Cosa vede davvero il tuo provider quando usi il DNS cifrato

Chi segue questi temi da un po’ ha probabilmente già impostato un DNS cifrato (DNS over HTTPS o DNS over TLS), magari seguendo la nostra guida ai DNS privati. È una buona scelta, ma in giro si legge spesso che basti questo a rendere invisibili al proprio ISP, cioè il provider con cui ci si collega a internet (TIM, Fastweb, Iliad e così via). Purtroppo non è così.

A mostrarlo in modo molto concreto è David Bombal, youtuber che si occupa di reti e sicurezza: in un video di circa mezz’ora collega un dispositivo che “intercetta” il cavo di rete, apre Wireshark (il programma che permette di vedere tutto il traffico che passa) e fa vedere passo passo cosa riesce a leggere chi sta in mezzo alla connessione. Proprio come il vostro provider.

Il problema: il nome del sito viaggia in chiaro

Il DNS è l’“elenco telefonico” di internet: trasforma un nome come lealternative.it nell’indirizzo numerico del server. Cifrarlo nasconde al provider la domanda che il vostro dispositivo fa all’elenco. Fin qui tutto bene.

Il punto è che subito dopo il browser si collega al sito, e all’inizio della connessione, prima che la cifratura vera e propria sia attiva, manda un primo messaggio di saluto al server. Dentro c’è un campo chiamato SNI (Server Name Indication) che contiene il nome del sito che si vuole raggiungere, leggibile da chiunque osservi il traffico. Serve perché sullo stesso server possono convivere tanti siti diversi, e il server deve sapere quale gli stiamo chiedendo.

Nel video si vede benissimo: anche con il DNS cifrato di Google o Cloudflare, e con le versioni più recenti dei protocolli di sicurezza, nomi come Microsoft, Cisco, Nvidia o ChatGPT compaiono uno dopo l’altro. Il contenuto delle pagine resta protetto, ma quali siti visitate no.

ECH: un passo avanti, ma non basta

Esiste una soluzione pensata proprio per questo: si chiama ECH (Encrypted Client Hello) e cifra anche quel primo messaggio di saluto. Nella dimostrazione di Bombal, i siti che lo usano mostrano all’esterno solo un nome generico, cloudflare-ech.com, al posto di quello vero.

Firefox e Chrome lo supportano già, e qui c’è una buona notizia per chi usa il DNS cifrato: in Firefox, per esempio, ECH funziona solo se il DNS cifrato è attivo. Quindi no, non avete impostato una cosa inutile.

I limiti però ci sono: non tutti i siti supportano ECH (oggi lo usano soprattutto quelli che passano da Cloudflare) e, anche quando c’è, il provider vede comunque l’indirizzo IP a cui vi collegate. Per i siti piccoli, che hanno un server tutto loro, quell’indirizzo può bastare a capire dove state andando.

La soluzione più pratica: una VPN

Nella parte finale del video Bombal attiva una VPN e ripete le stesse prove: i nomi dei siti spariscono e al loro posto c’è solo traffico cifrato diretto verso il server della VPN. Il provider vede che vi collegate a una VPN, quando e quanti dati passano, ma non più quali siti visitate.

Nel video viene usata Proton VPN, ma il discorso vale per qualunque VPN seria. Attenzione però: una VPN non vi rende invisibili, sposta la fiducia dal provider internet al gestore della VPN, che a quel punto vede quello che prima vedeva il provider. Per questo va scelta con cura: niente registri delle attività (e possibilmente audit indipendenti che lo confermino), una storia pulita e un modello di business chiaro. Mullvad, per esempio, non chiede nemmeno un indirizzo email per creare un account. Le VPN che consigliamo, e i criteri con cui le scegliamo, le trovate nell’articolo Quale VPN scegliere?. E se non siete sicuri di averne bisogno, c’è un test che aiuta a capirlo.

Il video

Il video, pubblicato il 17 aprile, è in inglese ma i sottotitoli automatici si possono tradurre in italiano. Se avete poco tempo, saltate direttamente alle catture con Wireshark: vedere scorrere in chiaro i nomi dei siti visitati convince più di qualsiasi spiegazione.