funziona il DNS su HTTPS:
-
Richiesta del cliente: Quando il dispositivo di un utente avvia una richiesta di risoluzione DNS, il client DNS sul dispositivo invia la query a un risolutore DNS compatibile con DoH, che in genere è gestito da un fornitore di servizi DoH.
-
Crittografia delle query DNS: Il client DNS crittografa la query DNS utilizzando HTTPS, trasformandola di fatto in una richiesta HTTPS GET o POST.
-
Trasporto HTTP(S): La query DNS crittografata viene quindi inviata tramite la porta HTTPS standard (443) al server DoH.
-
Elaborazione del server DoH: Il server DoH riceve la query DNS crittografata, la decrittografa e la inoltra al risolutore DNS appropriato per recuperare l'indirizzo IP associato al nome di dominio richiesto.
-
Risoluzione DNS: Il risolutore DNS elabora la query, recupera l'indirizzo IP e invia la risposta al server DoH.
-
Crittografia della risposta DNS: Il server DoH crittografa la risposta DNS utilizzando HTTPS.
-
Risposta al cliente: La risposta DNS crittografata viene inviata al client tramite la connessione HTTPS.
-
Decrittografia del client: Il client decodifica la risposta DNS, ottiene l'indirizzo IP e lo utilizza per connettersi al server web desiderato.
Questo processo garantisce che tutte le comunicazioni DNS tra il client e il server DoH rimangano crittografate e sicure, proteggendo la privacy dell'utente e l'integrità dei dati.
Analisi delle caratteristiche chiave del DNS over HTTPS (DoH)
DNS su HTTPS offre diverse funzionalità chiave che lo distinguono dal DNS tradizionale e da altri metodi di crittografia DNS:
-
Crittografia end-to-end: DNS su HTTPS crittografa le query DNS dal client al server DoH e anche le risposte vengono crittografate dal server DoH al client. Questa crittografia end-to-end garantisce che solo il client e il server DoH possano comprendere le query e le risposte DNS.
-
Portabilità: DNS su HTTPS può essere utilizzato da qualsiasi dispositivo che supporti HTTPS, rendendolo compatibile con un'ampia gamma di piattaforme e sistemi operativi.
-
Sicurezza contro le intercettazioni: Sfruttando HTTPS, DoH protegge da intercettazioni e manomissioni delle richieste DNS, salvaguardando gli utenti da vari attacchi basati su DNS.
-
Miglioramento della privacy: DNS su HTTPS nasconde le query DNS degli utenti, impedendo agli ISP e ad altre entità di monitorare e raccogliere dati sulle loro attività su Internet.
-
Facilità di implementazione: Poiché DoH utilizza l’infrastruttura HTTPS esistente, l’implementazione del DNS su HTTPS è relativamente semplice per i browser Web e le applicazioni che già supportano HTTPS.
Tipi di DNS su HTTPS (DoH)
Esistono principalmente due tipi di distribuzioni DNS su HTTPS:
-
Resolver DoH pubblici: Si tratta di server DoH gestiti da varie organizzazioni e fornitori di servizi che offrono la risoluzione DoH al pubblico. Gli utenti possono configurare i propri dispositivi o applicazioni per utilizzare direttamente questi risolutori DoH pubblici.
-
Resolver DoH privati: In questo caso, i risolutori DoH privati vengono impostati all’interno dell’infrastruttura di rete di organizzazioni specifiche, fornendo una risoluzione DNS sicura ai propri utenti senza fare affidamento sui risolutori DoH pubblici. I risolutori DoH privati possono migliorare la sicurezza e la privacy della risoluzione DNS interna all'interno di un'organizzazione.
Utilizzo del DNS su HTTPS (DoH)
Esistono diversi modi in cui gli utenti possono utilizzare DNS su HTTPS:
-
Browser Web: Molti browser Web moderni, come Mozilla Firefox e Google Chrome, dispongono del supporto integrato per DNS su HTTPS. Gli utenti possono abilitare questa funzione nelle impostazioni del proprio browser per beneficiare di maggiore sicurezza e privacy.
