Cloudflare annunciato il supporto per Oblivious DoH, un nuovo standard DNS proposto all’IETF, i cui autori sono ingegneri della stessa Cloudflare, di Apple e Fastly, che separa gli indirizzi IP dalle query, in modo che nessuna singola entità possa vederli entrambi contemporaneamente.
L’azienda ha anche reso disponibile il codice sorgente in modo che chiunque possa provare o eseguire il proprio servizio ODoH.
Il Domain Name System (DNS), hanno spiegato gli ingegneri di Cloudflare, rappresenta le fondamenta di una rete Internet utilizzabile dagli esseri umani. Questo sistema mappa i nomi di dominio utilizzabili, come ad esempio cloudflare.com, agli indirizzi IP e ad altre informazioni necessarie per connettersi a quel dominio.
Nella progettazione iniziale e nell’uso ancora dominante del DNS, le query vengono inviate in chiaro. Ciò significa che chiunque si trovi sul percorso di rete tra il dispositivo e il DNS resolver può vedere sia la query che contiene il nome host (o sito web) desiderato, sia l’indirizzo IP che identifica il dispositivo.
Per salvaguardare il DNS da chi guarda e da terzi, IETF ha standardizzato la crittografia DNS con DNS over HTTPS (DoH) e DNS over TLS (DoT). Entrambi i protocolli impediscono che le query vengano intercettate, reindirizzate o modificate tra il client e il resolver.
Il supporto da parte dei client per DoT e DoH è in crescita, essendo stato implementato nelle recenti versioni di Firefox, iOS e altro ancora. Anche così, sottolinea l’azienda, fino a quando non ci sarà una più ampia diffusione tra gli Internet service provider, Cloudflare rimane uno dei pochi fornitori ad offrire un servizio pubblico DoH/DoT.
Questo stato di cose ha sollevato due preoccupazioni principali. Una è che la centralizzazione del DNS introduce singoli points of failure (anche se, con data center in più di 100 paesi, Cloudflare è progettato per essere sempre raggiungibile, chiarisce a tal proposito l’azienda). L’altra preoccupazione è che il resolver possa ancora collegare tutte le query agli indirizzi IP dei client.
Cloudflare, come fornitore di servizi di rete, è consapevole dell’importanza del garantire la privacy dell’utente finale. Per tale motivo, e alla luce di queste considerazioni, Cloudflare e i suoi partner stanno lanciando ora il supporto per un protocollo che risponde esattamente a questa preoccupazione: Oblivious DNS over HTTPS, o, in breve, ODoH.
ODoH è un protocollo emergente in fase di sviluppo presso l’IETF: funziona aggiungendo un livello di crittografia a chiave pubblica, così come un proxy di rete tra client e server DoH, come 1.1.1.1. La combinazione di questi due elementi addizionali garantisce che solo l’utente abbia accesso sia ai messaggi DNS che al proprio indirizzo IP contemporaneamente.
Il lancio del protocollo ODoH avviene ora con diversi partner a loro volta impegnati sul tema della privacy. Una componente chiave di ODoH è un proxy disgiunto dal target resolver e il lancio iniziale di Oblivious DoH avviene per l’appunto con diversi specialisti di quest’ambito, tra cui PCCW, SURF ed Equinix.
Cloudflare ha condiviso con il pubblico anche i dettagli sul funzionamento del nuovo protocollo Oblivious DoH.
