I costi nascosti del blocco DNS diffuso

Il Domain Name System, o DNS, è spesso chiamato l'elenco telefonico di internet. Quando digiti un nome di sito web come example.com nel tuo browser, il tuo dispositivo chiede a un risolutore DNS di tradurre quel nome nell'indirizzo IP numerico che i computer usano per trovarsi. Poiché quasi ogni attività online inizia con una query DNS, chi controlla o influenza questo passaggio può decidere se un sito è raggiungibile.

Secondo l'Internet Society, un'organizzazione non profit globale che lavora per un internet aperto e sicuro, i mandati di blocco DNS stanno moltiplicandosi. Questi sono ordini legali o regolatori che richiedono ai fornitori di servizi internet e ad altri operatori di rete di impedire a determinati nomi di dominio di risolversi nei loro indirizzi IP. Governi e tribunali di tutto il mondo usano tali mandati per bloccare siti web per motivi che vanno dall'applicazione del diritto d'autore alla lotta contro il malware, ma l'Internet Society avverte che l'uso crescente di questo strumento comporta serie preoccupazioni per la sicurezza, l'apertura di internet e la frammentazione.

La prima grande preoccupazione è la sicurezza. Quando un risolutore DNS è costretto a bloccare un dominio, di solito restituisce una risposta falsa o nessuna risposta. Questo può entrare in conflitto con DNSSEC, le estensioni di sicurezza del Domain Name System, che firmano digitalmente le risposte DNS così che gli utenti possano essere sicuri di raggiungere il sito reale e non uno falso. Un dominio bloccato che normalmente avrebbe una firma DNSSEC valida improvvisamente fallisce la validazione. Molti utenti, vedendo un errore, potrebbero semplicemente disabilitare il controllo DNSSEC o passare a un risolutore che non valida le firme. Entrambe le azioni li rendono molto più vulnerabili agli attacchi di spoofing DNS e phishing, dove i criminali reindirizzano gli utenti a siti web fraudolenti per rubare password o installare malware.

Un'altra preoccupazione è l'apertura di internet e il rischio di frammentazione. Diversi paesi impongono diverse liste di blocco DNS, quindi lo stesso sito web può essere raggiungibile in un paese ma non in un altro. Questo crea un internet frammentato o diviso, a volte chiamato splinternet, dove utenti in diverse regioni vedono versioni diverse del web. Il blocco a livello DNS può anche avere danni collaterali. Se un dominio bloccato condivide un indirizzo IP con molti altri siti web legittimi, bloccare il nome può rendere irraggiungibili tutti, anche se solo uno era il bersaglio. Questo può danneggiare piccole imprese e utenti comuni che dipendono da quei servizi.

Poi c'è la questione della privacy e della sorveglianza. Le query DNS tradizionali vengono inviate in testo semplice, il che significa che chiunque sul percorso di rete, inclusi fornitori di internet, governi o attori malintenzionati, può vedere quali siti stai cercando di visitare. Il blocco DNS spesso funziona ispezionando queste query in testo semplice, il che rafforza l'idea che la tua navigazione sia monitorata. Per contrastare questo, i sostenitori della privacy raccomandano protocolli DNS crittografati. DNS over HTTPS, o DoH, avvolge le query DNS nella stessa crittografia usata per i siti web sicuri, mentre DNS over TLS, o DoT, usa una connessione crittografata dedicata. Questi protocolli impediscono a terze parti di vedere o manomettere le tue ricerche di nomi, ma alcuni mandati di blocco ora prendono di mira anche i fornitori di DNS crittografato.

Per gli utenti e i proprietari di siti web che vogliono rimanere al sicuro e mantenere aperto internet, ci sono passi pratici da fare. Puoi configurare il tuo dispositivo o router per usare un risolutore DNS crittografato affidabile e rispettoso della privacy. Puoi attivare la validazione DNSSEC nel tuo sistema operativo o browser dove disponibile. Se incontri un sito bloccato, ricontrolla di non essere ingannato nel visitare un'alternativa falsa. E mantieni sempre aggiornato il tuo software per proteggerti dalle vulnerabilità legate al DNS. Per chi vuole combinare raggiungibilità e privacy, un servizio come AEU DNS (https://aeu-dns.com) fornisce query DNS crittografate e una politica di non conservazione dei log, che può aiutarti a evitare sorveglianza e manomissioni mentre navighi.