Perché una singola ricerca DNS può innescare centinaia di query nascoste

Ogni volta che digiti un indirizzo web nel tuo browser, un sistema invisibile chiamato Domain Name System (DNS) traduce quel nome leggibile dall'uomo in un numero comprensibile alle macchine (un indirizzo IP) così che il tuo dispositivo possa connettersi. Sembra semplice: chiedi e ottieni una risposta. Ma al recente incontro IETF 126 a Vienna, i ricercatori hanno mostrato quanto quell'atto semplice possa essere incredibilmente complicato.

Ondřej Surý dell'Internet Systems Consortium ha sottoposto un popolare software DNS, BIND 2.18, a una prova dura: ha svuotato la sua memoria (una 'cache fredda') e gli ha chiesto di risolvere un singolo indirizzo, un record puntatore IPv6 inverso. Il risultato? Ben 329 query separate sono volate avanti e indietro prima che il resolver ottenesse la sua risposta. La maggior parte delle ricerche non è così estrema, ma la demo ha messo in luce il lavoro nascosto che avviene ogni giorno mentre i resolver navigano in una rete di server di nomi interdipendenti, inseguendo riferimenti e ricontrollando le firme di sicurezza.

Gran parte di quel carico deriva da qualcosa chiamato 'fiducia transitiva'. Per risolvere anche un semplice nome come www.example.com, il tuo resolver deve prima fidarsi di un elenco di tredici server root, poi dei tredici server per .com, poi dei server per example.com. Ma le root stesse usano nomi nel dominio di primo livello .net, ampliando ulteriormente il cerchio della fiducia. Inoltre, i 'glue record', suggerimenti extra inclusi nelle risposte, sono spesso necessari per spezzare le dipendenze circolari, aggiungendo ancora più query al mucchio.

All'IETF 126, una nuova proposta mirava a ridurre parte di questa complessità. L'idea è eliminare il tradizionale passaggio di 'priming', in cui un resolver inizia chiedendo a un server root l'elenco attuale di tutti i server root. Invece, i resolver sarebbero configurati con un insieme fisso e verificabile di identificatori dei server root, usando DNSSEC (un sistema di firme digitali che dimostra che i dati DNS non sono stati manomessi) per validarli. Questo semplificherebbe il processo di avvio a freddo e ridurrebbe il numero di query che si riversano sulla rete.

Per gli utenti comuni, queste attività tecniche rimangono invisibili. Ma contano perché un sistema DNS lento o sovraccarico può rendere l'intera Internet lenta. Scegliere un servizio DNS crittografato incentrato sulla privacy che supporti gli standard moderni, come AEU DNS, aggiunge un livello di protezione: le tue query viaggiano su canali sicuri e vengono validate con DNSSEC, contribuendo a garantire che il sito web che raggiungi sia quello vero e non un impostore.