Ciao Simone,
Non c’e’ molto da indagare - e’ una cosa nota che Vodafone implementi il transparent DNS Proxy — ovvero tutto il traffico verso porta 53 viene mandato ai suoi server DNS, indipendentemente dal IP del server contattato.
Basta una ricerca con google “Vodafone dns”.
Tornando a DoH - dal punto di vista tecnico e’ una porcata immensa. Per di piu’, in opzione “opt-out” e’ una di quelle cose che farà impazzire gli amministratori di rete. Lato consumer, già vedo i forum pieni di “ho messo 8.8.8.8 come server dns, ma ancora non mi funziona con firefox”. Lato business, tutte le precauzioni che si usano in ambito corporate che fanno leva sul DNS improvvisamente non funzioneranno più, con bella pace della sicurezza e policy. Non oso immaginare che cosa succederà quando i DNS di clodflare non funzioneranno a dovere. Con buona pace del troubleshooting. Senza neanche citare i problemi per la magistratura quando dovrà indagare, o richiedere il blocco di qualche sito (che piaccia o no).
Ultimo, dal punto di vista della privacy, mi chiedo perche’ google, cloudflare e altri siano così generosi da implementare ed offrire “gratis” un servizio DNS. Come sappiamo bene — se non paghi per un prodotto, il prodotto sei tu. Grazie al DNS, ora google sa anche quale shop online frequenti, quale sito porno preferisci, e se anche se usi duckduckgo come motore di ricerca. Per non parlare del potere che ha nel modificare a suo piacere quali server di quale CDN indirizzare il tuo traffico, e decidere se e quali servizi puoi accedere.
Parliamo di censura — ma qui mi viene voglia di parlare di grandissimo fratello!
Internet e’ nata come una rete distribuita, e ora e’ diventata sempre piu’ il dominio di 3/4 grandi aziende. Gestiscono il traffico, controllano l’informazione, e ora, si impossessano anche del DNS. Senza che alcuno possa fare alcun controllo.
Un caro saluto
M
--
Marco Mellia - Associate Professor
Dipartimento di Elettronica e Telecomunicazioni
Politecnico di Torino
Corso Duca Degli Abruzzi 24
10129 - Torino - IT
Tel: +39-011-090-4173
Cel: +39-331-6714789
Skype: mgmellia
Se ho capito bene Vodafone risponde sempre a tutte le query DNS al posto
del server che hai indicato tu: questo lo dimostri indicando dei server
DNS inesistenti.
E' così?
Corretto!Come dire: il tuo server DNS di preferenza viene ignorato, e risponde
sempre V?
Se fosse così forse questo viola qualcosa di più di una manciata di RFC...
Ha senso. La cosa che mi chiedevo e' se il pacchetto della richiesta arrivadavvero al server. Non trovandomi più nel posto con Vodafone dove mitrovavo ieri (TM), ho avuto un po' di difficoltà nell'eseguire esperimenti.Nei limiti consentiti dal rompere le scatole ad altre persone, ho potutoconstatare che apparentemente la richiesta non arriva al server.Per investigare ho scritto un client DNS minimale (https://github.com/bassosimone/verrocchio) che invia una richiesta DNS a unserver TopIX che usiamo per Neubot dove stavo eseguendo netcat su '0.0.0.0:53/udp`. Eseguendo questo test dalla rete Wind in cui mi trovo, nonho ricevuto ovviamente risposta e ho visto la query arrivare. Quando il miouomo con Vodafone (TM) ha eseguito questo test, non ho visto arrivarerichieste DNS sul server ma in compenso è arrivata una risposta correttalato client.Questa potrebbe essere una cosa interessante da misurare più su larga scalacon OONI quando torno dalle vacanze.Bye,Simone