Come abilitare DNS su HTTPS (DoH) in Windows 11 e migliorare la tua privacy

Informatec Digital » Risorse » Come abilitare DNS su HTTPS (DoH) in Windows 11 e migliorare la tua privacy

Se siete sempre più preoccupati di ciò che gli altri possono vedere della vostra attività online , Windows 11 offre una potente impostazione che quasi nessuno utilizza, ma che può fare una grande differenza per la vostra privacy: la crittografia DNS tramite DNS over HTTPS (DoH). Con un paio di modifiche alla configurazione, le vostre richieste DNS non viaggeranno più in chiaro, ma saranno protette all'interno di una connessione sicura.

Attivare DoH in Windows 11 non richiede l'installazione di programmi particolari né competenze di rete avanzate; è una funzione che si configura in pochi minuti tramite le impostazioni di sistema. In questo modo, sarà molto più difficile per il provider di servizi Internet, gli amministratori di rete pubblica o persino potenziali malintenzionati spiare i siti web visitati, registrare le abitudini di navigazione o manipolare le connessioni . Vediamo nel dettaglio cos'è DoH, perché è utile, come attivarlo passo dopo passo e quali opzioni avanzate sono disponibili nell'ecosistema Windows.

Cos'è il DNS e perché influisce così tanto sulla tua privacy?

Quando digiti un indirizzo come adslzone.com o qualsiasi altro sito web nel tuo browser , il tuo computer non si connette direttamente utilizzando quel testo. Ciò che la rete effettivamente comprende sono indirizzi IP numerici, quindi prima di caricare il sito web, deve interrogare un server DNS per scoprire dove è ospitato quel dominio.

Il DNS funziona come una sorta di elenco telefonico su internet : si inserisce un nome e viene restituito il numero corrispondente (indirizzo IP). Il problema è che, nella configurazione predefinita, questa query viaggia non crittografata, in chiaro. Ciò significa che qualsiasi dispositivo tra il PC e internet (il provider di servizi internet, un hotspot Wi-Fi pubblico, un router compromesso, un malintenzionato sulla stessa rete) può vedere gli indirizzi che vengono risolti.

Inoltre, molti fornitori sfruttano questa situazione per generare una cronologia molto dettagliata di tutti i siti web che visiti . Si tratta di informazioni estremamente sensibili perché consentono loro di creare un profilo dell'utente: quali servizi utilizza, quali sono i suoi interessi, quali sono le sue abitudini, ecc. Questi dati possono essere utilizzati per scopi pubblicitari, venduti a terzi o, nel peggiore dei casi, finire nelle mani di malintenzionati.

È inoltre importante notare che, senza crittografia, determinate entità possono bloccare siti web a livello DNS , reindirizzare domini a siti pubblicitari o persino manipolare le risposte per lanciare attacchi. Tutto ciò viene fatto sfruttando il fatto che il traffico DNS tradizionale viaggia in chiaro e senza garanzie di integrità.

Cos'è DNS over HTTPS (DoH) e quali vantaggi offre?

Il DNS over HTTPS, o DoH, è un sistema che incapsula le richieste DNS tradizionali all'interno di una connessione HTTPS crittografata . Si tratta dello stesso tipo di crittografia utilizzato quando si visita un sito web sicuro con l'icona del lucchetto nel browser, ma applicato al canale che il computer utilizza per risolvere i nomi di dominio.

Con DoH abilitato, le query DNS non sono più facilmente visibili a chiunque si trovi sulla traiettoria. Tutto ciò che vedranno sarà il traffico HTTPS crittografato verso il server del provider DNS . Non saranno in grado di leggere quali domini vengono interrogati, né di modificare la risposta senza compromettere la sicurezza della connessione.

Tra i principali vantaggi dell'attivazione di DNS over HTTPS in Windows 11, spiccano diversi aspetti: in primo luogo, il tuo provider di servizi Internet non potrà più visualizzare o registrare facilmente l'intera cronologia del tuo dominio; in secondo luogo, renderà molto più difficile l'intercettazione o la manipolazione delle richieste da parte di terzi . Inoltre, in alcuni casi, può aiutarti a eludere alcuni blocchi di base a livello DNS implementati da alcuni provider.

Vale la pena notare che la crittografia introduce un piccolo passaggio aggiuntivo a ogni richiesta, ma in pratica la perdita di prestazioni è solitamente minima o impercettibile per la maggior parte degli utenti. In cambio, il miglioramento in termini di privacy e sicurezza è considerevole, quindi il vantaggio complessivo è generalmente a favore dell'attivazione della crittografia.

Come abilitare DNS su HTTPS (DoH) in Windows 11 passo dopo passo

Windows 11 include il supporto nativo per DNS over HTTPS, quindi non sono necessari programmi esterni. Il processo si articola in due fasi: configurare manualmente i server DNS compatibili con DoH e quindi scegliere il tipo di crittografia da utilizzare per tali server.

