In questo articolo parleremo delle ricerche DNS: cosa sono, come funzionano e come influiscono sulla privacy online e sulla censura.

Una ricerca DNS si riferisce al processo di associazione dell’URL che inserisci nella barra degli indirizzi del browser (il nome di dominio leggibile) al corrispondente indirizzo IP.

Tutti i dispositivi che si connettono direttamente a internet sono identificati da un’etichetta numerica nota come indirizzo IP. Per facilitare le cose a noi umani, questo indirizzo può anche essere identificato utilizzando nomi di dominio più leggibili e facili da ricordare. Il Domain Name System (DNS) associa questi nomi di dominio ai relativi indirizzi IP.

Scopri di più sugli indirizzi IP

Ad esempio, il sito web di Proton VPN utilizza il nome di dominio protonvpn.com, che corrisponde all’indirizzo IP 185.159.159.140. Quando digiti www.protonvpn.com nella barra degli URL del browser, il nome di dominio deve essere convertito nel corrispondente indirizzo IP affinché i computer possano comprenderlo.

Questa conversione viene eseguita utilizzando il DNS. Quindi, quando digiti protonvpn.com, il DNS converte il nome di dominio nell’indirizzo IP: 185.159.159.140. Ciò consente al tuo browser di individuare e connettersi al sito web corretto.

I nomi di dominio esistono unicamente per comodità umana e non sono necessari per il funzionamento di internet. Se tu potessi ricordare gli indirizzi IP, potresti digitarli direttamente. Per vedere come funziona, ti basta inserire 185.159.159.140 nella barra degli URL del browser e verrai indirizzato al sito web di Proton VPN.

Come funziona una ricerca DNS

Il DNS viene spesso paragonato a una rubrica telefonica che incrocia i nomi di dominio e i corrispondenti indirizzi IP. Si tratta di un’analogia utile per capire cosa fa il DNS, ma la realtà del suo funzionamento è più complessa.

Risolutore DNS

Quando inserisci un nome di dominio nella barra degli URL del browser, viene inviata una query DNS a uno speciale server chiamato risolutore DNS (noto anche come recursore DNS o semplicemente server DNS).

Come suggerisce il nome, il risolutore DNS “risolve” la query DNS recuperando l’indirizzo IP corrispondente al dominio e rimandandolo al browser. Ora che conosce l’indirizzo IP del sito web che desideri visitare, il tuo browser può connettersi ad esso.

Fin qui tutto semplice. Ma in che modo il risolutore DNS recupera l’indirizzo DNS corretto per un dominio (un processo complicato dal fatto che vengono creati continuamente nuovi domini e gli indirizzi IP sono spesso assegnati dinamicamente ai domini, modificandosi quindi regolarmente)?

Come viene risolto un dominio utilizzando il DNS

Una ricerca DNS per un dominio di primo livello(nuova finestra) (TLD) prevede solitamente i seguenti passaggi:

1. Digiti protonvpn.com nella barra degli URL del browser. Il browser invia questa query su internet a un risolutore DNS.

2. Il risolutore DNS invia una query a un root name server DNS. Si tratta di un server che memorizza informazioni sui TLD (come .com o .net, o TLD con codice paese come .ch o .uk). Poiché la nostra query era (protonvpn.com), il root name server DNS rimanderebbe al risolutore DNS per i TLD “.com”.

3. Forte di queste informazioni, il risolutore DNS interrogherà ora il name server TLD .com, che mantiene un elenco di tutti i domini .com. Il name server TLD risponde con l’indirizzo IP del name server autorevole del dominio.

4. Il risolutore DNS può ora interrogare il name server autorevole del dominio. Questo è solitamente gestito da un registratore di nomi di dominio(nuova finestra), un’azienda che concede in locazione e gestisce i nomi di dominio (come GoDaddy o Namecheap). Il name server autorevole è la fonte di verità definitiva sul dominio e può restituirne l’indirizzo IP al risolutore DNS (nel nostro caso, sarà 185.159.159.140).

