8. Considerazioni sulla privacy (Privacy Considerations)
8.1. Sul collegamento (On the Wire)
Questa specifica consente di trasmettere query e risposte DNS tramite HTTP cifrato [RFC2818]. Ciò fornisce protezione contro osservatori passivi, impedendo loro di vedere il contenuto delle query e delle risposte DNS.
Tuttavia, il fatto che la comunicazione sia cifrata non significa, da solo, che la privacy del client DoH sia protetta. Ad esempio, se un attaccante sa che un client DoH interroga normalmente solo certi tipi di nomi di dominio, potrebbe dedurre che il client sta visitando quel tipo di siti anche senza vedere il contenuto specifico della query. Allo stesso modo, la dimensione di alcune query DNS può rivelare informazioni sul nome interrogato.
DoH usa HTTPS, che a sua volta usa TLS. L'uso di TLS spesso espone la Server Name Indication (SNI). Ciò significa che, anche usando DoH, un osservatore di rete può ancora determinare con quale server DoH il client sta comunicando. La Sezione E.3.1 di [RFC8446] discute queste considerazioni, incluse le interazioni con altri protocolli. Meccanismi futuri per cifrare SNI potrebbero fornire ulteriore protezione della privacy.
Client e server DoH devono (MUST) supportare TLS 1.3 [RFC8446] e possono (MAY) supportare versioni precedenti di TLS.
Un server DoH può scegliere di identificare un client DoH richiedendo autenticazione TLS del client. Se lo fa, ciò può avere effetti sulla privacy del client. Il server può anche identificare il client con altri mezzi, ad esempio cookie HTTP o altri meccanismi di autenticazione HTTP.
8.2. Nel server (In the Server)
Richiedendo l'uso di HTTPS e l'autenticazione dell'identità del server DNS, un client DoH dovrebbe poter controllare meglio, rispetto al DNS tradizionale, quali entità sono autorizzate a vedere le sue query DNS.
Inoltre, HTTPS fornisce autenticazione del server, aiutando a prevenire attacchi di spoofing DNS. Questa protezione è efficace solo se il client valida correttamente il certificato TLS del server.
Gli operatori di server DoH dovrebbero essere consapevoli che l'esercizio di un server DoH comporta questioni di privacy. Le query DNS possono rivelare molte informazioni sul comportamento degli utenti. Gli operatori dovrebbero definire politiche di privacy appropriate e considerare come gestire e conservare i dati ricevuti.
Un server DoH può scegliere di registrare tutte le query e risposte in ingresso. Se lo fa, l'operatore dovrebbe definire e pubblicare politiche chiare di conservazione dei dati e privacy. Il server dovrebbe inoltre adottare misure adeguate per proteggere i dati raccolti da accessi non autorizzati.
Il server può scegliere di condividere infrastruttura con terze parti, come reti di distribuzione dei contenuti (CDN) o provider cloud. In tal caso, anche tali terze parti potrebbero avere accesso ai dati delle query DNS. L'operatore dovrebbe valutare le pratiche di privacy di queste terze parti e dichiarare tale condivisione nella propria politica di privacy.
Come discusso in [RFC7626], le questioni di privacy del DNS sono complesse. L'uso di DoH può proteggere contro alcuni tipi di attacchi, ma non risolve tutti i problemi di privacy. In particolare, il server DoH stesso può vedere tutte le query DNS, il che significa che il client deve fidarsi del server DoH scelto. I client dovrebbero scegliere con attenzione i server DoH e considerare l'uso di server con politiche di privacy chiare.
Alcuni server DoH possono trovarsi in giurisdizioni diverse da quella del client DoH. Ciò può incidere sulla protezione della privacy, poiché giurisdizioni diverse possono avere leggi sulla protezione dei dati e requisiti di applicazione diversi. I client dovrebbero essere consapevoli di questi rischi e scegliere i server DoH di conseguenza.
DoH non impedisce al server di correlare informazioni sulle query DNS con altre informazioni, come cookie HTTP o indirizzi IP del client. Di fatto, poiché DoH opera su connessioni simili al normale traffico HTTPS, correlare query DNS e attività di navigazione Web può diventare più facile. Questo può aumentare, anziché ridurre, la capacità di tracciare gli utenti.
Le applicazioni che usano DoH dovrebbero considerare questi effetti sulla privacy e fornire agli utenti informazioni chiare su come vengono usati i loro dati DNS. In alcuni casi, può essere opportuno usare più server DoH o cambiarli periodicamente per ridurre le informazioni che un singolo server può raccogliere.
Infine, vale la pena notare che, sebbene DoH possa proteggere le query DNS dall'osservazione lungo il percorso di rete, non protegge necessariamente la destinazione finale del client. Una volta che il client si connette a un server usando l'indirizzo IP ottenuto tramite DoH, tale connessione può comunque essere visibile agli osservatori di rete, a meno che non vengano usate protezioni aggiuntive come VPN o Tor.