Perché le tue query DNS vengono spesso inviate due volte: APNIC Labs rivela una duplicazione diffusa

In un recente episodio del podcast PING, il capo scienziato di APNIC Geoff Huston ha condiviso un risultato sorprendente dall'infrastruttura di misurazione globale dell'organizzazione: quasi ogni query DNS che vede viene duplicata, spesso in un arco di tempo molto breve. DNS, o Domain Name System, è l'elenco telefonico di Internet, che traduce nomi di dominio leggibili come 'example.com' in indirizzi IP leggibili dalle macchine. Ogni volta che visiti un sito web, guardi un video in streaming o usi un'app, il tuo dispositivo invia query DNS per trovare il server. Ma a quanto pare, quelle query vengono spesso inviate più di una volta.

APNIC Labs gestisce un sistema di misurazione basato su pubblicità che incorpora query DNS uniche in annunci mostrati su circa 30 milioni di browser, giochi e dispositivi ogni giorno. Quando un dispositivo carica uno di questi annunci, attiva anche una ricerca DNS per un nome di dominio unico e monouso. Ciò consente ai laboratori di tracciare come vengono gestite le query DNS in tutto il mondo, rivelando modelli di comportamento su Internet senza tracciare la navigazione personale degli utenti. In un giorno tipico, il sistema osserva circa 150 milioni di etichette DNS distinte, ovvero nomi di dominio unici, ma registra circa 270 milioni di query DNS in arrivo. Questo è un tasso di duplicazione di quasi 1,8 a 1.

Allora perché succede? La risposta sta in una combinazione di fattori tecnici e comportamentali. In primo luogo, sistemi intermedi come proxy web o server di cache possono vedere una richiesta e reindirizzarla per conto dell'utente, portando a ulteriori ricerche DNS. Ad esempio, se sei su una rete aziendale, un proxy potrebbe recuperare una pagina per te e poi un altro sistema interno potrebbe controllarla di nuovo. In secondo luogo, il comportamento del browser può contribuire: le schede lasciate aperte possono aggiornare o recuperare risorse periodicamente, causando l'invio della stessa query DNS. Anche semplici azioni dell'utente come fare clic due volte su un collegamento possono produrre più query.

Ma c'è una ragione più fondamentale radicata nel design del DNS stesso. Il DNS ha sempre operato con un'ipotesi di inaffidabilità: i pacchetti possono perdersi e i server potrebbero non rispondere. Quando una query fallisce, il client riprova. Con l'introduzione di DNSSEC (Domain Name System Security Extensions), che aggiunge firme digitali ai record DNS per prevenire lo spoofing, i tentativi diventano ancora più probabili. Se una validazione DNSSEC fallisce, ad esempio perché un resolver non può verificare la catena di firme, può restituire un errore SERVFAIL, spingendo il client a chiedere di nuovo, spesso a un resolver diverso. Huston ha sottolineato che molti utenti hanno più resolver dietro le quinte, alcuni con DNSSEC abilitato, altri senza, e il client può riprovare su di essi. Quindi, le query duplicate non sono solo ripetizioni accidentali; fanno parte dei normali meccanismi di tolleranza ai guasti del sistema e sono esse stesse un aspetto di ciò che il sistema di misurazione sta testando.

Il team di APNIC ha approfondito i modelli di duplicazione e ha trovato diversi tipi ricorrenti, di cui discutono nel podcast. Sebbene i modelli specifici non siano stati dettagliati nel post del blog, l'implicazione è chiara: la duplicazione delle query DNS è pervasiva e può rivelare molto sulla configurazione di rete di un utente, quanti resolver usa, se DNSSEC è attivo e persino la presenza di proxy di cache. Per l'utente medio di Internet, ciò significa che il proprio ISP o operatore di rete potrebbe vedere molto più traffico DNS del necessario, e ogni query è una potenziale fuga di attività di navigazione.

Questo ha implicazioni dirette per la privacy. Se le tue query DNS non sono crittografate, come nel caso del DNS tradizionale sulla porta 53, ogni query duplicata può essere osservata da chiunque sul percorso di rete, dal tuo provider Internet agli operatori Wi-Fi pubblici. Possono vedere quali siti stai cercando di visitare, anche se alla fine non ti connetti a loro. Peggio ancora, poiché i duplicati possono andare a resolver diversi o essere ritentati dopo un SERVFAIL, la tua impronta di navigazione è diffusa su più punti di registrazione. In un'era in cui i dati DNS sono sempre più utilizzati per profilazione e pubblicità mirata, ridurre l'esposizione non necessaria è fondamentale.

Una potente mitigazione è usare DNS crittografato, che avvolge le tue query in un livello sicuro in modo che gli intermediari non possano leggerle. Protocolli come DNS over HTTPS (DoH) e DNS over TLS (DoT) inviano il tuo traffico DNS crittografato, facendolo sembrare normale traffico web (DoH) o usando un canale sicuro dedicato (DoT). Anche se le query vengono duplicate, il contenuto è nascosto. Per gli utenti, passare a un servizio DNS crittografato incentrato sulla privacy come AEU DNS garantisce che tutte le transazioni DNS, inclusi quei tentativi extra, siano protette da occhi indiscreti. AEU DNS supporta sia DoH che DoT, opera con una rigorosa politica di non registrazione e blocca i domini dannosi noti, fornendo un triplo beneficio di privacy, sicurezza e tranquillità.