Il Domain Name System (DNS) è da tempo una delle fonti di dati più preziose per l’intercettazione legale e l’intelligence di rete. Le query DNS rivelano quali siti web visita un utente, a quali servizi accede e quali applicazioni utilizza — il tutto senza richiedere l’accesso al contenuto della comunicazione stessa. Per decenni, il traffico DNS è stato trasmesso in chiaro, rendendolo facilmente accessibile all’intercettazione a livello di rete. L’emergere di protocolli DNS crittografati — DNS over HTTPS (DoH) e DNS over TLS (DoT) — sta cambiando radicalmente questo panorama, con implicazioni significative per le capacità di intercettazione legittima.
Questo articolo analizza il funzionamento dei protocolli DoH e DoT, i motivi per cui vengono adottati, il loro impatto sulle intercettazioni legittime e le misure che gli operatori possono adottare per adempiere ai propri obblighi di conformità in un contesto in cui il traffico DNS è sempre più crittografato.
La sfida del DNS crittografato per gli operatori
La risoluzione DNS tradizionale utilizza la porta UDP 53, trasmettendo query e risposte in chiaro. Chiunque abbia accesso al percorso di rete tra l'utente e il resolver DNS — inclusi l'operatore, gli elementi di rete intermedi e potenziali intercettatori — può osservare le query DNS e determinare quali nomi di dominio l'utente sta risolvendo.
Il DNS over TLS (DoT), definito nella RFC 7858, crittografa il traffico DNS avvolgendolo in una connessione TLS sulla porta TCP 853. Le query e le risposte DNS vengono crittografate durante il transito, impedendo che possano essere intercettate da intermediari. Tuttavia, l’uso di una porta dedicata (853) rende il traffico DoT identificabile a livello di rete: un osservatore può determinare che è in corso una risoluzione DNS, anche se il contenuto delle query è crittografato.
Il DNS over HTTPS (DoH), definito nella RFC 8484, porta la crittografia a un livello superiore incanalando il traffico DNS all’interno di connessioni HTTPS standard sulla porta TCP 443. Poiché il traffico DoH è indistinguibile dal normale traffico web HTTPS, è estremamente difficile identificarlo e bloccarlo a livello di rete. Il DoH nasconde efficacemente la risoluzione DNS all’interno dell’enorme volume di traffico web crittografato che attraversa le reti moderne.
Entrambi i protocolli sono stati progettati per proteggere la privacy degli utenti impedendo agli intermediari di rete di monitorare le query DNS. I principali produttori di browser — tra cui Mozilla Firefox e Google Chrome — hanno implementato il supporto per il DoH, e alcuni sistemi operativi ora supportano nativamente sia il DoH che il DoT. L'adozione del DNS crittografato sta accelerando, spinta dalla difesa della privacy, dalle impostazioni predefinite dei browser e dalla tendenza più ampia verso la crittografia di tutto il traffico di rete.
L'impatto sull'intercettazione legale
La crittografia del traffico DNS ha un impatto diretto e significativo sulle capacità di intercettazione legale. I dati relativi alle query DNS sono da sempre una componente fondamentale delle informazioni raccolte tramite intercettazione, fornendo agli investigatori una registrazione dettagliata dell’attività online del soggetto monitorato. Quando un soggetto visita un sito web, invia un’e-mail o utilizza un’applicazione, le corrispondenti query DNS rivelano i nomi di dominio coinvolti, anche quando il contenuto della comunicazione è crittografato.
Con DoH e DoT, gli operatori non possono più monitorare le query DNS a livello di rete se il dispositivo di destinazione è configurato per utilizzare un resolver DNS crittografato non gestito dall’operatore. Il processo di risoluzione DNS è crittografato end-to-end tra il dispositivo e il resolver, e le apparecchiature di rete dell’operatore non possono decrittografare le query senza avere accesso alle chiavi di sessione TLS.
Questa perdita di visibilità del DNS influisce sia sull’intercettazione in tempo reale che sull’analisi dei dati storici. Nell’intercettazione in tempo reale, l’IRI generato per la sessione dati di un bersaglio risulterà privo delle informazioni relative alle query DNS che in precedenza fornivano il contesto dell’attività online del bersaglio. Nell’analisi storica, l’assenza dei log DNS riduce la capacità dell’operatore di ricostruire la cronologia di navigazione e i modelli di utilizzo dei servizi da parte del bersaglio a partire dai dati conservati.
