Lezioni del modulo (2/3)
DoT e DoH
DoT e DoH
Specifiche: DoT, RFC 7858, profili DoT, RFC 8310 e DoH, RFC 8484.
DNS over TLS e DNS over HTTPS: protezione del trasporto e scelta del resolver.
Applicazione
| Trasporto | Incapsulamento | Che cosa protegge principalmente |
|---|---|---|
| DNS tradizionale | UDP o TCP | Nessuna cifratura del tratto |
| DoT | DNS su TLS/TCP | Canale cifrato fino al resolver |
| DoH | DNS su HTTPS | Canale cifrato integrato nel traffico HTTP |
| DoQ | DNS su QUIC | Canale cifrato su QUIC; trattato nella lezione avanzata |
In tutti i casi il resolver deve leggere la query per risolverla. La cifratura del trasporto non prova che la risposta sia autentica rispetto alla zona: per questo serve la validazione DNSSEC o la fiducia nel resolver che dichiara di averla eseguita.
Per ogni scenario chiediti chi può osservare la query, chi deve riceverla per risolverla e quale parte è protetta da TLS o ridotta dalla minimizzazione.
Per risolvere casi reali, separa sempre il dato richiesto, la fonte che lo pubblica e il componente che sta rispondendo. Annota le ipotesi invece di confondere una risposta osservata con la causa del comportamento.
Prova tu
Scegli la risposta migliore. Il quiz è locale e deterministico: non invia query a domini reali.
DoH rende automaticamente autentici i record rispetto alla zona?