Lezione 2 di 4 · 6 min

Chi vede le tue ricerche DNS

Una ricerca DNS semplice viaggia non cifrata. Ecco esattamente chi è nella posizione di leggerla, e perché questo conta anche su un sito HTTPS.

La lezione precedente ha seguito una ricerca DNS dal tuo Mac a un resolver e ritorno. Quel viaggio non è privato per impostazione predefinita. Il Centro di apprendimento di Cloudflare è diretto al riguardo: “per impostazione predefinita, le query e le risposte DNS vengono inviate in chiaro (via UDP), il che significa che possono essere lette da reti, ISP, o chiunque sia in grado di monitorare le trasmissioni. Anche se un sito web usa HTTPS, la query DNS necessaria per navigare verso quel sito web è esposta.”

Pensa a una normale query DNS non cifrata come a una cartolina inviata per posta: chiunque maneggi la posta potrebbe intravedere il testo scritto sul retro.
Centro di apprendimento di Cloudflare

Chi è nella posizione di leggere quella cartolina

Una ricerca DNS semplice, senza cifratura. La prossima lezione tratta cosa cambia cifrandola.
Chi	Cosa può tipicamente vedere	Perché
Chi gestisce il Wi-Fi o la rete locale (un bar, un ufficio, un aeroporto)	I nomi dei siti che il tuo dispositivo cerca mentre è connesso	Una query DNS in chiaro non è cifrata, quindi chiunque osservi la rete locale può leggerla
Il tuo provider internet (ISP), se usi il suo resolver predefinito	Ogni nome di sito che il tuo dispositivo cerca, collegato al tuo account	Il resolver dell’ISP risponde direttamente alla query
Un resolver di terze parti (ad es. un servizio DNS pubblico), se sei passato a uno	Le stesse ricerche, invece del tuo ISP	Qualcuno risponde sempre alla query; cambiare resolver sposta la visibilità, non la elimina

Quest’ultima riga conta ed è spesso trascurata: allontanarsi dal resolver di un ISP non rende privato il DNS, ne sposta la visibilità. L’Electronic Frontier Foundation lo dice chiaramente parlando del blocco basato su DNS: “il tuo nuovo provider DNS otterrà le informazioni sulla tua attività di navigazione che un tempo aveva il tuo ISP, il che può essere un problema di privacy.” Qualcuno risponde a ogni ricerca; la domanda è chi, e cosa fa di quel registro.

Perché una ricerca di nome conta anche con HTTPS

HTTPS cifra il contenuto di una pagina e il percorso esatto che richiedi su un sito, ma non cifra la ricerca DNS che avviene prima, per trovare l’indirizzo di quel sito in primo luogo. Quindi anche su una connessione completamente cifrata, la sequenza dei nomi di siti che il tuo dispositivo ha cercato, e quando, è spesso visibile a chi osserva la rete o gestisce il resolver, il che è esattamente il tipo di metadati descritto nel corso introduttivo di questa università: non il contenuto di ciò che leggi, ma un registro di dove sei andato.

Controllare quale resolver è configurato su un Mac

$ scutil --dns
DNS configuration

resolver #1
  nameserver[0] : 127.0.2.2
  nameserver[1] : 127.0.2.3
  ...

scutil --dns elenca il resolver (o i resolver) a cui il tuo Mac invia attualmente le ricerche per ogni tipo di rete a cui è connesso. È un primo controllo utile prima di presumere chi possa vedere le tue ricerche: la risposta dipende interamente da quale resolver è configurato, e sulle connessioni ISP, Wi-Fi e VPN può cambiare senza che tu te ne accorga.

Da ricordare

Una ricerca DNS semplice viaggia non cifrata, quindi chiunque possa osservare il percorso di rete, il proprietario del Wi-Fi, l’ISP, può leggerla.
HTTPS cifra il contenuto e i percorsi delle pagine, ma non la ricerca DNS che trova per prima l’indirizzo del sito.
Passare a un resolver DNS diverso sposta chi vede le tue ricerche; non rende privata la ricerca in sé.
Il registro dei siti che hai cercato, e quando, è un metadato che può contare anche senza il contenuto di ciò che leggi.
Puoi controllare quale resolver sta usando il tuo Mac con `scutil --dns`.

Mettiti alla prova

1. Perché il proprietario di una rete Wi-Fi di un bar può tipicamente vedere quali siti hai cercato?
- Perché possiede il tuo dispositivo
- Perché una query DNS semplice viaggia in chiaro sulla rete locale per impostazione predefinita — Esatto.
- Perché HTTPS condivide questa informazione con i proprietari del Wi-Fi
- Non possono vederlo in nessuna circostanza
Cloudflare nota che le query DNS vengono inviate in chiaro per impostazione predefinita, leggibili da “reti, ISP, o chiunque sia in grado di monitorare le trasmissioni.”
2. Visitare un sito HTTPS nasconde la ricerca DNS che ne trova l’indirizzo?
- Sì, HTTPS cifra anche la ricerca DNS
- No, la ricerca DNS che avviene per prima è esposta anche quando il sito stesso usa HTTPS — Esatto.
- Solo per i domini .com
- Solo se viene usata anche una VPN
Cloudflare afferma chiaramente che “anche se un sito web usa HTTPS, la query DNS necessaria per navigare verso quel sito web è esposta.”
3. Se passi dal resolver del tuo ISP a un resolver DNS pubblico diverso, cosa cambia sulla privacy?
- Le tue ricerche diventano completamente private per tutti
- La visibilità si sposta verso il nuovo operatore del resolver invece di sparire — Esatto.
- Non cambia assolutamente nulla
- Il tuo ISP non può più vedere nessuno dei tuoi traffici
L’EFF nota che un nuovo provider DNS “otterrà le informazioni sulla tua attività di navigazione che un tempo aveva il tuo ISP” — la visibilità si sposta invece di svanire.

Mettilo in pratica con FireAI

Metti in pratica questa lezione sul tuo Mac.

Fonti

Mettilo in pratica sul tuo Mac

Prova tutte le funzioni gratis per 17 giorni, senza carta.

Scarica per Mac Guide