{"id":2169,"date":"2026-08-12T08:00:00","date_gmt":"2026-08-12T07:00:00","guid":{"rendered":"https:\/\/ic-services.io\/?p=2169"},"modified":"2026-09-16T15:02:13","modified_gmt":"2026-09-16T14:02:13","slug":"dns-crittografato-doh-li-quali-sono-le-conseguenze","status":"publish","type":"post","link":"https:\/\/ic-services.io\/it\/resources\/blog\/encrypted-dns-doh-dot-li-impact\/","title":{"rendered":"DNS criptato (DoH\/DoT) e il suo impatto sulle capacit\u00e0 di intercettazione legale"},"content":{"rendered":"

The Domain Name System (DNS) has long been one of the most valuable data sources for lawful interception and network intelligence. DNS queries reveal which websites a user visits, which services they access, and which applications they use \u2014 all without requiring access to the content of the communication itself. For decades, DNS traffic has been transmitted in plaintext, making it readily accessible to network-level interception. The emergence of encrypted DNS protocols \u2014 DNS over HTTPS (DoH) and DNS over TLS (DoT) \u2014 is fundamentally changing this landscape, with significant implications for lawful interception capabilities<\/a>.<\/p>\n\n\n\n

Questo articolo analizza il funzionamento dei protocolli DoH e DoT, i motivi per cui vengono adottati, il loro impatto sulle intercettazioni legittime e le misure che gli operatori possono adottare per adempiere ai propri obblighi di conformit\u00e0 in un contesto in cui il traffico DNS \u00e8 sempre pi\u00f9 crittografato.<\/p>\n\n\n\n

La sfida del DNS crittografato per gli operatori<\/h2>\n\n\n\n

La risoluzione DNS tradizionale utilizza la porta UDP 53, trasmettendo query e risposte in chiaro. Chiunque abbia accesso al percorso di rete tra l'utente e il resolver DNS \u2014 inclusi l'operatore, gli elementi di rete intermedi e potenziali intercettatori \u2014 pu\u00f2 osservare le query DNS e determinare quali nomi di dominio l'utente sta risolvendo.<\/p>\n\n\n\n

Il DNS over TLS (DoT), definito nella RFC 7858, crittografa il traffico DNS avvolgendolo in una connessione TLS sulla porta TCP 853. Le query e le risposte DNS vengono crittografate durante il transito, impedendo che possano essere intercettate da intermediari. Tuttavia, l\u2019uso di una porta dedicata (853) rende il traffico DoT identificabile a livello di rete: un osservatore pu\u00f2 determinare che \u00e8 in corso una risoluzione DNS, anche se il contenuto delle query \u00e8 crittografato.<\/p>\n\n\n\n

Il DNS over HTTPS (DoH), definito nella RFC 8484, porta la crittografia a un livello superiore incanalando il traffico DNS all\u2019interno di connessioni HTTPS standard sulla porta TCP 443. Poich\u00e9 il traffico DoH \u00e8 indistinguibile dal normale traffico web HTTPS, \u00e8 estremamente difficile identificarlo e bloccarlo a livello di rete. Il DoH nasconde efficacemente la risoluzione DNS all\u2019interno dell\u2019enorme volume di traffico web crittografato che attraversa le reti moderne.<\/p>\n\n\n\n

Entrambi i protocolli sono stati progettati per proteggere la privacy degli utenti impedendo agli intermediari di rete di monitorare le query DNS. I principali produttori di browser \u2014 tra cui Mozilla Firefox e Google Chrome \u2014 hanno implementato il supporto per il DoH, e alcuni sistemi operativi ora supportano nativamente sia il DoH che il DoT. L'adozione del DNS crittografato sta accelerando, spinta dalla difesa della privacy, dalle impostazioni predefinite dei browser e dalla tendenza pi\u00f9 ampia verso la crittografia di tutto il traffico di rete.<\/p>\n\n\n\n

L'impatto sull'intercettazione legale<\/h2>\n\n\n\n

La crittografia del traffico DNS ha un impatto diretto e significativo sulle capacit\u00e0 di intercettazione legale. I dati relativi alle query DNS sono da sempre una componente fondamentale delle informazioni raccolte tramite intercettazione, fornendo agli investigatori una registrazione dettagliata dell\u2019attivit\u00e0 online del soggetto monitorato. Quando un soggetto visita un sito web, invia un\u2019e-mail o utilizza un\u2019applicazione, le corrispondenti query DNS rivelano i nomi di dominio coinvolti, anche quando il contenuto della comunicazione \u00e8 crittografato.<\/p>\n\n\n\n

Con DoH e DoT, gli operatori non possono pi\u00f9 monitorare le query DNS a livello di rete se il dispositivo di destinazione \u00e8 configurato per utilizzare un resolver DNS crittografato non gestito dall\u2019operatore. Il processo di risoluzione DNS \u00e8 crittografato end-to-end tra il dispositivo e il resolver, e le apparecchiature di rete dell\u2019operatore non possono decrittografare le query senza avere accesso alle chiavi di sessione TLS.<\/p>\n\n\n\n

