DNS su HTTPS e TLS: Configurazione in ogni browser e OS

Prima che il tuo browser possa caricare un sito, chiede a un risolutore DNS di trasformare un dominio come example.com in un indirizzo IP. Tradizionalmente, quella ricerca avviene in testo semplice, quindi il tuo ISP, l'operatore di rete o chiunque stia monitorando la connessione può leggere ogni dominio che visiti — anche quando la pagina stessa è HTTPS. Il DNS è una delle più grandi perdite di privacy rimaste nella navigazione ordinaria.

DNS su HTTPS (DoH) e DNS su TLS (DoT) risolvono entrambi questo problema crittografando la query tra te e il risolutore. La differenza pratica: DoH invia il DNS all'interno di un normale HTTPS sulla porta 443, quindi si mescola con il traffico web ed è difficile da bloccare o distinguere; DoT utilizza una porta dedicata (853), che è architettonicamente più pulita ma più facile da individuare e bloccare per una rete. I browser favoriscono DoH; i sistemi operativi supportano entrambi. Puoi testare cosa vede il tuo risolutore con lo strumento DNS.

Il DNS crittografato nasconde quali domini stai cercando al tuo ISP e agli osservatori in transito, e ferma la manomissione basata su DNS. Questo è un vero guadagno in termini di privacy e integrità. Ma sii chiaro sui suoi limiti: il tuo risolutore scelto vede ancora le tue query, quindi stai spostando la fiducia dal tuo ISP a quel fornitore — scegli uno con una forte politica sulla privacy. Non nasconde nemmeno l'IP di destinazione a cui ti connetti, e il TLS SNI può ancora rivelare il nome host a meno che Encrypted Client Hello non sia in uso.

Come si collega a una VPN: una VPN configurata correttamente instrada già il tuo DNS attraverso il proprio risolutore all'interno del tunnel crittografato, quindi il tuo ISP non vede né il tuo DNS né il tuo traffico. Ecco perché controllare la presenza di una perdita di DNS è importante: se le ricerche sfuggono al tunnel verso il risolutore del tuo ISP, la crittografia sul resto del tuo traffico è compromessa. DoH/DoT e una VPN sono complementari: il DNS crittografato protegge le ricerche su qualsiasi rete; una VPN protegge l'intera connessione e il suo DNS insieme.