L’impatto è più grave quando il destinatario utilizza un resolver DoH di terze parti — come quelli gestiti da Cloudflare, Google o altri provider — anziché l’infrastruttura DNS dell’operatore stesso. In questo caso, le query DNS vengono risolte interamente al di fuori della rete dell’operatore, che non ha alcun accesso alle stesse. Se il destinatario utilizza il resolver DNS proprio dell’operatore con DoT o DoH, l’operatore mantiene l’accesso ai dati delle query a livello di resolver, ma non nei punti intermedi della rete.
Strategie di mitigazione per gli operatori
Gli operatori non possono impedire l’adozione del DNS crittografato, ma possono attuare strategie per mitigarne l’impatto sull’intercettazione legittima. La prima strategia consiste nel gestire i propri resolver DoH e DoT e nell’incoraggiare o obbligare i propri abbonati a utilizzare tali resolver. Se l’operatore controlla il resolver DNS, mantiene l’accesso ai dati delle query DNS, anche quando il trasporto tra il dispositivo e il resolver è crittografato. Questo approccio preserva la visibilità del DNS, fornendo al contempo agli abbonati i vantaggi in termini di privacy offerti dal DNS crittografato contro l’osservazione da parte di terzi.
La seconda strategia prevede l'utilizzo di fonti di dati alternative per ricostruire le informazioni che in precedenza venivano fornite dalle query DNS. La Server Name Indication (SNI) negli handshake TLS fornisce il nome di dominio del server a cui il client si sta connettendo, e questa informazione è stata tradizionalmente trasmessa in chiaro. Tuttavia, l’adozione dell’Encrypted Client Hello (ECH, precedentemente ESNI) sta iniziando a crittografare anche la SNI, riducendo ulteriormente la visibilità. L’analisi degli indirizzi IP può inoltre fornire alcune informazioni sui servizi a cui un bersaglio sta accedendo, ma l’uso diffuso delle reti di distribuzione dei contenuti (CDN) e dell’hosting condiviso fa sì che la corrispondenza tra IP e dominio sia spesso ambigua.
La terza strategia consiste nell’attuare l’intercettazione a livello di applicazione o a livello di dispositivo, anziché affidarsi esclusivamente ai dati a livello di rete. Questo approccio va oltre l’ambito delle intercettazioni tradizionali nel settore delle telecomunicazioni, ma viene attualmente valutato da alcune forze dell’ordine come risposta alla crescente crittografia del traffico di rete. Per gli operatori, questa non è una soluzione praticabile, ma rientra nel contesto più ampio in cui va inteso il DNS crittografato.
Una quarta strategia riguarda l’intervento normativo e politico. Alcuni governi hanno preso in considerazione o hanno già introdotto l’obbligo per gli operatori di bloccare l’accesso a resolver DNS di terze parti oppure di imporre l’uso dell’infrastruttura DNS propria dell’operatore. Questi approcci sono controversi e sollevano interrogativi in merito alla neutralità della rete, alla libertà degli utenti e alla fattibilità tecnica, ma rappresentano una risposta politica alla sfida posta dal DNS crittografato.
La tendenza generale verso una maggiore crittografia
Il DNS crittografato fa parte di una tendenza più ampia verso la crittografia di tutto il traffico di rete, guidata da preoccupazioni relative alla privacy, dalle migliori pratiche di sicurezza e dalle configurazioni predefinite delle principali piattaforme software. TLS 1.3, ECH, QUIC e altre tecnologie stanno progressivamente crittografando una parte sempre maggiore dei metadati e dei contenuti su cui si è tradizionalmente basata l’intercettazione a livello di rete. Ogni passo in questa direzione riduce la visibilità a disposizione degli operatori e, per estensione, quella delle attività di intercettazione legittime.
Gli operatori devono rendersi conto che la visibilità a livello di rete di cui hanno goduto in passato sta diminuendo e continuerà a diminuire. La risposta a questa tendenza non può essere puramente tecnica: richiede il coinvolgimento delle autorità di regolamentazione, degli organismi di normazione e delle forze dell'ordine per sviluppare nuovi approcci all'intercettazione legale che tengano conto delle realtà di un ambiente di rete fortemente crittografato.
