DNS su TLS e DNS su HTTPS | DNS sicuro

Perché il DNS ha bisogno di ulteriori livelli di sicurezza?

DNS è la rubrica di Internet; i resolver DNS traducono i nomi di dominio leggibili dall'uomo in indirizzi IP leggibili dalla macchina. Per impostazione predefinita, le query e le risposte DNS vengono inviate in chiaro (tramite UDP), il che significa che possono essere lette da reti, provider di servizi Internet o chiunque sia in grado di monitorare le trasmissioni. Anche se un sito Web utilizza HTTPS, la query DNS richiesta per navigare verso quel sito Web viene esposta.

Questa mancanza di privacy ha un enorme impatto sulla sicurezza e, in alcuni casi, sui diritti umani; se le query DNS non sono private, diventa più facile per i governi censurare Internet e per gli autori di attacchi perseguitare il comportamento online degli utenti.

Si pensi a una normale query DNS non crittografata come a una cartolina spedita per posta: chiunque maneggi la posta potrebbe vedere il testo scritto sul retro, quindi non è saggio spedire una cartolina contenente informazioni sensibili o private.

DNS over TLS e DNS over HTTPS sono due standard sviluppati per crittografare il traffico DNS in chiaro al fine di impedire a soggetti malintenzionati, inserzionisti, provider di servizi Internet e altri di essere in grado di interpretare i dati. Proseguendo con l'analogia, questi standard mirano a mettere una busta attorno a tutte le cartoline che vengono spedite, in modo che chiunque possa spedirne una senza preoccuparsi che qualcuno possa spiare le sue azioni.

Cos'è DNS over TLS?

DNS over TLS, o DoT, è uno standard per la crittografia delle query DNS per mantenerle sicure e private. DoT utilizza lo stesso protocollo di sicurezza, TLS, utilizzato dai siti Web HTTPS per crittografare e autenticare le comunicazioni. TLS è anche noto come "SSL". DoT aggiunge la crittografia TLS al protocollo UDP (User Datagram Protocol), utilizzato per le query DNS. Inoltre, garantisce che le richieste e le risposte DNS non vengano manomesse o contraffatte tramite attacchi on-path.

Cos'è DNS over HTTPS?

DNS over HTTPS, o DoH, è un'alternativa a DoT. Con DoH, le query e le risposte DNS vengono crittografate, ma vengono inviate tramite i protocolli HTTP o HTTP/2 anziché direttamente su UDP. Come DoT, DoH garantisce che gli autori di attacchi non possano falsificare o alterare il traffico DNS. Il traffico DoH assomiglia ad altro traffico HTTPS, ad esempio normali interazioni guidate dall'utente con siti Web e app Web, dal punto di vista di un amministratore di rete.

A febbraio 2020, il browser Mozilla Firefox ha iniziato ad abilitare DoH per impostazione predefinita per gli utenti statunitensi. Le query DNS del browser Firefox vengono crittografate tramite DoH e indirizzate a Cloudflare o NextDNS. Anche molti altri browser supportano DoH, sebbene non sia attivato per impostazione predefinita.

Aspetta, anche HTTPS non usa TLS per la crittografia? In cosa differiscono DNS over TLS e DNS over HTTPS?

Ogni standard è stato sviluppato separatamente e ha la propria documentazione RFC*, ma la differenza più importante tra DoT e DoH è la porta che utilizzano. DoT utilizza solo la porta 853, mentre DoH utilizza la porta 443, che è la porta utilizzata anche da tutto il resto del traffico HTTPS.

Poiché DoT ha una porta dedicata, chiunque abbia visibilità di rete può vedere il traffico DoT in entrata e in uscita, anche se le richieste e le risposte stesse sono crittografate. Al contrario, con DoH, le query e le risposte DNS sono mimetizzate all'interno di altro traffico HTTPS, poiché tutto va e viene dalla stessa porta.

*RFC sta per "Request for Comments" e una RFC è un tentativo collettivo da parte di sviluppatori, esperti di rete e leader di pensiero di standardizzare una tecnologia o un protocollo Internet.

Cos'è una porta?

Nella rete, una porta è un luogo virtuale su una macchina aperta alle connessioni di altre macchine. Ogni computer in rete ha un numero standard di porte e ogni porta è riservata a determinati tipi di comunicazione.

Pensate ai porti per le navi in un porto: ogni porto di spedizione è numerato e diversi tipi di navi devono raggiungere porti di spedizione specifici per scaricare merci o passeggeri. La stessa cosa vale per le reti: certi tipi di comunicazioni devono passare attraverso certe porte di rete. La differenza è che le porte di rete sono virtuali; sono luoghi per connessioni digitali piuttosto che connessioni fisiche.

Cosa è meglio, DoT o DoH?

Questo è oggetto di dibattito. Dal punto di vista della sicurezza della rete, DoT è senza dubbio migliore poiché offre agli amministratori di rete la possibilità di monitorare e bloccare le query DNS, un fattore importante per identificare e bloccare il traffico dannoso. Le query DoH, invece, sono nascoste nel normale traffico HTTPS, il che significa che non possono essere bloccate facilmente senza bloccare anche tutto il resto del traffico HTTPS.

Tuttavia, dal punto di vista della privacy, si può sostenere che il DoH sia preferibile. Con DoH, le query DNS sono nascoste all'interno del flusso più ampio di traffico HTTPS. Ciò offre agli amministratori di rete meno visibilità ma offre agli utenti maggiore privacy.

1.1.1.1, il resolver DNS gratuito di Cloudflare, supporta sia DoT che DoH.

Qual è la differenza tra DNS over TLS/HTTPS e DNSSEC?

DNSSEC è un insieme di estensioni di sicurezza per la verifica dell'identità dei server root DNS e dei nameserver autoritativi nelle comunicazioni con i resolver DNS. Tra gli altri attacchi, è progettato per prevenire il DNS cache poisoning e non crittografa le comunicazioni. Il DNS over TLS o HTTPS, d'altro canto, crittografa le query DNS. Anche 1.1.1.1 supporta DNSSEC.

Per ulteriori informazioni su 1.1.1.1, consulta la sezione Cos'è 1.1.1.1?