LOGIN
Preservare la privacy in Internet e la sicurezza è fondamentale, ma non sempre possibile. Gli ingegneri di Cloudflare e Apple hanno progettato e realizzato un nuovo protocollo Internet in grado di garantire la privacy degli utenti chiamato Oblivious DNS-over-HTTPS, o in breve ODoH.
L'attuale sistema DNS, necessario per navigare in rete, funziona ancora egregiamente anche dopo decenni di attività, ma essendo privo di qualsiasi crittografia è considerato molto insicuro. Per questo motivo negli anni i protocolli Internet sono stati modificati e progettati per aggiungere dei livelli di protezione della privacy degli utenti, così che eventuali hacker malintenzionati non potessero intercettare la navigazione e mettere a segno attacchi informatici.
Al momento il protocollo Internet utilizzato più sicuro è il DNS over HTTPS, o DoH, che consente di proteggere gli utenti dai cybercriminali. Le attività online degli utenti, però, rimarranno sempre visibili al loro provider, che potranno conoscere in qualsiasi momento quale sito è stato cercato e navigato da ogni singolo cliente. Il protocollo ODoH di Cloudflare e Apple aggiunge un nuovo livello di privacy, rendendo difficile anche ai provider Internet sapere quali siti web l'utente ha visitato.
Come funziona un protocollo Internet?
Il Domain Name System (DNS) è la soluzione che consente agli utenti di inserire un indirizzo web di tipo alfanumerico (es. www.qualcosa.boh) nella barra di navigazione del browser e permette poi al provider Internet di trovare l'indirizzo IP (nella forma IPv4 o IPv6) associato a quell'indirizzo web in breve tempo. Il sistema sviluppato ormai diversi decenni fa è ancora perfettamente funzionante, ma allo stesso tempo è considerato molto insicuro.
Quando si naviga in rete l'utente invia una richiesta, nella forma di una "query DNS", attraverso il proprio browser, a un apposito server proxy (un server DNS, appunto), ad esempio per la ricerca di un sito web. Il browser dell'utente utilizzerà un DNS resolver affinché gli indirizzi web dei siti visitati siano convertiti, in gergo si dicono "risolti", in indirizzi IP leggibili dal computer, così da individuare la posizione di una precisa pagina o risorsa web nella grande rete Internet. Si tratta di un processo "preparatorio" alla navigazione vera a proprio che però, a differenza di quest'ultima, non è crittografato, quindi ogni volta che cerchiamo un determinato sito web, la query DNS viene inviata in chiaro, cioè senza cifratura.
In questo modo il DNS resolver, che di solito è il proprio provider Internet se l'utente non ha cambiato il proprio DNS, conosce tutti i siti web che sono stati visitati. Una condizione che non è certo eccezionale per la privacy, dato che il provider Internet può potenzialmente registrare anche la cronologia di navigazione dei propri clienti.
Perché serve un protocollo che protegga la privacy?
Senza una cifratura del DNS, non solo i provider Internet possono sapere quali sono le abitudini online degli utenti, ma anche i cybercriminali potrebbero venirne a conoscenza e approfittarne per sferrare un attacco. Un hacker sarebbe teoricamente in grado di intercettare i siti visitati da un utente e mettere a segno un attacco DNS Hijacking, che ne dirotta gli indirizzi DNS e il traffico verso falsi server per poter colpire il malcapitato con malware, phishing o semplicemente sommergendolo di annunci pubblicitari.
Per questo motivo è stato necessario sviluppare un sistema di sicurezza e nello specifico il protocollo HTTPS, l'HyperText Transfer Protocol over Secure Socket Layer, una connessione crittografata tale che eseguendo il DNS viene garantita la privacy degli utenti. Utilizzando il protocollo HTTPS non sarà possibile spiare o influenzare il resolver DNS da parte di terzi, mettendo al sicuro gli utenti da molti attacchi informatici.
Un primo passo in questa direzione è stata l'introduzione del DNS over HTTPS, o DoH, protocollo che, come primo passo, fa passare tutta la comunicazione web, compresa quella destinata ai server DNS, attraverso la porta 443 (quella dedicata specificatamente alla comunicazione web criptata). Dato che tutto il traffico passa da questa porta, un soggetto terzo non potrebbe distinguere tra una richiesta DNS e le altre comunicazioni. Nonostante il protocollo DoH consenta un livello maggiore di privacy per l'utente, tuttavia, non impedisce al gestore dei server DNS di "vedere" quale sito si sta tentando di visitare.
Cos'è ODoH e come funziona
Il protocollo sviluppato da Cloudflare e Apple punta quindi a colmare questa falla nella privacy impedendo anche ai resolver DNS di sapere quali siti vengono richiesti dall'utente, così che nemmeno il provider possa tracciare la sua attività online. Il protocollo si chiama Oblivious DNS-over-HTTPS, o ODoH, e introduce un livello di crittografia per la query DNS (ovvero la richiesta di "risoluzione" di un indirizzo web in un indirizzo IP) in modo che il proxy non riesca a vedere cosa ci sia nella richiesta e il resolver DNS non potrà invece vedere chi l'ha inviata.
ODoH quindi separa le informazioni su chi sta effettuando la query e qual è il contenuto della query: il proxy conoscerà solo l'identità dell'utente Internet ma non l'indirizzo del sito che vuole visitare, mentre il resolver DNS saprà solo il sito web richiesto ma non chi lo ha fatto. Anche se questo sembra aggiungere complessità al protocollo, il capo della ricerca di Cloudflare Nick Sullivan ha assicurato che la velocità di caricamento non è rallentata: i tempi di caricamento delle pagine web su DoH e ODoH sono praticamente indistinguibili.
Il fattore chiave per proteggere la privacy con il nuovo protocollo Internet, spiegano da Cloudflare, è che il proxy e il DNS resolver non siano mai controllati dalla stessa entità, altrimenti la separazione verrebbe meno.
Il nuovo protocollo al momento è utilizzabile attraverso il resolver DNS 1.1.1.1 di Cloudflare, ma per poterlo utilizzare bisognerà attendere che ODoH sia integrato nei browser e nei sistemi operativi e affinché questo avvenga dovrà essere certificato come standard dall'Internet Engineering Task Force. Prima di poter utilizzare questo protocollo che protegge la privacy, quindi, potrebbero volerci ancora mesi o anni.