This loss of DNS visibility affects both real-time interception and historical data analysis. In real-time interception, the IRI generated for a target’s data session will lack the DNS query information that previously provided context about the target’s online activity. In historical analysis, the absence of DNS logs reduces the operator’s ability to reconstruct a target’s browsing history and service usage patterns from retained data<\/a>.<\/p>\n\n\n\n

L\u2019impatto \u00e8 pi\u00f9 grave quando il destinatario utilizza un resolver DoH di terze parti \u2014 come quelli gestiti da Cloudflare, Google o altri provider \u2014 anzich\u00e9 l\u2019infrastruttura DNS dell\u2019operatore stesso. In questo caso, le query DNS vengono risolte interamente al di fuori della rete dell\u2019operatore, che non ha alcun accesso alle stesse. Se il destinatario utilizza il resolver DNS proprio dell\u2019operatore con DoT o DoH, l\u2019operatore mantiene l\u2019accesso ai dati delle query a livello di resolver, ma non nei punti intermedi della rete.<\/p>\n\n\n\n

Strategie di mitigazione per gli operatori<\/h2>\n\n\n\n

Gli operatori non possono impedire l\u2019adozione del DNS crittografato, ma possono attuare strategie per mitigarne l\u2019impatto sull\u2019intercettazione legittima. La prima strategia consiste nel gestire i propri resolver DoH e DoT e nell\u2019incoraggiare o obbligare i propri abbonati a utilizzare tali resolver. Se l\u2019operatore controlla il resolver DNS, mantiene l\u2019accesso ai dati delle query DNS, anche quando il trasporto tra il dispositivo e il resolver \u00e8 crittografato. Questo approccio preserva la visibilit\u00e0 del DNS, fornendo al contempo agli abbonati i vantaggi in termini di privacy offerti dal DNS crittografato contro l\u2019osservazione da parte di terzi.<\/p>\n\n\n\n

La seconda strategia prevede l'utilizzo di fonti di dati alternative per ricostruire le informazioni che in precedenza venivano fornite dalle query DNS. La Server Name Indication (SNI) negli handshake TLS fornisce il nome di dominio del server a cui il client si sta connettendo, e questa informazione \u00e8 stata tradizionalmente trasmessa in chiaro. Tuttavia, l\u2019adozione dell\u2019Encrypted Client Hello (ECH, precedentemente ESNI) sta iniziando a crittografare anche la SNI, riducendo ulteriormente la visibilit\u00e0. L\u2019analisi degli indirizzi IP pu\u00f2 inoltre fornire alcune informazioni sui servizi a cui un bersaglio sta accedendo, ma l\u2019uso diffuso delle reti di distribuzione dei contenuti (CDN) e dell\u2019hosting condiviso fa s\u00ec che la corrispondenza tra IP e dominio sia spesso ambigua.<\/p>\n\n\n\n

The third strategy is to implement interception at the application layer or at the device level, rather than relying solely on network-level data. This approach is beyond the scope of traditional telecommunications interception but is being explored by some forze dell'ordine<\/a> as a response to the increasing encryption of network traffic. For operators, this is not a practical solution, but it is part of the broader context in which encrypted DNS should be understood.<\/p>\n\n\n\n

Una quarta strategia riguarda l\u2019intervento normativo e politico. Alcuni governi hanno preso in considerazione o hanno gi\u00e0 introdotto l\u2019obbligo per gli operatori di bloccare l\u2019accesso a resolver DNS di terze parti oppure di imporre l\u2019uso dell\u2019infrastruttura DNS propria dell\u2019operatore. Questi approcci sono controversi e sollevano interrogativi in merito alla neutralit\u00e0 della rete, alla libert\u00e0 degli utenti e alla fattibilit\u00e0 tecnica, ma rappresentano una risposta politica alla sfida posta dal DNS crittografato.<\/p>\n\n\n\n

La tendenza generale verso una maggiore crittografia<\/h2>\n\n\n\n

Il DNS crittografato fa parte di una tendenza pi\u00f9 ampia verso la crittografia di tutto il traffico di rete, guidata da preoccupazioni relative alla privacy, dalle migliori pratiche di sicurezza e dalle configurazioni predefinite delle principali piattaforme software. TLS 1.3, ECH, QUIC e altre tecnologie stanno progressivamente crittografando una parte sempre maggiore dei metadati e dei contenuti su cui si \u00e8 tradizionalmente basata l\u2019intercettazione a livello di rete. Ogni passo in questa direzione riduce la visibilit\u00e0 a disposizione degli operatori e, per estensione, quella delle attivit\u00e0 di intercettazione legittime.<\/p>\n\n\n\n