1. Accedi alle impostazioni di rete di Windows 11

Il primo passo è aprire l'app Impostazioni di sistema. Il modo più rapido è premere contemporaneamente i tasti Windows + I. Puoi farlo anche dal menu Start, ma la scorciatoia è più comoda se prevedi di ripetere l'operazione più volte.

Nelle Impostazioni, vai alla sezione "Rete e Internet" . Qui troverai le opzioni per le connessioni Wi-Fi ed Ethernet (cablata). Scegli quella che stai utilizzando al momento: se stai navigando tramite Wi-Fi, tocca "Wi-Fi"; se stai utilizzando una connessione cablata, tocca "Ethernet".

Una volta raggiunta la sezione pertinente, individua la connessione attiva e fai clic su "Proprietà hardware" o sulla voce che visualizza i dettagli di rete. Da lì, puoi modificare le impostazioni IP e DNS per quella specifica interfaccia.

2. Modificare l'assegnazione DNS in manuale

Nelle proprietà della connessione, troverai una sezione denominata "Assegnazione server DNS" . Solitamente è impostata su "Automatico (DHCP)", il che significa che il router o il provider di servizi Internet decide quale server DNS utilizzare e come gestire le relative richieste.

Fai clic sul pulsante "Modifica" in quella sezione. Si aprirà una finestra a comparsa in cui dovrai selezionare l' opzione "Manuale" dal menu a tendina delle impostazioni. Questa modifica ti consente di specificare quali server DNS desideri utilizzare invece di accettare quelli assegnati dalla rete.

Nella configurazione manuale, abilita l' opzione IPv4 e, se la tua rete lo supporta, abilita anche l' opzione IPv6 . La maggior parte delle connessioni domestiche funziona perfettamente con IPv4, ma IPv6 sta diventando sempre più comune, quindi è consigliabile abilitarlo se disponibile in modo da poter effettuare query anche utilizzando questo protocollo.

3. Scegli server DNS compatibili con DoH

Una volta attivata la modalità manuale, verranno visualizzati i campi per inserire gli indirizzi IP dei server DNS. Qui è necessario inserire i dettagli di un provider che supporti ufficialmente DNS over HTTPS , poiché Windows 11 include un elenco interno di server DoH noti.

Tra quelli più comunemente utilizzati, già inclusi nell'elenco interno di Windows per la configurazione automatica della crittografia, sono i seguenti:

• Cloudflare1.1.1.1 come DNS preferito e 1.0.0.1 come DNS alternativo. Hanno anche gli indirizzi IPv6 2606:4700:4700::1111 e 2606:4700:4700::1001.
• Google Public DNS8.8.8.8 come server preferito e 8.8.4.4 come server alternativo. In IPv6 utilizzano 2001:4860:4860::8888 e 2001:4860:4860::8844.
• Quad99.9.9.9 è l'indirizzo preferito e 149.112.112.112 è l'indirizzo alternativo. In IPv6, hanno, tra gli altri, 2620:fe::fe e 2620:fe::fe:9.

Inserisci, ad esempio, gli indirizzi di Google o Cloudflare nei campi DNS preferito e DNS alternativo per IPv4. Se hai abilitato anche IPv6, compila i campi corrispondenti con gli indirizzi IPv6 del provider scelto. In questo modo, Windows 11 saprà che questi server supportano DoH e sarà in grado di offrirti le diverse opzioni di crittografia.

4. Configurare la crittografia DNS (DoH) in Windows 11

Subito sotto gli indirizzi DNS per ciascun protocollo, troverai una o più opzioni relative alla crittografia, a seconda della versione di Windows 11 e del tipo di server configurato. Qui puoi abilitare il DNS su HTTPS e configurare il modo in cui il computer gestirà queste query.

In molte configurazioni, Windows visualizza un menu " Crittografia DNS " o "DNS su HTTPS" per i server DNS preferiti e alternativi. Qui potresti trovare, tra le altre opzioni, le seguenti:

• Solo crittografia (DNS su HTTPS)Il client tenterà sempre di utilizzare DoH con quel server. Se il server o la connessione sicura falliscono, la query in chiaro non verrà eseguita.
• Crittografia preferita, nessuna crittografia consentita (o testo simile): si tenta prima il DoH e, se ciò non è possibile, vengono ripristinate le query classiche senza crittografia.
• Solo non crittografato: disabilita DoH per quel server specifico, utilizzando solo il tradizionale DNS in chiaro.

Se la privacy è la tua priorità e vuoi proteggerla al massimo, seleziona "Solo crittografia (DNS su HTTPS)" sia per il server preferito che per quello alternativo . In questo modo, tutto il traffico DNS verso tali server viaggerà sempre tramite HTTPS e mai in chiaro.

