Cos’è DNS over HTTPS?
Prima di collegarsi a un sito, il telefono chiede a un server DNS l’indirizzo del sito (vedi cos’è il DNS). DNS over HTTPS, o DoH, invia quella domanda dentro una normale connessione HTTPS, lo stesso canale crittografato che protegge le pagine di home banking. È definito nella RFC 8484: la domanda DNS viaggia in una richiesta HTTPS verso un indirizzo come https://example-resolver.test/dns-query.
Il risultato è la stessa risposta di prima. Cambia il fatto che il percorso tra il telefono e il server DNS è crittografato.
Qual è la differenza tra DNS semplice, DoT e DoH?
| DNS semplice | DNS over TLS (DoT) | DNS over HTTPS (DoH) | |
|---|---|---|---|
| Crittografato | No | Sì | Sì |
| Porta | 53 | 853 | 443 (la stessa del web) |
| Aspetto sulla rete | Pacchetti DNS leggibili | Connessione TLS su una porta dedicata | Sembra normale HTTPS |
| Dove lo incontri | Predefinito sulla maggior parte delle reti | DNS privato di Android | Browser, app, EZOBLOCKER |
La porta dedicata del DoT a volte è bloccata su reti aziendali, di hotel e su alcune reti mobili. Il DoH usa la stessa porta delle pagine web, quindi raramente viene bloccato senza bloccare anche il web.
Perché il DNS crittografato conta?
Il DNS semplice è leggibile da chiunque si trovi sul percorso: il proprietario del Wi-Fi, l’operatore di rete o chi condivide un hotspot pubblico. L’elenco dei nomi che il telefono richiede dice molto su ciò che fai. Le risposte del DNS semplice possono anche essere modificate lungo la strada, per esempio per mandarti a un indirizzo sbagliato.
La crittografia affronta entrambi i problemi: le domande non si possono leggere lungo il percorso, e la risposta è protetta dalla manomissione in transito. Non rende cieco il server DNS stesso, quindi conta chi è il server e cosa conserva.
Come usa il DoH EZOBLOCKER?
EZOBLOCKER avvia un piccolo tunnel locale sul telefono. Il tunnel intercetta le richieste DNS e le inoltra, crittografate con DoH, ai server di EZOBLOCKER. I server rispondono normalmente per i siti che puoi aprire e danno una risposta di blocco per le categorie che hai attivato, per esempio pubblicità, tracker, gioco d’azzardo o siti per adulti. Il filtraggio avviene sui server, prima che qualcosa si carichi.
Cosa viene e cosa non viene inviato:
- Il telefono invia ai server solo richieste DNS. Pagine, messaggi e video non passano da loro.
- I server non conservano nessuna registrazione dei siti che visiti. Di te sanno soltanto un ID dispositivo anonimo, le categorie scelte, gli indirizzi del tuo elenco e lo stato dell’abbonamento.
- Se i server non sono raggiungibili, i nomi dei siti possono andare per un breve periodo a servizi DNS pubblici noti come Cloudflare o Quad9, perché internet non si interrompa.
Per questo il sistema mostra un’icona VPN: la funzione VPN del telefono è l’unico modo in cui un’app può intercettare le richieste DNS. Non instrada il tuo traffico attraverso un server VPN. Vedi la pagina sulla privacy per i dettagli.
Posso scegliere un altro provider DoH in EZOBLOCKER?
Sì. In Avanzate > Provider DNS puoi scegliere un provider pubblico o digitare un tuo indirizzo DoH, che deve iniziare con https://. In quella modalità le tue richieste vanno a quel provider e le categorie di EZOBLOCKER non si applicano. Una tabella dei provider e dei loro indirizzi DoH è nella guida ai server DNS famiglia.
In cosa è diverso dal DNS privato di Android?
Il DNS privato di Android usa il DoT con un nome host. Se lì è digitato un nome host, ha la precedenza sul filtro di EZOBLOCKER, quindi deve essere su Disattivato o Automatico mentre usi l’app. I passaggi sono in come impostare il DNS privato su Android.
Per confermare che le tue richieste passino dal filtro, apri la verifica della protezione. La pagina su come cambiare DNS offre il quadro generale.