Gli operatori devono rendersi conto che la visibilit\u00e0 a livello di rete di cui hanno goduto in passato sta diminuendo e continuer\u00e0 a diminuire. La risposta a questa tendenza non pu\u00f2 essere puramente tecnica: richiede il coinvolgimento delle autorit\u00e0 di regolamentazione, degli organismi di normazione e delle forze dell'ordine per sviluppare nuovi approcci all'intercettazione legale che tengano conto delle realt\u00e0 di un ambiente di rete fortemente crittografato.<\/p>\n\n\n\n

Allo stesso tempo, gli operatori devono continuare a fornire tutti i dati di intercettazione che sono tecnicamente in grado di fornire. La crittografia del DNS non elimina l\u2019obbligo legale dell\u2019operatore di effettuare intercettazioni; modifica piuttosto l\u2019ambito di ci\u00f2 che pu\u00f2 essere intercettato. Gli operatori devono essere trasparenti con le forze dell\u2019ordine riguardo a tali limitazioni e devono garantire che i propri sistemi di intercettazione siano aggiornati per gestire adeguatamente la ridotta visibilit\u00e0, generando IRI che riflettano accuratamente ci\u00f2 che \u00e8 disponibile, anzich\u00e9 produrre dati incompleti o fuorvianti.<\/p>\n\n\n\n

Implicazioni in materia di conformit\u00e0 e rendicontazione<\/h2>\n\n\n\n

La perdita di visibilit\u00e0 sul DNS ha ripercussioni sulle modalit\u00e0 con cui gli operatori rendono conto delle proprie capacit\u00e0 di intercettazione e su come le autorit\u00e0 di regolamentazione valutano la conformit\u00e0. Gli operatori dovrebbero comunicare in modo proattivo con la propria autorit\u00e0 nazionale di regolamentazione in merito all\u2019impatto del DNS crittografato sulle proprie capacit\u00e0 di intercettazione, documentando gli elementi di dati specifici che non sono pi\u00f9 disponibili e le misure che stanno adottando per mitigarne l\u2019impatto.<\/p>\n\n\n\n

Le autorit\u00e0 di regolamentazione di alcune giurisdizioni potrebbero dover aggiornare i propri requisiti tecnici e le proprie aspettative per tenere conto della realt\u00e0 del DNS crittografato. Gli operatori possono svolgere un ruolo costruttivo in questo processo, fornendo competenze tecniche e approfondimenti pratici per orientare lo sviluppo della normativa. L\u2019esito peggiore per tutte le parti sarebbe l\u2019aspettativa normativa che gli operatori forniscano dati ai quali non sono tecnicamente in grado di accedere \u2014 una situazione che crea un rischio di non conformit\u00e0 senza apportare alcun valore alle indagini.<\/p>\n\n\n\n

Conclusione<\/h2>\n\n\n\n

Il DNS crittografato rappresenta un cambiamento significativo nell\u2019equilibrio tra privacy e capacit\u00e0 di sorveglianza nelle reti di telecomunicazione. I protocolli DoH e DoT tutelano la privacy degli utenti impedendo agli intermediari di rete di monitorare le query DNS, ma riducono anche la visibilit\u00e0 a disposizione dei sistemi di intercettazione legittimi. Gli operatori devono adeguarsi implementando i propri resolver DNS crittografati, sfruttando fonti di dati alternative, collaborando con le autorit\u00e0 di regolamentazione in merito ai requisiti in evoluzione e assicurando che i propri sistemi di intercettazione legale (LI) riflettano accuratamente i dati effettivamente disponibili. La tendenza verso una crittografia completa della rete \u00e8 irreversibile e gli operatori che si adegueranno in modo proattivo saranno in una posizione migliore per mantenere la conformit\u00e0 e fornire un supporto significativo alle forze dell\u2019ordine entro i limiti del panorama tecnico in continua evoluzione.<\/p>\n\n\n

Il dibattito sul DNS crittografato mette inoltre in luce la tensione tra i diritti alla privacy dei singoli e le legittime esigenze delle forze dell\u2019ordine. Trovare il giusto equilibrio richiede la collaborazione tra esperti di tecnologia, responsabili politici, societ\u00e0 civile e forze dell\u2019ordine. Gli operatori si trovano al crocevia di questi interessi e hanno la responsabilit\u00e0 unica di garantire che le capacit\u00e0 tecniche, gli obblighi legali e le misure di tutela della privacy siano allineati. Partecipando attivamente allo sviluppo di standard, alle consultazioni normative e ai forum di settore, gli operatori possono contribuire a definire soluzioni che rispettino la privacy, preservando al contempo la capacit\u00e0 delle societ\u00e0 democratiche di condurre attivit\u00e0 di sorveglianza legittime nel rispetto dello Stato di diritto.<\/p>\n\n\n\n

Articoli correlati<\/h2>\n\n\n\n

Per ulteriori letture su argomenti correlati, esplorate questi articoli:<\/p>\n\n\n\n