5. Il risolutore DNS invia l’indirizzo IP corretto al browser, che ora può connettersi a 185.159.159.140.

Come funziona il DNS

In realtà, la situazione è un po’ più complicata. Ad esempio, molti domini sono associati a più indirizzi IP (inclusi sia gli indirizzi IPv4 che IPv6) e ci saranno passaggi aggiuntivi se visiti un sottodominio (come blog.protonvpn.com).

Inoltre, le informazioni vengono regolarmente memorizzate nella cache (archiviate localmente) in tutte le fasi del processo: dal tuo browser, dal risolutore DNS e dai vari name server. Se le informazioni richieste vengono trovate in una cache, la richiesta non viene inviata, il che comporta il salto di alcuni passaggi.

Tuttavia, in sostanza, questo è il modo in cui il DNS funziona per una visita abbastanza standard a un sito web.

DNS, censura e sorveglianza governativa

Per impostazione predefinita, il tuo browser invia le query DNS a un risolutore DNS gestito dal tuo fornitore di servizi internet (ISP). Il tuo ISP può utilizzare vari metodi per vedere cosa fai su internet, ma di gran lunga il modo più semplice (ed economico) consiste semplicemente nel monitorare le tue query DNS.

La maggior parte dei programmi governativi di spionaggio di massa si basa sull’obbligo per gli ISP di conservare i log della cronologia di navigazione dei propri clienti. E, poiché è facile ed economico, la maggior parte degli ISP rispetta questi obblighi legali conservando solo i log DNS.

Allo esso modo, quando i governi desiderano censurare i contenuti di internet per motivi sociali, religiosi, politici o “morali”, chiedono agli ISP nazionali di applicare questi blocchi. E il modo più semplice per farlo è bloccare le query DNS verso siti web e app specifici.

Servizi DNS di terze parti

Un modo per evitare almeno in parte questa censura e sorveglianza consiste nell’utilizzare un risolutore DNS di terze parti, come Cloudflare 1.1.1.1 o OpenNIC.

Alcuni di questi servizi possono avere buone informative sulla privacy, ma a meno che le connessioni ai server del risolutore DNS non siano crittografate utilizzando DNS over TLS (DoT) o DNS over HTTPS (DoH), il tuo ISP può vedere le richieste in testo in chiaro, qualora decidesse di controllare.

Crittografare le query DNS rende più difficile (e quindi più costoso) per un ISP monitorare la tua cronologia di navigazione, ma può comunque tracciare abbastanza facilmente i siti web e le app a cui ti connetti, se lo desidera.

Scarica Proton VPN!

DNS e VPN

Quando utilizzi una VPN (come Proton VPN), la tua connessione al server VPN è crittografata. Con un po’ di sforzo, il tuo ISP può vedere che ti sei connesso a un indirizzo IP appartenente al server VPN, ma nulla di più.

Le query DNS vengono inviate attraverso il tunnel VPN e risolte dal provider VPN, che potrebbe gestire il proprio risolutore DNS o utilizzarne uno di terze parti. Ciò non ha implicazioni sulla privacy, poiché le query DNS sembrano provenire dal server VPN e non dall’utente VPN.

Scopri come funziona una VPN

Vale la pena notare che non è necessario un DNS crittografato quando si utilizza una VPN, poiché tutte le query DNS vengono comunque inviate attraverso il tunnel VPN crittografato.

Inoltre, non è consigliabile utilizzare un risolutore DNS di terze parti insieme a una VPN. Configurare il sistema in questo modo potrebbe causare l’invio delle query DNS al di fuori del tunnel VPN verso il risolutore DNS di terze parti.

Scopri di più sulle perdite DNS

NetShield Ad-blocker

Proton VPN offre NetShield Ad-blocker in tutte le nostre app. Si tratta di una funzionalità di filtraggio DNS che blocca le query DNS verso domini noti per appartenere a società pubblicitarie, tracker online e malware. Questa funzionalità (e altri servizi di filtraggio DNS simili) agisce a livello di risolutore DNS, semplicemente non risolvendo le query DNS verso i domini inseriti nella blocklist.

