Se cercate un nuovo DNS server, veloce, affidabile e che ha cura della vostra privacy c’è del nuovo in città: quello offerto da Cloudflare, importante servizo di caching, content delivery network e DDos mitigation, che ora lancia il suo servizio che si annuncia aperto appunto aperto a tutti e assolutamente rispettoso della privacy di chiunque.
La rilevanza di un sistema di DNS con queste caratteristiche non dovrebbe essere sconosciuta a chi ci legge: è in pratica l’elenco del telefono e il meccanismo chiave per la navigazione del web, sul quale oggi è basata praticamente la totalità del traffico di rete. Il DNS, Domain Name System è il sistema utilizzato per la risoluzione di nomi dei nodi della rete (in inglese: host) in indirizzi IP. Non esiste un unico server, invece ci si basa su un database distribuito che viene ripartito attravero un numero ristretto di server originari a tutti coloro che vogliono utilizzarlo. A sua volta, per collegarsi a un DNS, occorre un indirizzo IP (quattro terzine di numeri) utilizzando però una porta logica di connessione diversa ad esempio da quella del web (porta 80/tcp e porta 443/tcp), e cioè la porta 53/UDP. (Nota: le porte TCP e UDP sono contenute nell’intervallo 0-1023 e vengono assegnate da IANA).
Visto che i server DNS sono distribuiti, collegarsi a uno o a un altro sistema fa differenza: alcuni sono più veloci, altri più lenti, alcuni progettati per certi tipi di performance e altri per altre ancora. Esistono inoltre decine di software diversi per chi amministra un server e vuole installare un servizio DNS, che oltretutto ha caratteristiche di sicurezza rilevanti perché, se il server DNS è creato per scopi loschi come gli attacchi “man in the middle”, ci sono ben poche difese.
Generalmente anche solo la scelta di quale server DNS utilizzare in casa propria è al di sopra delle capacità di molti utenti e questo è un peccato perché consente ad esempio di bloccare i tentativi di censura centralizzati. Una delle mosse dei regimi autoritari (ma non solo) è quella di obbligare i provider di connettività ai quali si aggancia la totalità degli utenti e che sono di solito anche fornitori di servizi DNS, di cancellare dalle tabelle DNS e quindi rendere irraggiungili i siti web “proibiti” (ma sono anche i “buoni” a farlo, vedi l’autorità giudiziaria che per bloccare l’accesso ai siti illegali obbliga i provider a cancellarli dalle tabelle DNS). Una forma di moderno ostracismo in senso praticamente letterale.
I servizi che hanno cercato di girare attorno a questi problemi offrendo un DNS veloce (più rapide connessioni alle pagine web), puliti e senza censure sono stati vari. Ma non è quasi mai andata a finire bene. Un esempio è Google, che offre un suo DNS (8.8.8.8 e 8.8.4.4) che però ha la fama, vera o falsa lo lasciamo decidere a chi legge, di essere il master spy della nostra vita, registrando tutte le connessioni che apriamo, anche se per ipotesi utilizziamo macchine completamente protette per la privacy e connessioni crittate o VPN (ma con il DNS interno di Google).
C’è un tema di privacy, come abbiamo visto con Google (servizio open in cambio dei vostri dati) e c’è un tema di censura (la Turchia che blocca Twitter, lo ha fatto con i DNS dei privider locali) ed è intorno a questo che Cloudflare gioca la sua scommessa.
L’azienda non è priva di esperienza in quanto, senza scendere in dettagli tecnici, chi gestisce sistemi di CDN ha migliaia e migliaia di server con servizi di DNS interni nella intranet e nella extranet, che consentono di reindirizzare il traffico delle diverse regioni e mitigare ad esempio gli attacchi che cercano di provocare i sovraccarichi di un singolo server.
Cloudflare, come altre aziende (viene in mente Apple) non ha come modello di business il tracking degli utenti o la vendita di pubblicità, e quindi non ha nel suo DNA il bisogno di schedare e tracciare gli utenti. Ha per questo motivo cercato di costruire un sistema che fosse realente funzionante nell’interesse degli utenti, per rendere più sicura e più rapida la navigazione (consentendole così, in maniera indiretta, di fare meglio il suo lavoro di CDN). Ha chiamato per fare auditing delle procedure la società di revisione KPMG, ha implementato policy in base alle quali dopo 24 ore i dati vengono tutti cancellati in modo sicuro e certificato, ma al tempo stesso ha costruito strumenti per evitare gli abusi.
Quale indirizzo scegliere? La scelta è caduta su uno che fosse memorabile. Nelle quattro triplette che costituiscono gli indirizzi IP “vecchio stile” c’era la possibilità, scoperta dopo aver parlato con quelli di APNIC (cioè il Regional Internet Registery (RIR) responsabile per l’assegnazione degli indirizzi IP per la regione Asia-Pacifico: ce ne sono altri quattro: ARIN (America del nord), RIPE (Europa/Medio Oriente), AFRINIC (Africa) e LATNIC (America del sud)), di utilizzare 1.1.1.1. Detto fatto: indirizzo memorabile e facilmente trasmissibile.
Quando presentarlo? Per la prima volta quelli di Cloudflare avevano un prodotto consumer. Quale momento migliore di quello scritto nel nome stesso: quattro volte 1, cioè 4×1, è simile al modo con il quale si scrivono le date in angloamericano (numero del mese seguito dal giorno, anziché numero del giorno seguito da mese come da noi). Il 4/1 sembra così il primo di aprile, omaggio anche alla Apple che scelse con spirito giocoso, goliardico e hacker (ma anche di marketing) di registrarsi come società alla camera di commercio della Silicon Valley il primo di aprile del 1976.
Detto fatto: quattro volte uno, il primo di aprile, disponibile per tutti e a quanto pare con pochi problemi di connessione anche con i captive protal (quelli utilizzati nella prima connessione nei WiFi pubblici), croce e delizia di tutti gli open DNS (a partire da quello di Google) che “litigano” quando cercano di negoziare le connessioni in una rete locale che invece ci mette nel mezzo il suo portale web per la prima autenticazione degli utenti.
Per sapere come fare a cambiare il DNS dei nostri Mac, possiamo fare riferimento a questo articolo di Apple, avendo l’attenzione di mettere il numero 1.1.1.1 come DNS primario e il numero 1.0.0.1 come secondario. Oppure si possono seguire le istruzioni fornite dalla stessa Cloudflare