In alcuni testi dell'interfaccia, potresti anche visualizzare l'opzione "Abilitato (modello automatico) ". Ciò indica che Windows 11 riconosce il server come parte del suo elenco di resolver DoH conosciuti e utilizza automaticamente il modello HTTPS appropriato per inviare richieste crittografate, senza che tu debba specificarlo manualmente.

5. Utilizzare modelli DoH manuali con fornitori specifici

Per alcuni server, o se si desidera un controllo ancora più preciso, potrebbe essere possibile utilizzare un modello DNS manuale tramite HTTPS . Ciò consente di specificare direttamente l'URL che il provider utilizza per il suo servizio DoH.

Questo è il caso, ad esempio, di alcune configurazioni avanzate di Quad9, dove è possibile specificare un modello particolare che include opzioni come ECS (EDNS Client Subnet) in modo che le risoluzioni vengano gestite dal data center più vicino alla propria posizione . In quel campo del modello, si inserisce qualcosa come l'URL che il provider documenta per il proprio endpoint DoH.

Se scegli l'opzione del modello manuale, assicurati di copiare l'indirizzo esattamente come fornito dal servizio DNS nella sua documentazione ufficiale. Un errore di battitura potrebbe causare il fallimento della crittografia o impedire del tutto la risoluzione dei domini.

Come verificare se il DNS su HTTPS funziona

Una volta salvate le modifiche alle impostazioni di connessione, le richieste DNS dovrebbero normalmente essere crittografate. Ciononostante, è consigliabile effettuare un paio di verifiche per assicurarsi che tutto sia stato applicato correttamente e che non si stia ancora navigando in chiaro senza rendersene conto.

Verifica dalle impostazioni di Windows

Tornate su Impostazioni > Rete e Internet > Wi-Fi o Ethernet (a seconda di quale state utilizzando) e accedete nuovamente alle proprietà hardware della vostra connessione. Scorrete verso il basso fino alla sezione in cui vengono visualizzati gli indirizzi dei server DNS che avete appena configurato.

Se tutto è a posto, accanto a ciascun indirizzo IP del server DNS dovrebbe apparire un'etichetta come "(Crittografato)" o un testo simile . Questa etichetta è il modo più rapido per confermare che Windows ha riconosciuto il server come conforme a DoH e che sta crittografando le query.

Controllare DoH con PowerShell

Un altro metodo molto affidabile per verificare lo stato del DNS su HTTPS è utilizzare PowerShell , la console avanzata di Windows. Per farlo, apri il menu Start, cerca "PowerShell ", fai clic con il pulsante destro del mouse e seleziona "Esegui come amministratore" per ottenere le autorizzazioni necessarie.

Nella finestra che si apre, digita il seguente comando e premi Invio :

Get-DnsClientDohServerAddress

L'output di questo comando mostrerà un elenco dei server DoH noti al client DNS di Windows , inclusi quelli configurati. Verranno visualizzati i relativi indirizzi IP e un indicatore di stato. Se per i server DNS configurati viene visualizzato "Abilitato", significa che il computer sta utilizzando DoH con tali server.

Utilizzare test online per confermare la crittografia

Come ulteriore verifica, puoi utilizzare le pagine di test offerte da alcuni provider DNS. Ad esempio, Cloudflare mette a disposizione strumenti online che ti permettono di verificare se il tuo browser utilizza DNS su HTTPS o DNS su TLS . È sufficiente accedere a una di queste pagine dal tuo browser abituale e seguire le istruzioni.

Sebbene questi test si concentrino sul browser, rappresentano un valido riferimento per integrare quanto osservato nelle impostazioni di Windows e in PowerShell, confermando che le query escono crittografate dal sistema.

DNS su HTTPS in Windows Server 2022 e Criteri di gruppo

Oltre a Windows 11, Microsoft ha integrato il supporto per DNS over HTTPS anche in Windows Server a partire dalla versione 2022. Su questi sistemi, il client DNS può stabilire connessioni crittografate tramite HTTPS con i server presenti nel suo elenco di resolver DoH noti, in modo analogo a quanto avviene nell'ambiente desktop.

In Windows Server con interfaccia desktop, la configurazione di base viene effettuata dallo stesso pannello Impostazioni > Rete e Internet > Ethernet . Si seleziona l'interfaccia di rete da configurare, si accede alla relativa schermata di rete, si scorre fino a "Impostazioni DNS" e si fa clic su "Modifica" per cambiare la modalità da automatica a manuale, proprio come in Windows 11.

