DNS crittografati: pro e contro

I DNS crittografati offrono il vantaggio di fornire maggiore privacy agli utenti di Internet e rendere più difficile l’esfiltrazione di dati e l’hijacking verso altri siti durante la risoluzione di una query DNS. Tuttavia, sorgono dubbi sulla sicurezza che forniscono effettivamente. In questo articolo, spiegheremo come gli strumenti offerti da FlashStart rendono l’uso dei DNS crittografati più sicuro.

Cos’è un DNS

Il DNS – Domain Name System – è quello che potremmo chiamare l’elenco telefonico di Internet. Ogni sito web, infatti, può essere ricondotto a una serie di numeri e punti, il cosiddetto indirizzo IP – Internet Protocol – che lo identifica univocamente. Inoltre, i dispositivi elettronici sono anche dotati di un indirizzo IP unico. In questo modo, la comunicazione può avvenire proprio come tra due numeri di telefono, uno che chiama e l’altro che risponde.

Protocollo DNS è il sistema che permette al nome del dominio o del sito cercato, che è facile da ricordare o da identificare in un elenco di risultati di ricerca, di essere tradotto nella sequenza di numeri e punti riconosciuta da Internet. Una volta completato, il che accade in un tempo così breve che l’utente medio non si accorge di cosa sta accadendo, il browser reindirizza l’utente al sito desiderato.
Più specificamente, con ogni nostra richiesta di caricamento di una pagina web, stiamo operando quattro server in un processo che può essere paragonato a quello di richiedere un libro dalla biblioteca.

DNS Recursor

È un resolver ricorsivo che riceve query (richieste di reindirizzamento a siti web) che di solito provengono da un browser web. Per ogni richiesta, memorizza nella cache le informazioni ricevute dagli altri server coinvolti nel processo. In questo modo, se un utente richiede più volte l’accesso allo stesso sito, il resolver ricorsivo può bypassare il processo dei quattro server e reindirizzare l’utente direttamente al sito desiderato. Ciò è possibile perché il DNS recursor è il server che tiene i fili del processo legato alla query, inviando richieste agli altri server mentre riceve le loro risposte.

Paragonando il processo di risoluzione DNS a quello di una richiesta in biblioteca, il DNS Recursor corrisponderebbe al bibliotecario a cui facciamo la nostra richiesta.

Nameserver radice

Il root nameserver è il primo passaggio nella risoluzione effettiva ed è responsabile del reindirizzamento della richiesta del resolver ricorsivo in base all’estensione del dominio cercato (.net, .org, .it, .com, ecc.). Ci sono 13 nameserver radice nel mondo. Sono controllati da un’organizzazione chiamata Internet Corporation for Assigned Names and Numbers (ICANN), che opera secondo il motto “Un mondo, un internet.” Ci sono diverse copie di questi tredici server in tutto il mondo, che, grazie alla rete Anycast su cui FlashStart si basa inoltre su di esso, rendendo possibile rispondere rapidamente alle richieste dell’utente.

In confronto con i servizi bibliotecari, il nameserver root corrisponde al catalogo della biblioteca in cui è elencata la posizione specifica di un particolare libro.

Server TLD nameserver

Questo è il server TLD–Top Level Domain – cioè, quello che corrisponde a quello che viene dopo l’ultimo punto nell’URL. Ad esempio, il nameserver TLD .com include tutti i siti web catalogati il cui URL termina in .com.

Questi server sono gestiti da IANA – Internet Assigned Numbers Authority – che è una filiale dell’ICANN sopra citata. IANA ha diviso i nameserver TLD in due categorie: quelli generici (come .com, .edu, .gov, .org, e .net) e quelli con codici internazionali, che includono tutti i domini tracciabili a paesi o stati specifici (.de, .es, .it, .uk, ecc.).

Nella nostra metafora della biblioteca, i nameserver TLD corrispondono allo scaffale specifico di libri all’interno della biblioteca.

Nameserver autorevole

Il nameserver autorevole è l’ultimo passo nel processo di risoluzione DNS per ottenere l’indirizzo IP ed è, quindi, paragonabile a un dizionario sullo scaffale, che è stato precedentemente identificato, e consente di convertire un nome in una definizione specifica.

Se il nameserver autorevole ha accesso alle informazioni richieste, restituisce l’indirizzo IP direttamente al risolutore ricorsivo.

DNS crittografati

Di solito, le query DNS e le loro risposte avvengono in testo semplice, cioè usando testo non formattato che non ha alcun tipo di crittografia. Ciò significa che, ad esempio, quando cerchiamo www.flashstart.com, i vari server cercano esattamente il dominio .com e poi da lì il nome flashstart. Nel caso di DNS crittografati, invece, la ricerca è di un codice crittografato, ad es. 4&s$(“71ha – quindi qualcosa di indecifrabile.

