Quale protocollo di crittografia DNS protegge meglio il tuo traffico web?

Il Domain Name System (DNS) è considerato da molti la rubrica di Internet, convertendo i nomi di dominio in informazioni leggibili dal computer, come gli indirizzi IP .

Ogni volta che scrivi un nome di dominio nella barra degli indirizzi, il DNS lo converte automaticamente nell'indirizzo IP corrispondente. Il tuo browser utilizza queste informazioni per recuperare i dati dal server di origine e caricare il sito web.

Ma i criminali informatici possono spesso monitorare il traffico DNS, rendendo necessaria la crittografia per mantenere la tua navigazione web privata e sicura.

Oggi sono in uso diversi protocolli di crittografia DNS. Questi protocolli di crittografia possono essere utilizzati per prevenire lo snooping informatico crittografando il traffico nel protocollo HTTPS su una connessione TLS (Transport Layer Security).

1. DNSCrittografia

DNSCrypt è un protocollo di rete che crittografa tutto il traffico DNS tra il computer di un utente e il server dei nomi pubblico. Il protocollo utilizza l'infrastruttura a chiave pubblica (PKI) per verificare l'autenticità del server e dei client DNS.

Utilizza due chiavi, chiave pubblica e chiave privata, per autenticare la comunicazione tra client e server. Quando viene avviata una query DNS, il client crittografa la query utilizzando la chiave pubblica del server.

La query crittografata viene quindi inviata al server, che la decrittografa utilizzando la sua chiave privata. In questo modo, DNSCrypt garantisce che la comunicazione tra client e server sia sempre autenticata e crittografata.

DNSCrypt è un protocollo di rete relativamente vecchio. È stato in gran parte sostituito da DNS-over-TLS (DoT) e DNS-over-HTTPS (DoH) grazie al supporto più ampio e alle maggiori garanzie di sicurezza fornite da questi protocolli più recenti.

2. DNS su TLS

DNS-over-TLS crittografa le tue query DNS utilizzando Transport Layer Security (TLS). TLS garantisce che le tue query DNS siano crittografate end-to-end, prevenendo attacchi Man-in-the-Middle (MITM) .

Quando utilizzi DNS-over-TLS (DoT), le tue query DNS vengono inviate al risolutore DNS-over-TLS anziché al risolutore non crittografato. Il risolutore DNS-over-TLS decodifica la tua query DNS e la invia al server DNS autorevole per tuo conto.

La porta predefinita per DoT è la porta TCP 853. Quando ci si connette utilizzando DoT, sia il client che il risolutore eseguono un "handshake" digitale. Il client invia quindi la sua query DNS sul canale TLS crittografato al risolutore.

Il risolutore DNS elabora la query, trova l'indirizzo IP corrispondente e invia la risposta al client tramite un canale crittografato. Il client riceve la risposta crittografata, dove viene decrittografata e il client utilizza l'indirizzo IP per connettersi al sito Web o al servizio desiderato.

3. DNS su HTTPS

HTTPS è la versione sicura di HTTP attualmente utilizzata per accedere ai siti Web. Come DNS-over-TLS, anche DNS-over-HTTPS (DoH) crittografa tutte le informazioni prima che vengano inviate in rete.

Sebbene l’obiettivo sia lo stesso, ci sono alcune differenze fondamentali tra DoH e DoT. Per cominciare, DoH invia tutte le query crittografate su HTTPS invece di creare direttamente una connessione TLS per crittografare il traffico.

In secondo luogo, utilizza la porta 403 per le comunicazioni generali, rendendo difficile la distinzione dal traffico web generale. DoT utilizza la porta 853, il che rende molto più semplice identificare il traffico proveniente da quella porta e bloccarlo.

DoH ha visto un’adozione più ampia nei browser web come Mozilla Firefox e Google Chrome, poiché sfrutta l’infrastruttura HTTPS esistente. DoT è più comunemente utilizzato dai sistemi operativi e dai risolutori DNS specializzati, piuttosto che essere integrato direttamente nei browser web.

I due motivi principali per cui DoH è adottato più ampiamente sono perché è molto più facile da integrare nei browser Web attuali e, cosa più importante, si integra perfettamente con il traffico Web regolare, rendendo il blocco molto più difficile.

4. DNS su QUIC

Rispetto agli altri protocolli di crittografia DNS presenti in questo elenco, DNS-over-QUIC (DoQ) è relativamente nuovo. Si tratta di un protocollo di sicurezza emergente che invia query e risposte DNS tramite il protocollo di trasporto QUIC (Quick UDP Internet Connections).

La maggior parte del traffico Internet odierno si basa sul protocollo TCP (Transmission Control Protocol) o sul protocollo UDP (User Datagram Protocol), con query DNS spesso inviate tramite UDP. Tuttavia, il protocollo QUIC è nato per superare alcuni degli svantaggi di TCP/UDP, contribuendo a ridurre la latenza e migliorare la sicurezza.

QUIC è un protocollo di trasporto relativamente nuovo sviluppato da  Google , progettato per fornire prestazioni, sicurezza e affidabilità migliori rispetto ai protocolli tradizionali come TCP e TLS. QUIC combina le funzionalità di TCP e UDP e dispone di una crittografia integrata simile a TLS.

Poiché è più recente, DoQ offre numerosi vantaggi rispetto ai protocolli sopra menzionati. Per cominciare, DoQ offre prestazioni più veloci, latenza complessiva ridotta e tempi di connessione migliorati. Ciò si traduce in una risoluzione DNS più rapida (tempo necessario al DNS per risolvere gli indirizzi IP). In definitiva, ciò significa che i siti Web ti vengono offerti più velocemente.

Ancora più importante, DoQ è più resistente alla perdita di dati rispetto a TCP e UDP, poiché può recuperare i pacchetti persi senza richiedere la ritrasmissione completa, a differenza dei protocolli basati su TCP.

Inoltre, è anche molto più semplice migrare le connessioni utilizzando QUIC. QUIC incapsula più thread in un'unica connessione, riducendo il numero di loop richiesti per una connessione e migliorando così le prestazioni. Ciò può essere utile anche quando si passa dalla rete WiFi a quella mobile.

QUIC non è ancora ampiamente adottato rispetto ad altri protocolli. Ma aziende come Apple, Google e Meta stanno già utilizzando QUIC, spesso creando le proprie versioni (Microsoft utilizza MsQUIC per tutto il suo traffico SMB), il che fa ben sperare per il futuro.

Si prevede che le tecnologie emergenti cambieranno radicalmente il modo in cui accediamo al web. Ad esempio, molte aziende stanno ora sfruttando le tecnologie blockchain per offrire protocolli di denominazione dei domini più sicuri, come HNS e Unstoppable Domains.