Oltre la superficie: I tre livelli di resilienza DNS che mantengono i siti web online

Quando digiti un indirizzo web nel tuo browser, un sistema dietro le quinte chiamato Domain Name System (DNS) traduce rapidamente quel nome amichevole in un indirizzo IP leggibile dalla macchina. Questo processo è spesso dato per scontato, ma l'infrastruttura che detiene i record ufficiali degli indirizzi per un dominio, il suo DNS autoritativo, è molto più intricata di una semplice lista su un singolo server. Un nuovo studio accettato alla conferenza ACM SIGMETRICS 2026 scava negli strati di questa complessità, esaminando come la resilienza del DNS autoritativo possa determinare la disponibilità dei servizi online.

A prima vista, si potrebbe immaginare il DNS autoritativo come un computer che memorizza le corrispondenze dominio-IP. In realtà, gli autori del paper, guidati da Minzhao Lyu dell'Università del Nuovo Galles del Sud, descrivono una struttura logica a tre livelli. Il livello funzionale superiore definisce i ruoli: un nameserver primario detiene la copia master del file di zona del dominio, il record autoritativo di tutti i suoi indirizzi e impostazioni, mentre uno o più nameserver autoritativi rispondono alle query degli utenti internet. Sotto questo, ogni server riceve un nome (come ns1.example.gov.au), e al livello più profondo, ogni server nominato esiste come multiple istanze identificate da indirizzi IP unici, spesso distribuiti in diverse località e reti.

Ottenere questa infrastruttura giusta e mantenerla in funzione coinvolge tre fasi operative distinte. In primo luogo, il posizionamento dell'infrastruttura decide chi gestisce ogni istanza del server, dove è fisicamente situata e quali indirizzi IP utilizza. Per la resilienza, è fondamentale scegliere operatori in diverse regioni geografiche ed evitare di collocare tutte le istanze in un singolo data center. In secondo luogo, la configurazione del servizio imposta quanto accessibili e ridondanti siano quei server, ad esempio, assicurando che più istanze possano gestire le query se una fallisce e che le regole del firewall non blocchino il traffico legittimo. La terza fase, operazione, si concentra sulla gestione sicura dei dati: utilizzando meccanismi sicuri di trasferimento di zona come AXFR (un protocollo per copiare i file di zona tra server primari e autoritativi) e implementando DNSSEC. DNSSEC, acronimo di Domain Name System Security Extensions, aggiunge firme crittografiche ai record DNS, impedendo agli attaccanti di falsificare le risposte per reindirizzare gli utenti a siti web falsi.

Per vedere quanto bene i domini del mondo reale applicano questi principi, i ricercatori hanno sviluppato un sistema di punteggio e lo hanno applicato a 273 servizi pubblici online gestiti dai dipartimenti governativi federali australiani. Hanno raccolto dati da record DNS pubblici, database di registrazione IP e intelligence di terze parti. I risultati, visualizzati in una matrice completa, mostrano che mentre la maggior parte dei domini governativi ha ottenuto buoni punteggi sul posizionamento dell'infrastruttura, il che significa che i loro server sono ragionevolmente distribuiti, la loro configurazione del servizio è rimasta indietro. In termini semplici, molti mancavano di ridondanza sufficiente e non erano configurati per rimanere accessibili durante guasti di rete o disastri naturali. Ad esempio, era comune vedere più nomi di nameserver autoritativi, ma quei nomi spesso risolvevano in indirizzi IP nella stessa rete o area geografica, fornendo una falsa sensazione di ridondanza. Anche dove la distribuzione dei record dal server primario a quelli autoritativi appariva robusta, l'anello finale verso gli utenti finali era spesso debole. Il colpevole: DNSSEC mancante o implementato in modo errato, che lasciava la porta aperta a manomissioni delle risposte DNS. Molti domini avevano DNSSEC parzialmente abilitato ma con firme scadute o catene di fiducia incomplete, rendendo la misura di sicurezza inefficace.

Questo framework basato sui dati offre sia ai decisori politici che agli operatori di domini una visione chiara dei rischi sistemici nascosti. Invece di reagire alle interruzioni, possono identificare proattivamente le lacune. Per i proprietari di siti web, specialmente quelli che gestiscono servizi critici, il messaggio è chiaro: avere semplicemente più nameserver non basta. La vera resilienza richiede un posizionamento attento, una configurazione coerente e protezioni crittografiche come DNSSEC. Lo studio sottolinea che il DNS non è solo un dettaglio di infrastruttura, ma un livello di sicurezza fondamentale. Gli operatori dovrebbero controllare regolarmente la loro configurazione DNS: verificare la diversità degli IP dei server, confermare risposte coerenti da tutti i server autoritativi, monitorare la validità delle firme DNSSEC e condurre test di failover simulando tempi di inattività dei server.

Mentre la ricerca si rivolge a coloro che gestiscono domini, anche gli utenti internet di tutti i giorni hanno un interesse nella sicurezza DNS. Scegliendo un resolver DNS che mette la privacy al primo posto come AEU DNS, gli utenti possono garantire che le loro query siano crittografate e gestite da un fornitore fidato, riducendo il rischio di intercettazione o manipolazione durante il transito. Tuttavia, per chiudere il cerchio, gli operatori di siti web devono fare la loro parte e rafforzare la loro infrastruttura DNS autoritativa. Insieme, risoluzione sicura e configurazione autoritativa robusta creano un internet più sicuro.