DNS over QUIC (DoQ): latency più bassa e crittografia più robusta

DNS over QUIC, solitamente abbreviato in DoQ, è un modo per proteggere le richieste effettuate dai dispositivi attraverso il Domain Name System. DNS traduce il nome di un sito web nelle informazioni di rete necessarie per raggiungerlo. DoQ trasporta queste richieste tramite QUIC, una moderna tecnologia di trasporto progettata per trasferire rapidamente i dati tra un dispositivo e un servizio online.

Il principale vantaggio per la privacy è la crittografia, che trasforma le informazioni in una forma che non può essere letta durante il transito senza l'accesso necessario. DoQ crittografa le query DNS nello stesso senso generale di DNS over HTTPS (DoH) e DNS over TLS (DoT). Ciò impedisce alla query stessa di viaggiare come informazione leggibile tra l'utente e il servizio DNS.

DoQ si distingue per la rapidità con cui può stabilire lo scambio protetto. Per avviare una connessione crittografata, le due estremità devono coordinarsi prima di poter comunicare in modo sicuro. QUIC è progettato per ridurre questo ritardo di configurazione, consentendo a DoQ di stabilire più velocemente una connessione DNS crittografata. Ciò può ridurre la latency, ossia il tempo di attesa tra l'invio di una richiesta DNS e la ricezione della risposta. Il vantaggio qui descritto riguarda l'instaurazione della connessione e non costituisce una promessa che ogni singola risoluzione termini sempre più velocemente in qualsiasi condizione.

Un altro vantaggio è l'assenza di head-of-line blocking. Con alcuni metodi di trasporto dei dati, un elemento in ritardo può bloccare tutto ciò che è in attesa dietro di esso. DoQ mantiene le richieste DNS sufficientemente indipendenti affinché una query lenta non blocchi le altre. Questo è importante quando una pagina, un'applicazione o un sistema aziendale necessita di più risposte DNS all'incirca nello stesso momento. Un ritardo che interessa una destinazione non obbliga automaticamente tutte le altre risoluzioni ad attendere.

DoQ supporta inoltre 0-RTT connection resumption. RTT significa round-trip time, ossia il tempo necessario affinché le informazioni raggiungano il servizio e una risposta torni indietro. Con 0-RTT resumption, un dispositivo che si riconnette a un servizio già utilizzato in precedenza può riprendere la comunicazione senza dover prima attendere un ulteriore round trip. Ciò elimina un'altra fonte di ritardo di configurazione da una connessione ripristinata.

La resistenza al blocco è un altro vantaggio pratico. Le reti possono interferire con il traffico DNS per limitare le destinazioni raggiungibili dalle persone. DoQ offre resistenza a questo tipo di blocco, anche se tale resistenza non deve essere scambiata per una garanzia che le interferenze siano impossibili. Il punto importante è che il DNS crittografato rende il contenuto della risoluzione non disponibile come traffico DNS leggibile mentre è in transito.

Il confronto con gli altri principali metodi di DNS crittografato riguarda soprattutto il modo in cui ciascuno trasporta lo stesso tipo di query protetta. DoH, o DNS over HTTPS, inserisce le richieste DNS nel traffico HTTPS sulla porta 443. DoT, o DNS over TLS, utilizza un canale crittografato dedicato. DoQ trasporta invece le richieste tramite QUIC, combinando la crittografia delle query con un'instaurazione più rapida della connessione, 0-RTT resumption e la protezione dal rischio che una query lenta ritardi tutte le altre.

Tutti e tre i metodi proteggono la query DNS, ma è necessario comprenderne i limiti in termini di privacy. DoQ, DoH e DoT non crittografano l'intera connessione internet di un utente. Inoltre, non nascondono l'indirizzo IP dell'utente, ossia l'indirizzo di rete utilizzato per inviare e ricevere dati. La crittografia del DNS impedisce quindi che la risoluzione stessa venga letta durante il transito, ma non rende anonima una persona né nasconde ogni dettaglio della sua attività online.

Per i proprietari di siti web, le aziende e gli utenti comuni, la scelta pratica consiste nell'abilitare un metodo di DNS crittografato supportato sia dal dispositivo sia dal servizio DNS. DoQ è particolarmente rilevante quando sono importanti il tempo di instaurazione della connessione, più risoluzioni simultanee o la resistenza al blocco DNS. DoH e DoT proteggono comunque la query stessa, utilizzando rispettivamente il traffico HTTPS o un canale crittografato dedicato. Come opzione pratica, AEU DNS offre un DNS privato e sicuro per tutti.

La distinzione fondamentale è semplice: DoQ migliora il modo in cui vengono trasportate le richieste DNS crittografate, ma non estende la crittografia al resto del traffico di una persona. Gli utenti dovrebbero considerarlo una protezione per le risoluzioni DNS, non uno strumento che nasconde il loro indirizzo IP o protegge ogni altra parte di una connessione.