-
Configurazione del sistema operativo: Alcuni sistemi operativi consentono agli utenti di abilitare il DNS su HTTPS a livello di sistema, garantendo che tutte le query DNS provenienti da varie applicazioni siano crittografate.
-
Applicazioni di terze parti: Gli utenti possono anche utilizzare client DNS su HTTPS di terze parti o app che forniscono la risoluzione DNS su HTTPS indipendentemente dal sistema operativo o dal browser web.
Problemi e soluzioni
Sebbene DNS su HTTPS offra numerosi vantaggi, esistono alcune sfide associate alla sua implementazione:
-
Incompatibilità: Non tutti i risolutori DNS o i server DNS supportano DoH, con conseguenti potenziali problemi di incompatibilità. Tuttavia, l’adozione diffusa di DoH sta incoraggiando gli operatori di risoluzione DNS ad aggiungere il supporto per questo protocollo.
-
Problemi di sicurezza: Sebbene il DNS su HTTPS risolva molti problemi di sicurezza, potrebbe introdurre nuovi rischi se non implementato correttamente. Gli utenti devono fidarsi del risolutore DoH che stanno utilizzando, poiché diventa il nuovo intermediario per le query DNS. Impiegare fornitori di servizi DoH rispettabili e affidabili è essenziale per mitigare i potenziali rischi.
-
Filtraggio DNS e controllo genitori: Il DNS su HTTPS può aggirare il filtraggio DNS e i meccanismi di controllo parentale, sollevando potenzialmente preoccupazioni sul controllo dei contenuti e sull'accesso a siti Web inappropriati o dannosi.
-
Gestione della rete locale: Il DNS su HTTPS può rappresentare una sfida per gli amministratori di rete che si affidano al DNS per gestire le reti locali. L’implementazione della DoH su larga scala richiede un’attenta pianificazione e considerazione dei requisiti di gestione della rete locale.
Per affrontare queste sfide, le organizzazioni e gli individui dovrebbero valutare attentamente le proprie implementazioni DNS su HTTPS, selezionare fornitori di servizi DoH affidabili e implementare misure di sicurezza adeguate.
Caratteristiche principali e altri confronti con termini simili
Ecco un confronto tra DNS su HTTPS (DoH) e meccanismi di sicurezza DNS simili:
| Meccanismo | Caratteristiche | Confronto con DoH |
|---|---|---|
| DNS su TLS (DoT) | Crittografa il traffico DNS utilizzando TLS (Transport Layer Security) | Sia DoT che DoH forniscono la crittografia per il traffico DNS, ma DoH utilizza HTTPS, che sfrutta l'infrastruttura web esistente e potrebbe essere supportato in modo più ampio. |
| DNSCrypt | Protegge le query DNS utilizzando protocolli crittografici | DNSCrypt è un altro metodo di crittografia DNS, ma DoH ha guadagnato più popolarità grazie all'uso di HTTPS, rendendolo compatibile con browser Web e sistemi che già supportano HTTPS. |
| VPN (rete privata virtuale) | Instrada tutto il traffico Internet attraverso una rete privata sicura | Sebbene le VPN possano migliorare la sicurezza online complessiva, non sono progettate specificamente per proteggere le richieste DNS. DoH fornisce crittografia mirata per la risoluzione DNS senza instradare tutto il traffico attraverso una rete separata. |
| DNSSEC (estensioni di sicurezza DNS) | Aggiunge firme digitali ai dati DNS | DNSSEC si concentra principalmente sulla garanzia dell'autenticità e dell'integrità dei dati DNS ma non crittografa le query DNS. DNSSEC e DoH possono completarsi a vicenda, fornendo un approccio completo alla sicurezza DNS. |
È probabile che il DNS su HTTPS rimanga un progresso significativo nella sicurezza delle comunicazioni DNS e nella salvaguardia della privacy degli utenti su Internet. Poiché la sua adozione continua a crescere, possiamo aspettarci i seguenti sviluppi e tecnologie relativi al DNS su HTTPS:
-
Maggiore supporto: Si prevede che altri risolutori DNS e server DNS aggiungano il supporto per DoH, rendendolo una funzionalità standard per la risoluzione DNS sicura.