Scopri di più su NetShield Ad-blocker

Tecnicamente, ciò costituisce una perdita DNS (vedi sotto). Questo potrebbe non essere un grosso problema se la query DNS è crittografata e ti fidi del resolver DNS, ma introduce nell’equazione una terza parte non necessaria (e quindi un potenziale punto di debolezza).

Perdite DNS

Quando usi una VPN, tutte le query DNS dovrebbero essere inviate attraverso il tunnel VPN per essere risolte dal provider VPN. Se, per qualsiasi motivo, la query DNS viene inviata al di fuori del tunnel VPN a un resolver DNS di terze parti, si verifica una perdita DNS. Il mancato instradamento corretto delle richieste DNS IPv6 attraverso il tunnel VPN è una causa comune di perdite DNS.

Poiché questa terza parte sarebbe probabilmente il tuo ISP, le perdite DNS rappresentano un grave problema per la privacy. Inutile dire che tutte le app di Proton VPN dispongono di una solida protezione integrata contro le perdite DNS.

Ottieni Proton VPN Plus

Tipi comuni di record DNS

Ecco alcuni dei principali tipi di record DNS che possono essere cercati:

  • Record A (Address): mappa un nome di dominio a un indirizzo IPv4. Esempio: example.com → 192.0.2.1
  • Record AAAA (Quad A): mappa un nome di dominio a un indirizzo IPv6. Esempio: example.com → 2001:0db8:85a3:0000:0000:8a2e:0370:7334
  • Record CNAME (Canonical Name): mappa un nome di dominio a un altro nome di dominio, creando di fatto un alias tra i due nomi. Esempio: www.example.com → example.com
  • Record MX (Mail Exchange): specifica i server di posta responsabili della ricezione delle email per conto di un dominio. Esempio: example.com → mail.example.com (priorità 10 — il numero di priorità indica la preferenza, prediligendo le richieste con priorità più bassa).
  • Record PTR (Pointer): mappa un indirizzo IP a un nome di dominio, utilizzato principalmente per le ricerche DNS inverse. Esempio: 192.0.2.1 → example.com
  • Record NS (Name Server): specifica i name server autorevoli per un dominio. Esempio: example.com → ns1.example.com, ns2.example.com
  • Record SOA (Start of Authority): fornisce informazioni importanti sul dominio, tra cui il name server principale, l’email dell’amministratore del dominio, il numero di serie del dominio (che aiuta a gestire e sincronizzare i dati DNS su più server DNS) e i timer di aggiornamento, di tentativo e di scadenza (Esempio: example.com → ns1.example.com, admin.example.com, 2024041501)
  • Record TXT (Text): contiene dati di testo arbitrari, spesso utilizzati per la convalida delle email (come SPF o DKIM) e per altri scopi di verifica. Esempio: example.com → “v=spf1 include:example.com ~all”
  • Record SRV (Service): specifica la posizione dei server per servizi specifici, come il protocollo di telefonia internet SIP(nuova finestra), il protocollo di messaggistica XMPP(nuova finestra), ecc. Esempio: _sip._tcp.example.com → 0 5 5060 sipserver.example.com
  • Record CAA (Certification Authority Authorization): specifica quali autorità di certificazione (CA) sono autorizzate a emettere certificati per un dominio. Esempio: example.com → 0 issue “letsencrypt.org”
  • Record NAPTR (Naming Authority Pointer): utilizzato per la risoluzione degli URL e per definire le regole di riscrittura per vari servizi come il VoIP. Esempio: example.com → 100 50 “s” “SIP+D2U” “” _sip._udp.example.com
  • DNSKEY: contiene la chiave di firma pubblica utilizzata in DNSSEC (suite di specifiche progettate per aggiungere un ulteriore livello di sicurezza al DNS).
  • . Esempio: example.com → 256 3 13 …
  • Record DS (Delegation Signer): contiene l’hash di un record DNSKEY per proteggere le deleghe in DNSSEC. Esempio: example.com → 12345 13 2 …
  • Record SPF (Sender Policy Framework): utilizzato per definire quali indirizzi IP sono autorizzati a inviare email per conto di un dominio. Esempio: example.com → “v=spf1 ip4:192.0.2.0/24 -all”

Comandi per la ricerca DNS

I comandi DNS vengono utilizzati per interrogare, testare e risolvere i problemi dei server e dei record DNS. Questi comandi sono essenziali per gli amministratori di rete per garantire che i servizi DNS funzionino correttamente, poiché il DNS è fondamentale per la risoluzione dei nomi di dominio in indirizzi IP.

