{"id":36652,"date":"2019-10-31T22:12:57","date_gmt":"2019-10-31T19:12:57","guid":{"rendered":"https:\/\/prohoster.info\/blog\/lyubit-i-ne-lyubit-dns-over-https\/"},"modified":"2019-10-31T22:12:57","modified_gmt":"2019-10-31T19:12:57","slug":"lyubit-i-ne-lyubit-dns-over-https","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/lyubit-i-ne-lyubit-dns-over-https","title":{"rendered":"\u00abAma e non ama\u00bb: DNS su HTTPS","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Discutiamo delle opinioni riguardanti le caratteristiche del DNS over HTTPS, che recentemente \u00e8 diventato un \"topic scottante\" tra i fornitori di servizi Internet e gli sviluppatori di browser.<\/p>\n

\"\u00abAma<\/a><\/noindex><\/a><\/noindex>
\n\/ Unsplash \/ Steve Halama<\/a><\/noindex><\/i><\/p>\n

Il nocciolo delle controversie<\/h2>\n

\nRecentemente grandi media<\/a><\/noindex> e siti specializzati<\/a><\/noindex> (incluso Habr), scrivono spesso sul protocollo DNS over HTTPS (DoH). Esso crittografa le richieste ai server DNS e le risposte a esse. Questo approccio permette di nascondere i nomi degli host a cui si connette l'utente. Dalle pubblicazioni, si pu\u00f2 dedurre che il nuovo protocollo (approvato dall'IETF nel 2018)<\/a><\/noindex> ha diviso la comunit\u00e0 IT in due fazioni.<\/p>\n

Una met\u00e0 ritiene che il nuovo protocollo aumenti la sicurezza di Internet e lo adotta nelle proprie applicazioni e servizi. L'altra met\u00e0 \u00e8 convinta che la tecnologia complichi solo il lavoro degli amministratori di sistema. Di seguito, esamineremo gli argomenti di entrambe le parti. <\/p>\n

Come funziona il DoH<\/h2>\n

\nPrima di passare al discorso su perch\u00e9 i fornitori di servizi Internet e altri attori del mercato siano a favore o contro il DNS over HTTPS, analizziamo brevemente i principi del suo funzionamento.<\/p>\n

Nel caso del DoH, la richiesta di risoluzione dell'indirizzo IP viene incapsulata nel traffico HTTPS. Successivamente, essa entra in un server HTTP, dove viene elaborata tramite API. Ecco un esempio di richiesta dall'RFC 8484 (pagina 6<\/a><\/noindex>):<\/p>\n

   :method = GET\n   :scheme = https\n   :authority = dnsserver.example.net\n   :path = \/dns-query?\n           dns=AAABAAABAAAAAAAAAWE-NjJjaGFyYWN0ZXJsYWJl\n           bC1tYWtlcy1iYXNlNjR1cmwtZGlzdGluY3QtZnJvbS1z\n           dGFuZGFyZC1iYXNlNjQHZXhhbXBsZQNjb20AAAEAAQ\n   accept = application\/dns-message\n<\/code><\/pre>\n
\nIn questo modo, il traffico DNS \u00e8 nascosto nel traffico HTTPS. Il cliente e il server comunicano tramite la porta standard 443. Di conseguenza, le richieste al sistema dei nomi di dominio rimangono anonime.<\/p>\n
Perch\u00e9 non \u00e8 gradito<\/h2>\n
\nI contrari al DNS over HTTPS dicono<\/a><\/noindex>, ritengono che il nuovo protocollo diminuisca la sicurezza delle connessioni. Secondo gli esperti, i principali problemi dell'Internet delle cose sono le password facilmente indovinabili (spesso sono presenti password di fabbrica preimpostate, accessibili pubblicamente) e i firmware obsoleti dei dispositivi. In migliori dei casi, gli aggiornamenti vengono pubblicati con notevoli ritardi, nel peggiore \u2014 non vengono rilasciati affatto (a volte la possibilit\u00e0 di aggiornamento non \u00e8 nemmeno prevista a livello tecnico). Di conseguenza, molti dispositivi IoT vengono compromessi attraverso modi banali, come vulnerabilit\u00e0 nell'interfaccia web. Quasi tutte queste vulnerabilit\u00e0 sono critiche, ma il produttore ha possibilit\u00e0 estremamente limitate di creare rapidamente una patch e distribuirla come aggiornamento.<\/a><\/noindex> Paul Vixie, membro del team di sviluppo di DNS, sar\u00e0 pi\u00f9 difficile per gli amministratori di sistema bloccare siti potenzialmente dannosi. Gli utenti comuni perderanno la possibilit\u00e0 di impostare un controllo parentale condizionale nei browser.<\/p>\n
Il parere di Paul \u00e8 condiviso dai fornitori di servizi Internet del Regno Unito. La legislazione del paese obbliga<\/a><\/noindex> a bloccare risorse con contenuti vietati. Ma il supporto del DoH nei browser complica il compito di filtrare il traffico. Tra i critici del nuovo protocollo figurano anche il Centro per le comunicazioni governative del Regno Unito (GCHQ<\/a><\/noindex>) e la fondazione Internet Watch Foundation (IWF<\/a><\/noindex>), che tiene un registro delle risorse bloccate.<\/p>\n
Nel nostro blog su Habr:<\/b><\/p>\n