Il DNS traduce i nomi di dominio facilmente leggibili dalle persone in indirizzi IP comprensibili per i computer. Il DNS privato crittografa le query DNS inviate dal tuo dispositivo a un server DNS. Se utilizzato con un servizio DNS di terze parti che rispetta la tua privacy, il DNS privato può migliorare la tua privacy online. Tuttavia, il DNS privato non è necessario quando si usa una VPN e può persino rendere meno sicura la tua connessione VPN.
In questo articolo vedremo cos’è il DNS privato, come può aiutarti a proteggere la tua privacy e come attivarlo sul tuo dispositivo, ma anche perché non dovresti usarlo con una VPN.
- Cos’è il DNS?
- Perché il DNS rappresenta un problema per la privacy
- Cos’è la modalità DNS privato?
- Protocolli DNS privato
- Il DNS privato non è privato quanto una VPN
- Non usare insieme il DNS privato e una VPN
- Come usare il DNS privato
Cos’è il DNS?
Il Domain Name System (DNS) associa nomi di dominio facilmente leggibili dalle persone ai corrispettivi indirizzi IP numerici comprensibili per i computer.
Ad esempio, il sito web di Proton VPN utilizza il nome di dominio protonvpn.com, che corrisponde all’indirizzo IP 185.159.159.140. Quando digiti www.protonvpn.com nella barra degli URL del tuo browser, il nome di dominio deve essere convertito nel corrispettivo indirizzo IP affinché i computer possano comprenderlo.
Questo processo di conversione viene solitamente eseguito da speciali server DNS gestiti dal tuo fornitore di servizi internet (ISP).
Perché il DNS rappresenta un problema di privacy e censura
Chiunque risolva le tue query DNS può vedere quali siti web visiti (ma non cosa fai su di essi). A meno che tu non usi una VPN o non modifichi attivamente le tue impostazioni DNS, sarà il tuo ISP a risolvere le tue query DNS.
È importante capire che, per impostazione predefinita, il tuo ISP può monitorare ciò che fai online, anche quando non risolve le tue query DNS. Tuttavia, questo è il modo più semplice (e quindi più economico) per registrare la tua cronologia di navigazione.
La maggior parte degli ISP che registra la cronologia di navigazione dei propri clienti (ovvero la maggior parte degli ISP), sceglie quindi la strada più semplice, limitandosi a registrare i record DNS dei clienti. Nella maggior parte delle giurisdizioni, questo livello minimo di registrazione consente agli ISP di adempiere a qualsiasi obbligo legale di registrazione della cronologia di navigazione degli utenti.
Allo mesmo modo, quando i governi desiderano censurare i contenuti di internet per motivi sociali, religiosi, politici o “morali”, chiedono agli ISP nazionali di applicare questi blocchi. E il modo più semplice per farlo è bloccare le query DNS verso determinati siti web e app. L’utilizzo di un risolutore DNS internazionale di terze parti può aggirare questi blocchi di censura semplici (ma efficaci)
Graffiti a Istanbul, che incoraggiano le persone a utilizzare i server DNS di Google per aggirare il giro di vite della censura governativa del 2014(nuova finestra)
Cos’è la modalità DNS privato?
A differenza della maggior parte delle connessioni ai siti web, che sono protette da HTTPS(nuova finestra), le query DNS vengono solitamente inviate in testo in chiaro non crittografato. Ciò significa che chiunque abbia accesso alle query DNS (come il tuo ISP) può leggerle, anche se vengono risolte da terze parti.
Se un ISP dovesse compiere uno sforzo extra per spiare i propri clienti (como potrebbe essere richiesto da un governo più restrittivo), potrebbe semplicemente monitorare e registrare nei log le query DNS destinate ai risolutori di terze parti. Utilizzando una tecnologia più sofisticata, potrebbe anche implementare la censura filtrando queste query.
Il DNS privato impedisce questo crittografando le tue query DNS mentre viaggiano tra il tuo dispositivo e un server DNS di terze parti. In questo modo si garantisce che il tuo ISP (o chiunque altro monitori la tua connessione internet) non possa vedere le tue query DNS.
Il DNS privato rappresenta quindi un miglioramento significativo della privacy e della sicurezza del DNS rispetto alle tradizionali query DNS non crittografate. Tuttavia, presenta anche diverse limitazioni di cui parleremo più avanti.
Protocolli DNS privato
Il DNS privato viene implementato utilizzando uno dei tre protocolli di sicurezza: DNS-over-TLS (DoT), DNS-over-HTTPS (DoH) e DNSCrypt.
DNS-over-TLS
Il DoT crittografa le query DNS utilizzando il protocollo Transport Layer Security(nuova finestra) (TLS), garantendo che i dati non possano essere facilmente intercettati o alterati. Il DoT viene eseguito sulla porta 853, rendendo più facile per le reti bloccare o monitorare specificamente il traffico DoT, poiché non si confonde con altri tipi di traffico.
Ciò rende il DoT la scelta preferita sulle reti che desiderano avere un certo controllo sul traffico che le attraversa. Inoltre, il DoT è meno complesso da implementare a livello di server rispetto al DoH.
DNS-over-HTTPS
Il DoH utilizza HTTPS, il protocollo che protegge tutte le informazioni sensibili su internet, per crittografare le query DNS. Come il DoT, il DoH utilizza TLS per crittografare le query DNS, ma le connessioni DoH vengono eseguite sulla porta 443 in modo da essere mescolate con il normale traffico web HTTPS. Ciò rende difficile per gli osservatori distinguere il traffico DNS da altri tipi di traffico web, rendendo il DoH più privato e resistente alla censura rispetto al DoT.