-
SNI crittografato (indicazione del nome del server): L'SNI crittografato è una tecnologia complementare che nasconde il nome host del sito Web a cui l'utente sta tentando di accedere. Può essere utilizzato insieme a DoH per migliorare ulteriormente la privacy.
-
DNS su HTTPS nei dispositivi IoT: Poiché l’Internet delle cose (IoT) continua ad espandersi, l’implementazione del DNS su HTTPS nei dispositivi IoT può migliorare la sicurezza e prevenire potenziali attacchi che sfruttano le vulnerabilità DNS.
-
Standardizzazione e regolamentazione: Con la crescente adozione della DoH, potrebbero essere introdotti sforzi di standardizzazione e normative sulla sua implementazione per garantire un utilizzo coerente e sicuro.
Come i server proxy possono essere utilizzati o associati al DNS su HTTPS (DoH)
I server proxy possono svolgere un ruolo cruciale nel migliorare le distribuzioni DNS su HTTPS nei seguenti modi:
-
Caching e accelerazione: I server proxy possono memorizzare nella cache le risposte DNS ottenute tramite DoH. Questa memorizzazione nella cache può accelerare le successive risoluzioni DNS, riducendo la latenza complessiva e migliorando l'esperienza dell'utente.
-
Bilancio del carico: I server proxy possono distribuire query DNS su HTTPS tra più server DoH, garantendo un utilizzo efficiente e bilanciando il carico sull'infrastruttura DoH.
-
Filtraggio e registrazione: I server proxy possono essere configurati per filtrare richieste DNS specifiche o registrare il traffico DNS, fornendo agli amministratori informazioni preziose sull'utilizzo del DNS all'interno della rete.
-
Privacy e anonimato: Utilizzando un server proxy tra il client e il risolutore DoH, gli utenti possono migliorare ulteriormente la loro privacy e il loro anonimato nascondendo i loro veri indirizzi IP al risolutore DoH.
-
Geolocalizzazione e accesso ai contenuti: I server proxy possono anche fornire agli utenti l'accesso a contenuti con restrizioni geografiche instradando richieste DNS su HTTPS attraverso server situati in diverse regioni.
L'integrazione di server proxy in una configurazione DNS su HTTPS può ottimizzare le prestazioni, aumentare la sicurezza e fornire ulteriori opzioni di controllo e personalizzazione.
Link correlati
Per ulteriori informazioni su DNS su HTTPS (DoH), è possibile fare riferimento alle seguenti risorse:
- Bozza della Internet Engineering Task Force (IETF) su DNS su HTTPS: https://datatracker.ietf.org/doc/draft-ietf-doh-dns-over-https/
- Mozilla Developer Network (MDN) – Introduzione al DNS su HTTPS (DoH): https://developer.mozilla.org/en-US/docs/Web/HTTP/Overview_of_DNS_over_HTTPS
- Sviluppatori Google – Spiegazione del DNS su HTTPS (DoH): https://developers.google.com/speed/public-dns/docs/doh
In conclusione, DNS su HTTPS (DoH) rappresenta un progresso fondamentale nella protezione delle comunicazioni DNS e nella preservazione della privacy degli utenti su Internet. Crittografando le query DNS utilizzando HTTPS, DoH garantisce che le richieste DNS degli utenti rimangano riservate e protette da varie minacce. Poiché DoH continua ad evolversi e ad ottenere un ampio supporto, ha il potenziale per diventare una funzionalità standard nel futuro della sicurezza Internet. L'integrazione di server proxy con DNS su HTTPS può ottimizzare ulteriormente le prestazioni e fornire un maggiore controllo sulla risoluzione DNS sia per le organizzazioni che per i singoli utenti.
