DNS-OVER-HTTPS VS FILTRI WEB
Perchè oggi i filtri web non sono piiù sufficienti: il ruolo del DNS-over-HTTPS.
INTRODUZIONE
Negli ultimi anni sempre più utenti, aziende e istituzioni utilizzano sistemi di filtraggio dei contenuti web (content filtering) o strumenti come AdBlock per bloccare l'accesso a siti considerati inappropriati, pericolosi o semplicemente indesiderati. Tuttavia, esiste una tecnologia che spesso non viene presa in considerazione quando si parla di blocchi e filtri: il DNS-over-HTTPS (DoH). La sua diffusione sta cambiando profondamente il modo in cui il traffico internet viene risolto e, di conseguenza, anche l'efficacia di molti sistemi di filtraggio tradizionali.
COS'È IL DNS E PERCHÈ È IMPORTANTE
Quando digiti un indirizzo come www.esempio.com, il tuo dispositivo non accede direttamente a quel nome, ma ha bisogno di tradurlo in un indirizzo IP.
Questa traduzione avviene tramite il DNS (Domain Name System), una sorta di "rubrica telefonica" di internet.
Tradizionalmente, queste richieste DNS sono:
- Non sono criptate
- Possono essere monitorate
- Possono essere filtrate o modificate da provider, firewall o sistemi aziendali
I sistemi di blocco web si basano spesso proprio su questo passaggio per impedire l'accesso a determinati siti.
COS'È IL DNS-OVER-HTTPS
Il DNS-over-HTTPS (DoH) è un protocollo che cifra le richieste DNS e le invia attraverso una connessione HTTPS sicura.
In pratica:
- Invece di inviare le richieste DNS in chiaro
- Le richieste vengono "nascoste" dentro il traffico HTTPS (lo stesso usato per i siti sicuri)
Questo rende molto più difficile:
- Intercettare le richieste DNS
- Manipolare la risoluzione dei domini
- Applicare blocchi basati esclusivamente sul DNS
PERCHÈ I FILTRI NON BASTANO PIÙ
Molti sistemi di filtraggio si basano ancora su:
Blocco DNS
Liste di Domini (Blacklist)
Proxy Locali
Con il DNS-over-HTTPS:
Traffico nascosto
Il DNS è integrato nel traffico HTTPS.
Aggiornamenti Automatici
Browser moderni attivano DoH senza che l'utente lo sappia.
Filtri inefficaci
le policy aziendali o familiari possono risultare inefficaci
COSA STA SUCCEDENDO NELLE RETI REALI
AZIENDA
Un'azienda utilizza un DNS filtering interno per bloccare social network e streaming.
Problema osservato:
- utenti installano browser moderni (Chrome, Firefox, Edge)
- DoH viene attivato automaticamente o tramite impostazioni predefinite
- Maggiore sicurezza su reti pubbliche
- il traffico DNS bypassa completamente il DNS aziendale
Risultato:
- accesso ai siti precedentemente bloccati
- perdita di controllo sulle policy di navigazione
SCUOLA
In alcune reti scolastiche il filtraggio è basato su DNS provider centralizzati.
Problema:
- dispositivi personali degli studenti (BYOD) utilizzano DoH integrato
- app e browser moderni ignorano il DNS locale
Risultato:
- contenuti precedentemente filtrati diventano accessibili
- necessità di passare a firewall con inspection del traffico HTTPS
AMBIENTI DOMESTICI
Molti router consumer offrono "parental control" basato su DNS filtering.
Problema osservato:
- dispositivi mobili utilizzano DoH nativo
- alcune app (browser, VPN-like DNS resolver) forzano DNS cifrato
Risultato:
- bypass dei controlli parentali senza modifiche al router
IMPLICAZIONI
L'introduzione del DoH ha due facce:
VANTAGGI
- Maggiore privacy per l'utente
- Protezione contro intercettazioni DNS
- Maggiore sicurezza su reti pubbliche
CRITICITA
- Riduzione del controllo su reti aziendali
- Possibile aggiramento di filtri di sicurezza
- Necessità di strumenti più avanzati (firewall L7, endpoint security)
COME STANNO REAGENDO LE AZIENDE
Per contrastare queste limitazioni, molte organizzazioni stanno adottando:
- Firewall di nuova generazione (NGFW)
- Sistemi di controllo del traffico HTTPS
- Endpoint protection avanzata
- Politiche di rete centralizzate
CONCLUSIONE
Il DNS-over-HTTPS rappresenta un'evoluzione importante per la privacy e la sicurezza, ma allo stesso tempo rende meno efficaci i tradizionali sistemi di blocco web basati su DNS e filtri semplici. Per questo motivo, oggi è fondamentale comprendere che il controllo dei contenuti online richiede strumenti più moderni e una strategia di sicurezza multilivello.