Da lì, si inseriscono i server DNS presenti nell'elenco dei server DoH noti . In tal caso, il menu a tendina "Crittografia DNS preferita" sarà abilitato, consentendo di scegliere tra diversi comportamenti:

• Solo crittografia (DNS su HTTPS)Tutte le query DNS vengono tentate utilizzando DoH. Se il server non supporta DoH o la connessione HTTPS fallisce, anche la risoluzione fallirà.
• Sono supportati i cifrari preferiti e non crittografatiLa priorità è data a DoH, ma se per qualche motivo non è possibile, si ricorre a query DNS in testo normale non crittografate.
• Solo non crittografatoPer quel server il DoH è disabilitato e viene utilizzato solo il DNS tradizionale.

Quando si configurano gli indirizzi DNS di Windows Server utilizzando PowerShell e il cmdlet Set-DnsClientServerAddressIl comportamento DoH dipende dal fatto che tali indirizzi compaiono o meno nella tabella interna dei server DoH noti?Al momento, quella specifica configurazione DoH non può ancora essere regolata con Centro di amministrazione di Windows né con strumenti come sconfig.cmd sul Server 2022.

Configurare DoH utilizzando i criteri di gruppo

Configuración del equipo\Directivas\Plantillas administrativas\Red\Cliente DNS

Abilitando questa policy , è possibile scegliere tra tre comportamenti principali per il client DNS:

• Consenti DoHLe query verranno effettuate utilizzando DNS su HTTPS quando i server DNS configurati lo supportano. In caso contrario, verranno utilizzate query non crittografate.
• Vietare il DoH: impedisce l'uso del DNS su HTTPS, forzando sempre il DNS tradizionale in chiaro.
• Richiedi DoH: forza tutte le query a essere effettuate con DoH; se i server non lo accettano, la risoluzione dei nomi fallisce.

È importante prestare attenzione all'opzione "Richiedi DoH" sui computer aggiunti al dominio, poiché i servizi di Active Directory si basano in larga misura sul DNS tradizionale e il ruolo Server DNS di Windows non supporta nativamente le query DoH. In questo tipo di reti, per proteggere il traffico DNS interno, è generalmente preferibile utilizzare soluzioni come le regole di sicurezza di connessione basate su IPsec per crittografare il traffico tra client e server.

Elenco dei server DoH noti su Windows

Sia Windows 11 che Windows Server includono un elenco predefinito di server DNS noti per supportare DoH . Questo elenco consente al sistema di abilitare automaticamente le opzioni di crittografia e i modelli automatici per tali server specifici.

Per vedere quali server sono presenti in quell'elenco, puoi utilizzare il cmdlet Get-DnsClientDohServerAddress in PowerShell. Tra i provider più comuni che compaiono ci sono Cloudflare, Google e Quad9, con i loro indirizzi IPv4 e IPv6 più noti, come i già citati 1.1.1.1, 8.8.8.8 o 9.9.9.9, insieme alle loro alternative.

Se vuoi aggiungere un nuovo server alla tabella dei server noti, ad esempio il tuo resolver o uno di una terza parte specializzata, puoi usare il comando Add-DnsClientDohServerAddress specificando l'indirizzo IP del server, il modello DoH e se consentire o meno il ripristino a UDP in caso di errore:

Add-DnsClientDohServerAddress -ServerAddress "<IP-del-resolvedor>" -DohTemplate "<URL-plantilla-DoH>" -AllowFallbackToUdp $False -AutoUpgrade $True

In questo modo, Windows saprà che il server supporta DoH, tenterà sempre di utilizzarlo in modo sicuro e, a seconda dell'opzione scelta, eviterà il più possibile di rispondere a query non crittografate.

Utilizzo della NRPT (Name Resolution Policy Table) con DoH

In scenari avanzati, come reti aziendali complesse o configurazioni ibride, è possibile utilizzare la tabella dei criteri di risoluzione dei nomi (NRPT) per inoltrare le query per domini specifici a server DNS designati. Se tali server supportano il DNS basato sul dominio (DoH) e sono registrati come tali, le query per tali spazi dei nomi verranno effettuate utilizzando DNS su HTTPS.

Ciò consente, ad esempio, che determinati domini critici o particolarmente sensibili vengano sempre risolti tramite un resolver affidabile con DoH abilitato, mentre il resto del traffico DNS può seguire una policy diversa o utilizzare server diversi.

Abilitare e sfruttare il DNS su HTTPS in Windows 11 (e, ove applicabile, in Windows Server 2022) è un modo piuttosto semplice per aumentare la privacy e la sicurezza della navigazione quotidiana senza modificare drasticamente il modo in cui si utilizza il computer. Con pochi passaggi di configurazione e alcuni controlli aggiuntivi, le query DNS non rappresenteranno più un punto vulnerabile visibile a chiunque in chiaro, ma viaggeranno protette all'interno di una connessione crittografata, in linea con gli standard di sicurezza odierni.