L’utilizzo di DNS crittografati è reso possibile dal DNS over HTTPS protocol – noto come DoH in breve – che consente agli utenti di completare la risoluzione del Domain Name System utilizzando il protocollo HTTPS. Rispetto al DNS tradizionale, questo protocollo sembra più sicuro e sembra essere una scelta migliore per proteggere la privacy dell’utente.

Come funziona? Invece di utilizzare la trasmissione in testo semplice, il browser inoltra la query e, quindi, il nome del sito cercato a un server HTTPS tramite una connessione crittografata. L’idea è che, con una connessione crittografata, gli estranei non dovrebbero essere in grado di interferire nella ricerca per scoprire quali siti si desidera raggiungere.

DNS crittografati: sono davvero più sicuri?

Ci sono molti Internet Service Provider chi esprime dubbi sulla maggiore sicurezza del protocollo DoH rispetto al protocollo DNS tradizionale. I dubbi riguardano, da un lato, le prestazioni dei DNS crittografati, che si sono dimostrati inferiori al DNS tradizionale, e, dall’altro lato, la vera privacy che questo protocollo può garantire.

Sul lato della sicurezza, d’altro canto, il protocollo DoH riduce la probabilità di attacchi intermedi che risultano in manipolazioni dei dati DNS – i cosiddetti attacchi “man-in-the-middle” che mirano a rubare le nostre informazioni senza che ce ne accorgiamo e, forse, a deviare le nostre richieste verso siti fittizi che contengono malware e contenuti pericolosi. Con il DNS crittografato, l’analisi del traffico DNS diventa teoricamente più difficile.

Tuttavia, data la sua trasmissione non crittografata, il servizio DoH consente agli utenti di aggirare facilmente i filtri di navigazione, rendendo la navigazione più vulnerabile. Questo accade quando tali filtri non forniscono protezione su DoH, mentre FlashStart, invece, lo fa.

Il protocollo DoH, quindi, richiede agli amministratori di rete di ripensare la sicurezza Internet delle reti gestite e rivedere le politiche di filtro nell’accesso Web per gli utenti. Per questi motivi, il protocollo DoH può essere un punto di allerta molto importante e strategico per la sicurezza dei dati, dell’infrastruttura e degli utenti stessi.

Inoltre, anche gli hacker si sono evoluti in questo senso, sviluppando attacchi che specificamente prendono di mira le query basate sul protocollo DoH, come l’attacco di fine luglio 2020 dal gruppo iraniano Oilrig, che ha utilizzato il protocollo DoH per gestire, efiltrare e spostare i dati.

Strumenti FlashStart: filtro Internet e CloudBOX

FlashStart offre completa sicurezza Internet attraverso i suoi due strumenti principali: il filtro DNS Internet e il CloudBOX.

Filtro Internet di FlashStart

Filtro Internet di FlashStart utilizza algoritmi di intelligenza artificiale per proteggere tutti gli utenti connessi alla rete, sia coloro che vi accedono tramite router aziendale o domestico sia coloro che sono connessi in remoto, la cui protezione è garantita dall’applicazione ClientShield.

La protezione FlashStart è completamente basata su cloud e, quindi, non richiede aggiornamenti da parte degli utenti. Lo strumento blocca automaticamente l’accesso ai contenuti malintenzionati, come malware, tentativi di phishing e spyware. L’amministratore di rete può quindi decidere se bloccare anche contenuti inappropriati – come pornografia, contenuti violenti e contenuti correlati alle droghe – e contenuti distraenti, che includono social network, piattaforme di streaming audio e video e siti di shopping online.

Maggiori informazioni sul filtro contenuti FlashStart sono disponibili facendo clic qui.
FlashStart CloudBOX
Al fine di garantire sicurezza e velocità, FlashStart offre anche un’applicazione esclusiva: il CloudBOX di FlashStart, una cache che funge da intermediaria tra gli utenti e il Cloud FlashStart ed è disponibile sia come hardware fisico che a livello virtuale.

Il CloudBOX memorizza sia le richieste DNS effettuate dagli utenti sia le risposte ottenute dal filtro Internet, quindi sia i permessi concessi che negati dal cloud. Questo consente di ottimizzare ulteriormente i tempi di risoluzione per le richieste ripetute, indipendentemente dalla latenza già molto bassa fornita dal filtro Internet di FlashStart la cui rete Anycast è tra le più veloci al mondo secondo www.dnsperf.com.

Inoltre, CloudBox di FlashStart consente di installare resolver DoH interni, evitando i problemi di sicurezza associati ai DNS crittografati e garantendo una navigazione sicura.

È possibile attivare la protezione cloud FlashStart® su qualsiasi tipo di Router e Firewall per proteggere i dispositivi desktop e mobile e i dispositivi IoT sulle reti locali.