Scopri di più su HTTPS(nuova finestra)
DNSCrypt
Il più vecchio protocollo DNS privato, DNSCrypt, è molto simile al DoH, ma con alcune funzionalità aggiuntive che lo migliorano. Tuttavia, DNSCrypt non è ampiamente supportato dai sistemi operativi e dai browser, e richiede quindi l’esecuzione di un software di terze parti(nuova finestra).
Quindi, qual è il migliore? Tutti questi protocolli DNS privati offrono enormi miglioramenti in termini di privacy e sicurezza rispetto al non utilizzo del DNS privato, con un impatto trascurabile sulle velocità di navigazione. Esistono motivi legittimi per cui alcune reti preferiscono il DoT, ma per la maggior parte degli utenti finali, la maggiore privacy offerta dal DoH lo rende l’opzione migliore tra le due.
Per molti aspetti, e pur essendo l’opzione più datata, DNSCrypt è ancora l’opzione migliore in termini di privacy. Tuttavia, la mancanza di supporto nell’ecosistema DNS ne limita l’attrattiva. Per il resto di questo articolo, ci concentreremo su DoT e DoH, poiché questi protocolli non richiedono il download di software aggiuntivo.
Il DNS privato non è privato quanto una VPN
Il DNS privato offre alcuni vantaggi in termini di privacy, ma questi funzionano solo quando gli ISP (spesso su ordine dei governi) scelgono la strada più facile e non si impegnano a fondo per censurare i contenuti o spiarti. Sebbene richieda uno sforzo extra, un ISP può tracciare le tue connessioni per determinare la tua cronologia di navigazione e può bloccare direttamente il traffico verso indirizzi IP specifici.
Per evitare che un ISP sia in grado di vedere cosa fai online (e quindi potenzialmente censurarlo), dovresti usare una VPN. Questa crittografa la connessione tra il tuo dispositivo e il server VPN, in modo che il tuo ISP non possa vedere il contenuto dei tuoi dati. Le query DNS vengono instradate attraverso la connessione crittografata (nota anche come tunnel VPN) per essere risolte dal tuo provider VPN, in modo che il tuo ISP non possa sapere quali siti web o altre risorse visiti su internet.
Allo stesso modo, i siti web che visiti non possono vedere il tuo vero indirizzo IP. Tutto ciò che possono vedere è l’indirizzo IP del server VPN.
Una VPN offre quindi molta più privacy rispetto a un servizio DNS privato.
Non usare insieme il DNS privato e una VPN
Tutti i buoni provider VPN gestiscono i propri server DNS. Quando si utilizza una VPN, le richieste DNS vengono instradate attraverso il tunnel VPN e risolte dal servizio VPN. Poiché il tunnel VPN è crittografato, le richieste DNS vengono crittografate senza la necessità di un protocollo DNS privato.
Inoltre, configurare un servizio DNS di terze parti sul tuo sistema aumenta la probabilità che le richieste DNS vengano instradate al di fuori del tunnel VPN. Il DNS privato aumenta le possibilità che ciò accada, perché la crittografia delle query DNS rende più difficile per le misure di protezione DNS utilizzate dal software VPN garantire che vengano instradate correttamente attraverso il tunnel VPN.
Quindi, non solo il DNS privato non è necessario quando si usa una VPN, ma può anche causare una perdita DNS.
Come usare il DNS privato
Per usare il DNS privato, devi innanzitutto selezionare un risolutore DNS che supporti DoT o DoH (è anche possibile ospitare autonomamente un server DNS, ma questo richiede notevoli competenze tecniche). Tra i servizi DNS popolari che supportano il DNS privato e che prestano almeno un minimo di attenzione alla privacy figurano:
- Cloudflare 1.1.1.1 — Questo grande servizio DNS commerciale raccoglie solo “i dati anonimizzati delle query DNS inviati al risolutore Cloudflare”. Cloudflare supporta DoT e DoH.
- Quad9 — Un servizio DNS senza scopo di lucro che non raccoglie informazioni personali identificabili sui propri utenti. Inoltre, gli indirizzi IP degli utenti non vengono archiviati quando si effettua una query. Quad9 supporta DoH.
- OpenNIC — Presentandosi come un provider DNS decentralizzato, aperto, non censurato e democratico, OpenNIC è una raccolta di server DNS gestiti da volontari situati in tutto il mondo. A differenza della maggior parte dei servizi DNS, in cui un singolo indirizzo DNS (come 1.1.1.1) ti connette alla rete di server DNS, con OpenNIC selezioni un singolo server DNS a cui connetterti. Le policy di log e l’eventuale supporto al DNS privato (spesso sotto forma del vecchio protocollo DNSCrypt) dipendono interamente da chi gestisce il server DNS che scegli.
Una volta scelto un provider DNS, hai due opzioni. Puoi configurare il tuo sistema operativo (OS) per instradare tutte le query DNS verso il provider scelto, oppure puoi configurare solo il tuo browser per utilizzare un servizio DNS privato.
Tutti i sistemi operativi moderni supportano DoT o DoH (o entrambi), così come tutti i browser moderni. Per impostazione predefinita, Firefox si connette automaticamente ai server Cloudflare 1.1.1.1 utilizzando DoH.
Considerazioni finali sul DNS privato
Il DNS privato è molto più privato, sicuro e resistente alla censura rispetto al normale DNS non crittografato, e almeno alcuni provider DNS si preoccupano della tua privacy molto più del tuo ISP. Quindi, se non usi una VPN, dovresti configurare il tuo sistema o browser per utilizzare un servizio DNS affidabile che supporti il DNS privato.
Tuttavia, una VPN offre molta più privacy ed è molto più efficace nel contrastare la censura rispetto all’uso di un DNS privato. Tieni presente che non dovresti (e non hai bisogno di) utilizzare un DNS privato quando usi una VPN.
