9. Considerazioni sulla sicurezza (Security Considerations)

Quando le query DNS vengono eseguite tramite DoH, le considerazioni di sicurezza si applicano sia al DNS sia a HTTPS.

L'uso di HTTPS fornisce protezione contro attaccanti passivi che potrebbero tentare di osservare query e risposte DNS. Fornisce inoltre protezione contro alcuni tipi di attacchi attivi, ad esempio tentativi di alterare risposte DNS.

Tuttavia, DoH non impedisce tutti i tipi di attacco. In particolare, non protegge dagli attacchi contro il server DoH stesso. Se un server DoH è controllato o influenzato da un attaccante, l'attaccante può fornire risposte DNS false. Perciò è essenziale scegliere server DoH affidabili.

Il client DoH deve (MUST) usare i meccanismi descritti in [RFC2818] e [RFC6125] per verificare il certificato TLS del server DoH. Se la verifica del certificato fallisce, il client non deve (MUST NOT) usare quel server per query DNS.

DoH usa HTTPS, quindi usa TLS per la sicurezza del trasporto. Le considerazioni di sicurezza di [RFC8446] si applicano a DoH. In particolare, le implementazioni DoH dovrebbero usare TLS 1.3 o versioni successive e seguire le raccomandazioni di sicurezza di [RFC8446].

I server DoH dovrebbero (SHOULD) usare HTTP/2 [RFC7540] o versioni successive, poiché queste versioni offrono migliori prestazioni e caratteristiche di sicurezza. Se si usa HTTP/2, si applicano le considerazioni di sicurezza di [RFC7540].

Le DNS Security Extensions (DNSSEC) [RFC4033] possono essere usate con DoH per fornire protezione aggiuntiva. DNSSEC offre autenticazione dell'origine dei dati e integrità dei dati, il che può prevenire alcuni tipi di attacco anche se il server DoH stesso è compromesso. Tuttavia, DNSSEC non impedisce a un server DoH di rifiutarsi semplicemente di fornire firme DNSSEC valide o di fornire risposte non firmate.

Client e server DoH dovrebbero implementare limiti di frequenza appropriati per prevenire attacchi di denial-of-service (DoS). Poiché DoH usa HTTPS, alcuni attacchi DDoS possono essere più difficili rispetto al DNS tradizionale, ma DoH resta vulnerabile ad alcuni tipi di attacco, specialmente contro l'infrastruttura HTTP.

Un server DoH può scegliere di richiedere autenticazione del client. In tal caso, dovrebbe usare meccanismi appropriati, come certificati TLS client o autenticazione HTTP. Tuttavia, richiedere autenticazione può influire sulla privacy del client, vedere la Sezione 8.

DoH non modifica la semantica delle risposte DNS. In particolare, una risposta DoH dovrebbe avere lo stesso significato della risposta ricevuta tramite trasporto DNS tradizionale. Un server DoH non dovrebbe (SHOULD NOT) modificare il contenuto delle risposte DNS, salvo un motivo esplicito, ad esempio il filtraggio di domini malevoli secondo una politica locale.

Alcune reti possono distribuire proxy DNS trasparenti o intercettori. Questi dispositivi possono tentare di intercettare o modificare il traffico DNS. L'uso di DoH può aggirarli; a seconda del punto di vista, questo può essere considerato una funzionalità o un problema. Gli operatori di rete dovrebbero essere consapevoli che DoH può influire sulla loro capacità di monitorare e controllare il traffico DNS.

DoH può influire sull'efficacia di alcuni dispositivi e servizi di sicurezza, come filtri antimalware basati su DNS. Le organizzazioni dovrebbero considerare questi effetti e potrebbero dover distribuire propri server DoH o usare dispositivi di sicurezza in grado di ispezionare traffico DoH.

Poiché query e risposte DoH sono trasmesse sulla stessa porta del normale traffico HTTPS, la porta 443, possono essere più difficili da distinguere e filtrare. Questo può rendere più difficile per gli operatori di rete applicare politiche basate sul DNS.

I client DoH dovrebbero (SHOULD) implementare meccanismi di timeout per evitare attese eccessive delle risposte. Questo può aiutare a prevenire alcuni tipi di attacchi DoS in cui l'attaccante tenta di far attendere il client per molto tempo.

I server DoH dovrebbero (SHOULD) verificare che le query DNS ricevute siano ben formate e dovrebbero rifiutare query malformate. Questo può aiutare a prevenire alcuni tipi di attacco, ad esempio tentativi di sfruttare vulnerabilità nei resolver DNS.

Infine, DoH è solo uno dei metodi per proteggere il DNS. Altri metodi includono DNS over TLS (DoT) [RFC7858] e DNS over QUIC (DoQ) [RFC9250]. Ogni metodo ha vantaggi e svantaggi propri; le organizzazioni dovrebbero scegliere quello più adatto alle loro esigenze specifiche. In alcuni casi, può essere necessario supportare più metodi per offrire la massima flessibilità e compatibilità.