Allo stesso tempo, gli operatori devono continuare a fornire tutti i dati di intercettazione che sono tecnicamente in grado di fornire. La crittografia del DNS non elimina l’obbligo legale dell’operatore di effettuare intercettazioni; modifica piuttosto l’ambito di ciò che può essere intercettato. Gli operatori devono essere trasparenti con le forze dell’ordine riguardo a tali limitazioni e devono garantire che i propri sistemi di intercettazione siano aggiornati per gestire adeguatamente la ridotta visibilità, generando IRI che riflettano accuratamente ciò che è disponibile, anziché produrre dati incompleti o fuorvianti.
Implicazioni in materia di conformità e rendicontazione
La perdita di visibilità sul DNS ha ripercussioni sulle modalità con cui gli operatori rendono conto delle proprie capacità di intercettazione e su come le autorità di regolamentazione valutano la conformità. Gli operatori dovrebbero comunicare in modo proattivo con la propria autorità nazionale di regolamentazione in merito all’impatto del DNS crittografato sulle proprie capacità di intercettazione, documentando gli elementi di dati specifici che non sono più disponibili e le misure che stanno adottando per mitigarne l’impatto.
Le autorità di regolamentazione di alcune giurisdizioni potrebbero dover aggiornare i propri requisiti tecnici e le proprie aspettative per tenere conto della realtà del DNS crittografato. Gli operatori possono svolgere un ruolo costruttivo in questo processo, fornendo competenze tecniche e approfondimenti pratici per orientare lo sviluppo della normativa. L’esito peggiore per tutte le parti sarebbe l’aspettativa normativa che gli operatori forniscano dati ai quali non sono tecnicamente in grado di accedere — una situazione che crea un rischio di non conformità senza apportare alcun valore alle indagini.
Conclusione
Il DNS crittografato rappresenta un cambiamento significativo nell’equilibrio tra privacy e capacità di sorveglianza nelle reti di telecomunicazione. I protocolli DoH e DoT tutelano la privacy degli utenti impedendo agli intermediari di rete di monitorare le query DNS, ma riducono anche la visibilità a disposizione dei sistemi di intercettazione legittimi. Gli operatori devono adeguarsi implementando i propri resolver DNS crittografati, sfruttando fonti di dati alternative, collaborando con le autorità di regolamentazione in merito ai requisiti in evoluzione e assicurando che i propri sistemi di intercettazione legale (LI) riflettano accuratamente i dati effettivamente disponibili. La tendenza verso una crittografia completa della rete è irreversibile e gli operatori che si adegueranno in modo proattivo saranno in una posizione migliore per mantenere la conformità e fornire un supporto significativo alle forze dell’ordine entro i limiti del panorama tecnico in continua evoluzione.
Il dibattito sul DNS crittografato mette inoltre in luce la tensione tra i diritti alla privacy dei singoli e le legittime esigenze delle forze dell’ordine. Trovare il giusto equilibrio richiede la collaborazione tra esperti di tecnologia, responsabili politici, società civile e forze dell’ordine. Gli operatori si trovano al crocevia di questi interessi e hanno la responsabilità unica di garantire che le capacità tecniche, gli obblighi legali e le misure di tutela della privacy siano allineati. Partecipando attivamente allo sviluppo di standard, alle consultazioni normative e ai forum di settore, gli operatori possono contribuire a definire soluzioni che rispettino la privacy, preservando al contempo la capacità delle società democratiche di condurre attività di sorveglianza legittime nel rispetto dello Stato di diritto.
Articoli correlati
Per ulteriori letture su argomenti correlati, esplorate questi articoli:
- Il network slicing nel 5G SA: come complica (e può semplificare) il targeting LI
- LI assistita dall'IA: cosa comporta l'automazione per gli operatori e i flussi di lavoro delle forze dell'ordine
- IRI vs CC: cosa significa in pratica l'informazione correlata alle intercettazioni
Risorse esterne
Le seguenti risorse esterne forniscono ulteriore contesto e documentazione ufficiale:
