DNS over HTTPS e DNS over TLS a confronto
DNS over HTTPS (DoH) e DNS over TLS (DoT) cifrano gli scambi DNS tra un client e il resolver scelto. Entrambi proteggono questo tratto del percorso da ispezioni occasionali e modifiche sulla rete. Nessuno dei due rende le visite ai siti web del tutto invisibili o anonime.
Come viaggiano le richieste
DoH trasporta query e risposte DNS all'interno di scambi HTTPS; il protocollo è definito dalla RFC 8484. DoT trasporta i messaggi DNS all'interno di una connessione TLS dedicata, specificata dalla RFC 7858. Entrambi richiedono il supporto di client e resolver, oltre all'autenticazione del resolver. Un'impostazione chiamata “DNS sicuro” da sola non indica quale provider sia selezionato né se il dispositivo possa ripiegare sul DNS ordinario.
DoH è spesso integrato in un browser o in un'applicazione e può usare la normale infrastruttura HTTPS. DoT viene comunemente configurato dal sistema operativo o dalla rete e usa una connessione DNS distinta. Si tratta di schemi comuni, non di garanzie: il comportamento reale dipende dal dispositivo, dall'applicazione e dalle politiche di rete. Né un numero di porta né il nome di un protocollo dimostrano che un servizio sia affidabile.
Cosa resta visibile
L'operatore del resolver scelto riceve le query necessarie per rispondere. Il sito di destinazione vede una connessione, mentre altri soggetti sulla rete possono vedere gli indirizzi IP della connessione e altri metadati. Il DNS cifrato non cancella la cronologia del browser, i cookie, gli accessi agli account né le informazioni che invii a un sito. Per decisioni sulla privacy, esamina l'intero percorso della connessione e la politica sui dati del resolver.
Il DNSSEC ha uno scopo diverso. Può convalidare l'origine e l'integrità dei dati DNS firmati quando la catena di fiducia è configurata; non cifra le query tra client e resolver. Anche un resolver DoH o DoT può convalidare il DNSSEC. Considera questi meccanismi complementari, non intercambiabili. Come controllo aggiuntivo puoi usare lo strumento Verifica tempo di risposta DNS di 2IP.
Verifica la configurazione effettiva
Controlla se il browser usa la configurazione DNS di sistema o un proprio resolver cifrato. Confronta la risposta attesa con quella dello strumento Verifica configurazione dominio e con una query inviata tramite il resolver selezionato. Le differenze non indicano sempre una fuga: una CDN può adattare le risposte alla posizione del resolver e ad altre condizioni. Verifica anche cosa succede quando il resolver cifrato non è disponibile.
In una rete gestita, filtri, nomi interni e politiche di sicurezza possono richiedere un resolver specifico. Una modifica arbitraria del DNS può rendere inaccessibili le risorse interne. Prima di modificare le impostazioni, individua chi gestisce la rete, quali nomi devono essere risolti e se è consentito un percorso DNS alternativo.
Scegli consapevolmente
Quando scegli un provider, valuta disponibilità, gestione dei dati, convalida DNSSEC e comportamento in caso di guasto, non una singola promessa sulla privacy. Dopo una modifica, prova i normali siti web e i nomi interni necessari. Se il problema di fondo è un record autoritativo errato, cambiare il trasporto DNS non può correggerlo.