Abilitare il DNS over HTTPS (DoH)

Abilitare il DNS over HTTPS (DoH) è un piccolo accorgimento che può portare grandi benefici in termini di sicurezza. Vediamo cosa significa, perché andrebbe sempre preso in considerazione e come procedere all’attivazione. Esistono diversi modi per abilitare questa protezione durante la navigazione: in questo articolo spieghiamo come fare.

Cosa significa abilitare il DNS over HTTPS (DoH)

Abilitare il DNS over HTTPS significa attivare una misura che consente all’utente di navigare sul web con maggiore tranquillità. Tuttavia, facciamo ordine spiegando cosa siano il DNS (Domain Name System) e l’HTTPS. Quando digiti l’indirizzo di un sito nel browser (Chrome, Edge, Safari), il software di navigazione traduce il nome di dominio (ad esempio, flashstart.com) nell’indirizzo IP del server che ospita quel sito.

I computer, infatti, non comprendono le parole, ma interpretano sequenze numeriche. Subito dopo aver digitato il nome del sito e premuto Invio, il browser o il provider di accesso a Internet avvia una verifica: scansiona liste pubbliche su Internet dove a ogni nome di dominio corrisponde l’indirizzo IP del server ospitante (ad esempio 151.139.128.11). Questo processo è chiamato DNS lookup.

Il DNS lookup avviene effettuando numerosi “salti” da un server all’altro. Non appena giunge conferma da più parti che un sito corrisponde a un determinato IP, l’abbinamento viene autenticato, il browser attiva la connessione e la pagina richiesta viene visualizzata. L’intero processo avviene in frazioni di secondo, senza che l’utente si accorga dei numerosi passaggi intermedi.

Abilitare il DNS over HTTPS significa garantire che i passaggi tra la nostra richiesta e il server contenente il sito web desiderato siano sicuri, poiché il percorso di DNS lookup può essere disseminato di ostacoli.

Perché è preferibile navigare tramite HTTPS

Il DNS lookup tradizionale non è cifrato. Ciò significa che tutta l’attività svolta dal browser o dal provider Internet è visibile a chiunque sappia come intercettarla. Ogni passaggio verso il dominio desiderato avviene “in chiaro”.

Oggi è evidente che il protocollo HTTP non sia sicuro: non prevede la verifica del sito che si intende visitare, esponendo l’utente a contenuti offensivi, malware, Trojan o siti di phishing. Esiste inoltre un altro problema, chiamato DNS poisoning: un attacco cibernetico in cui i criminali modificano le tabelle DNS per sostituire l’indirizzo IP corretto con uno malevolo. Il processo di DNS lookup non è in grado di rilevare questa modifica: l’utente viene reindirizzato verso un sito diverso da quello richiesto, ma apparentemente identico, per sottrarre credenziali bancarie o dati personali.

In sintesi, è fondamentale crittografare il traffico web utilizzando il protocollo HTTPS, dove la “S” finale sta, ovviamente, per Security.

Come attivare il DNS over HTTPS (DoH)

Il protocollo DoH è stato introdotto per impedire agli attaccanti di monitorare le abitudini di navigazione o reindirizzare gli utenti verso siti malevoli spiando il traffico DNS. È possibile abilitare il DoH su qualsiasi computer, dispositivo o browser. A partire dal 2022, il supporto al DoH è presente in tutte le reti aziendali Windows con Active Directory; anche Apple ha introdotto il supporto e provider come Cloudflare offrono strumenti di DoH per tutti i sistemi operativi.

Inoltre, molti web browser (Google Chrome, Firefox, Safari, Microsoft Edge) supportano il DoH, permettendo di attivarlo direttamente a livello di browser senza intervenire sul sistema operativo. Tuttavia, attivare il DoH solo sul browser non protegge le applicazioni e i servizi di sistema che non supportano nativamente questo protocollo.

Perché abilitare il DoH non è sempre la scelta migliore

L’utilizzo del DoH a livello di sistema operativo, browser o ISP non è la scelta ideale per proteggere la navigazione, specialmente in contesti aziendali, nella Pubblica Amministrazione o negli istituti scolastici.

Abilitare il DNS over HTTPS, infatti, è un modo per aggirare le politiche di restrizione alla navigazione impostate centralmente. Il DoH crea un meccanismo che sovrascrive le impostazioni DNS definite da chi gestisce la rete aziendale, annullando di fatto le regole di filtraggio personalizzate applicate per proteggere gli endpoint.

In pratica, il DNS over HTTPS interferisce con i filtri DNS e le impostazioni predefinite imposte dall’azienda, rappresentando un serio problema di sicurezza.

Proteggere la navigazione con un filtro DNS professionale

In conclusione, è preferibile disabilitare il DNS over HTTPS e affidarsi a strumenti molto più affidabili, come i filtri DNS professionali. Questi ultimi garantiscono una protezione totale, anche quando un utente meno esperto tenta di connettersi a siti pericolosi.

Un filtro DNS professionale verifica la sicurezza del server di destinazione, senza lasciarsi ingannare dai trucchi utilizzati per mascherare i nomi di dominio o i contenuti delle pagine. Le blacklist utilizzate da un filtro professionale sono infinitamente più complete e aggiornate rispetto a qualsiasi strumento di controllo gratuito. Inoltre, configurare un servizio di filtraggio DNS permette di disabilitare centralmente qualsiasi DNS over HTTPS non autorizzato.

FlashStart fornisce soluzioni di filtraggio DNS disponibili per aziende, scuole, istituzioni e per la navigazione domestica. È un’alternativa potente, conveniente e capace di analizzare ogni richiesta di accesso con una qualità superiore a qualsiasi filtro gratuito. FlashStart utilizza algoritmi di machine learning per escludere a priori i percorsi pericolosi, velocizzando la verifica e utilizzando record DNS affidabili e sempre aggiornati.

Con la capacità di filtrare circa 2 miliardi di query al giorno, FlashStart DNS protegge la navigazione di 25 milioni di utenti ogni giorno in oltre 150 Paesi, con una rete di 700 partner certificati.

Ecco le caratteristiche principali del filtro DNS FlashStart:

• Aggiornamento frequente delle blacklist: FlashStart verifica 200.000 nuovi siti al giorno.
• Latenza minima garantita: velocità ottimale tra richiesta e accesso.
• 90 categorie di siti malevoli e Geoblocking per isolare i Paesi a rischio.
• Utilizzo dell’Intelligenza Artificiale per migliorare la qualità delle blacklist e la latenza.
• Facilità di configurazione e personalizzazione.
• Integrazione nativa con Microsoft Active Directory per facilitare il lavoro degli amministratori di sistema.
• Protezione LAN globale e roaming per endpoint tramite rete Anycast.

Puoi attivare la protezione FlashStart® Cloud su qualsiasi tipo di Router e Firewall per proteggere i dispositivi desktop e mobile e i dispositivi IoT sulle reti locali.