Di seguito sono riportati alcuni comandi DNS comunemente utilizzati. Puoi eseguire questi comandi in una finestra di terminale (Linux), nel Terminale (macOS), nel Prompt dei comandi (cmd) o in PowerShell (Windows), o persino in un’app di emulazione di terminale sul tuo dispositivo mobile. Non tutti questi comandi potrebbero essere disponibili “pronti all’uso” sulla tua piattaforma, ma in quasi tutti i casi sono facili da installare.

nslookup

Il comando nslookup è uno strumento per interrogare il DNS al fine di ottenere la mappatura del nome di dominio o dell’indirizzo IP. Puoi anche specificare un particolare server DNS da utilizzare ed eseguire una ricerca DNS inversa.

nslookup

dig

Il comando dig (Domain Information Groper) è uno strumento di ricerca IP DNS più potente e flessibile rispetto a nslookup. Gli amministratori di rete spesso lo preferiscono per il suo output dettagliato e le opzioni avanzate.

dig

Con dig puoi anche interrogare un tipo specifico di record DNS, interrogare un server DNS specifico ed eseguire una ricerca DNS inversa.

host

Il comando host è un altro strumento per eseguire ricerche DNS. È più semplice di dig ma fornisce informazioni sufficienti per compiti di base, inclusa l’interrogazione di un server DNS specifico e l’esecuzione di ricerche DNS inverse.

host

ping

Il comando ping viene utilizzato principalmente per verificare la raggiungibilità di un host su una rete IP, ma esegue anche la risoluzione DNS come parte della sua operazione.

ping

traceroute / tracert

I comandi traceroute (su Linux e macOS) e tracert (su Windows) sono utilizzati per tracciare il percorso di un pacchetto, dalla sua origine alla sua destinazione. Risolvono il nome di dominio in un indirizzo IP e mostrano ogni hop lungo la strada verso la destinazione.

traceroute

ipconfig / ifconfig

I comandi ifconfig (su Linux e macOS) e ipconfig (su Windows) possono essere utilizzati per visualizzare la configurazione di rete, inclusi i server DNS utilizzati dal sistema. Se utilizzato da solo, mostra solo le interfacce attive. Per vedere tutte le interfacce su Windows, usa ipconfig /all.

ipconfig

Strumenti di ricerca DNS

Oltre agli strumenti da riga di comando come quelli sopra discussi, esistono molti strumenti di ricerca DNS online che forniscono un’interfaccia grafica utente (GUI) per interrogare il DNS. Un ottimo esempio è il nostro scanner IP sicuro e gratuito, che ti consente di eseguire normali ricerche DNS, ricerche MX, ricerche NS, ricerche CNAME e ricerche TXT.

Ricerca DNS

Può anche eseguire ricerche DNS inverse (ricerca IP).

Ricerca DNS inversa

Considerazioni finali

In sostanza, il DNS è solo una complessa rubrica telefonica automatizzata. Rende internet fruibile dagli esseri umani, ma può essere (e viene) sfruttato dai governi per spiare i propri cittadini e censurare ciò che vedono. Il modo migliore per aggirare questi abusi del DNS è utilizzare un servizio VPN come Proton VPN.

Un servizio VPN risolve in modo sicuro le tue query DNS al posto del tuo ISP e la maggior parte dei servizi VPN affidabili si impegna a proteggere la tua privacy.

Naturalmente, una VPN offre anche molti altri vantaggi, come nascondere il tuo vero indirizzo IP ai siti web che visiti, fornire una protezione avanzata contro la possibilità per gli ISP di monitorare o censurare la tua attività su internet, permetterti di riprodurre in streaming i tuoi contenuti preferiti quando viaggi e altro ancora.

Scopri di più sui vantaggi dell’utilizzo di una VPN