Ogni volta che apri un sito, il dispositivo chiede a un server DNS di tradurre il nome in un indirizzo IP. Con il DNS tradizionale questa domanda viaggia in chiaro: chi si trova sul percorso, a partire dal provider, può vedere quali nomi vengono richiesti e in teoria modificare le risposte. Il DNS cifrato risolve il problema, ma in una rete domestica introduce una questione nuova: chi decide quale DNS usare, la rete o il singolo dispositivo?
DoH e DoT: due modi di cifrare
Esistono due protocolli principali, con lo stesso obiettivo e una differenza pratica importante.
| Caratteristica | DNS over TLS (DoT) | DNS over HTTPS (DoH) |
|---|---|---|
| Porta | 853, dedicata | 443, la stessa del web |
| Riconoscibile in rete | Sì, dalla porta | Difficile da distinguere dal traffico web |
| Uso tipico | Router, resolver, Android | Browser, sistemi operativi |
| Bloccabile dalla rete | Facilmente | Solo con elenchi di server noti |
Dal punto di vista della riservatezza si equivalgono. Dal punto di vista di chi gestisce la rete, DoT è trasparente: si vede che c'è e lo si può governare. DoH si confonde con la navigazione normale.
Dove cifrare: dispositivo o resolver di casa
Le strategie possibili sono due, e conviene sceglierne una con chiarezza.
Cifratura sul resolver di casa
Tutti i dispositivi chiedono il DNS al resolver locale: il router, un Pi-hole, un AdGuard Home. È il resolver a inoltrare le richieste verso l'esterno usando DoT o DoH. In questo modo:
- il traffico DNS che esce da casa è cifrato e il provider non lo legge;
- il filtro DNS, i nomi locali e i registri restano centralizzati;
- i dispositivi non devono essere configurati uno per uno.
Il tratto tra il dispositivo e il resolver resta in chiaro, ma è dentro casa. Per una rete domestica è la soluzione più equilibrata.
Cifratura sul singolo dispositivo
Il browser o il sistema operativo usano direttamente un server DoH esterno. È utile su un portatile che si collega spesso a reti pubbliche, ma in casa scavalca il resolver locale: il filtro pubblicitario non funziona, i nomi locali non si risolvono e il controllo parentale basato sul DNS diventa inefficace.
Quando i dispositivi aggirano il resolver
Molti browser attivano DoH in automatico in alcuni paesi o su richiesta dell'utente. Alcune app e apparecchi smart usano server DNS propri, in chiaro o cifrati, ignorando quello indicato dal DHCP. Ci sono alcune contromisure, da usare in ordine.
- Configura i dispositivi che controlli: nelle impostazioni del browser si può disattivare il DNS sicuro o indicare come server il resolver di casa, se questo offre DoH.
- Usa il dominio di controllo di Firefox: Firefox, prima di attivare DoH in automatico, verifica il dominio
use-application-dns.net. Se il resolver locale risponde che il dominio non esiste, l'attivazione automatica non avviene. Pi-hole e AdGuard Home possono farlo con un'impostazione. - Reindirizza la porta 53: una regola sul router che intercetta tutto il DNS in chiaro diretto all'esterno e lo manda al resolver locale cattura gli apparecchi con server fissi.
- Blocca la porta 853 in uscita: chi tenta DoT verso l'esterno, non riuscendo, ripiega di solito sul DNS ricevuto dalla rete.
- Blocca i server DoH noti: esistono elenchi pubblici di server DoH che si possono usare come blocklist nel filtro DNS. Non sono mai completi, ma coprono i casi più comuni.
Un esempio di configurazione
In una casa tipica, una configurazione solida può essere questa:
- AdGuard Home o Pi-hole come unico DNS distribuito dal DHCP;
- inoltro verso l'esterno tramite DoT o DoH verso due provider diversi, per avere ridondanza;
- risposta negativa al dominio di controllo di Firefox;
- regola sul router che reindirizza la porta 53;
- blocco della porta 853 in uscita per tutti tranne il resolver.
Il portatile che esce di casa può avere un profilo DoH proprio, attivo solo quando non è sulla rete domestica. Alcuni sistemi operativi consentono di impostarlo per rete.
Cosa non fa il DNS cifrato
È importante non sopravvalutarlo. Il DNS cifrato nasconde le domande DNS, ma il sito che visiti resta visibile al provider per altre vie: l'indirizzo IP di destinazione e, in molti casi, il nome del sito indicato durante l'apertura della connessione cifrata. Non è una VPN e non rende anonimi. È un tassello utile di riservatezza, soprattutto contro la raccolta sistematica dei nomi visitati e contro la manipolazione delle risposte.
Nel mio lavoro preferisco quasi sempre cifrare sul resolver di casa e mantenere i dispositivi semplici: si ottiene la stessa riservatezza verso l'esterno senza rinunciare alla visibilità su quello che succede in rete.
In sintesi
- DoT usa la porta 853 ed è riconoscibile; DoH viaggia sulla 443 come il web.
- In casa conviene cifrare sul resolver locale, che inoltra in DoT o DoH.
- DoH configurato nei singoli dispositivi scavalca filtro e nomi locali.
- Reindirizzare la porta 53 e bloccare la 853 limita i dispositivi che aggirano il resolver.
- Il DNS cifrato protegge le domande DNS, ma non sostituisce una VPN.
