{"id":36652,"date":"2019-10-31T22:12:57","date_gmt":"2019-10-31T19:12:57","guid":{"rendered":"https:\/\/prohoster.info\/blog\/lyubit-i-ne-lyubit-dns-over-https\/"},"modified":"2019-10-31T22:12:57","modified_gmt":"2019-10-31T19:12:57","slug":"lyubit-i-ne-lyubit-dns-over-https","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/lyubit-i-ne-lyubit-dns-over-https","title":{"rendered":"\u00abAma e non ama\u00bb: DNS over HTTPS","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Analizziamo le opinioni riguardo alle caratteristiche del funzionamento di DNS over HTTPS, che di recente \u00e8 diventato un \"punto controverso\" tra i fornitori di servizi internet e gli sviluppatori di browser.<\/p>\n

\"\u00abAma<\/a><\/noindex><\/a><\/noindex>
\n\/ Unsplash \/ Steve Halama<\/a><\/noindex><\/i><\/p>\n

La natura dei disaccordi<\/h2>\n

\nNegli ultimi tempi grandi media<\/a><\/noindex> e siti tematici<\/a><\/noindex> (incluso Habr), scrivono spesso del protocollo DNS over HTTPS (DoH). Questo protocolla le richieste ai server DNS e le risposte a queste richieste. Questo approccio consente di nascondere i nomi degli host che l'utente sta contattando. Dalle pubblicazioni si pu\u00f2 dedurre che il nuovo protocollo (approvato dall'IETF nel 2018)<\/a><\/noindex> ha diviso la comunit\u00e0 IT in due fazioni.<\/p>\n

Una met\u00e0 ritiene che il nuovo protocollo aumenti la sicurezza di internet, e lo implementa nelle proprie applicazioni e servizi. L'altra met\u00e0 \u00e8 convinta che questa tecnologia complichi solo il lavoro degli amministratori di sistema. Successivamente, analizzeremo gli argomenti di entrambe le parti. <\/p>\n

Come funziona DoH<\/h2>\n

\nPrima di passare a discutere perch\u00e9 i fornitori di servizi internet e altri attori del mercato siano a favore o contro DNS over HTTPS, esaminiamo brevemente i principi del suo funzionamento.<\/p>\n

Nel caso del DoH, la richiesta per determinare l'IP \u00e8 incapsulata nel traffico HTTPS. Poi va al server HTTP, dove viene elaborata tramite API. Ecco un esempio di richiesta tratto da RFC 8484 (p.6<\/a><\/noindex>):<\/p>\n

   :method = GET\n   :scheme = https\n   :authority = dnsserver.example.net\n   :path = \/dns-query?\n           dns=AAABAAABAAAAAAAAAWE-NjJjaGFyYWN0ZXJsYWJl\n           bC1tYWtlcy1iYXNlNjR1cmwtZGlzdGluY3QtZnJvbS1z\n           dGFuZGFyZC1iYXNlNjQHZXhhbXBsZQNjb20AAAEAAQ\n   accept = application\/dns-message\n<\/code><\/pre>\n
\nIn questo modo, il traffico DNS \u00e8 nascosto nel traffico HTTPS. Il client e il server comunicano sulla porta standard 443. Di conseguenza, le richieste al sistema dei nomi di dominio rimangono anonime.<\/p>\n
Perch\u00e9 non \u00e8 molto apprezzato<\/h2>\n
\nAvversari del DNS over HTTPS dicono<\/a><\/noindex>, che il nuovo protocollo ridurr\u00e0 la sicurezza delle connessioni. Secondo le parole<\/a><\/noindex> Paul Vixie, membro del team di sviluppo DNS, gli amministratori di sistema troveranno pi\u00f9 difficile bloccare siti potenzialmente dannosi. Gli utenti normali, nel frattempo, perderanno la possibilit\u00e0 di impostare controlli parentali nei browser.<\/p>\n
Il parere di Paul \u00e8 condiviso dai fornitori di servizi Internet nel Regno Unito. La legislazione del paese obbliga<\/a><\/noindex> bloccano risorse con contenuti vietati. Tuttavia, il supporto per DoH nei browser complica la filtrazione del traffico. Tra i critici del nuovo protocollo ci sono anche il Centro per le comunicazioni governative della Gran Bretagna (GCHQ<\/a><\/noindex>) e il fondo Internet Watch Foundation (IWF<\/a><\/noindex>), che mantiene un registro delle risorse bloccate.<\/p>\n
Nel nostro blog su Habr:<\/b><\/p>\n