di  -  lunedì 14 ottobre 2013

Da sempre uso un firewall per monitorare le connessioni in entrata e in uscita. Sul Mac da qualche tempo adopero Little Snitch, molto efficace nel mostrarmi, anche quando minimizzato, connessioni non giustificate da una funzione conosiuta.

Nela mia ricerca del browser perfetto, mi sono trovato a valutare Chrome, Opera, SRWare Iron. Tre browser accomunati dal motore di rendering, Blink, il fork di Google del progetto Webkit. Osservando le attività di rete durante la fruizione di tutti questi browser, ho notato continue connessioni alcuni indirizzi “strani”: 8.8.8.8 o 8.8.4.4 e due indirizzi IPV6. Ho quindi creato una regola per bloccarli, scoprendo solo dopo che corrispondevano ai DNS pubblici di Google.

Tutti e tre i browser “chiamano” dunque i DNS di Google ad ogni click su un collegamento ipertestuale. Essendo gli indirizzi bloccati, lampeggia ripetutamente l’icona del firewall. Dopo un breve lag (che però si ripete per le varie connessioni che ogni pagina richiede), la pagina si apre. Inutile dire che questo vanifica ogni possibile vantaggio in velocità dei browser basati su Blink.

Ho verificato quest’affermazione provando con altri browser non basati su Blink (Safari e Firefox) e provando a disabilitare la regola di blocco degli indirizzi IPV4 e IPV6 del DNS di Google. In entrambi i casi il firewall non rileva anomalie.

Come immagino alcuni di voi, dopo le rivelazioni di Snowden sul sistematico spionaggio operato dalla NSA ai danni degli utenti internet di tutto il mondo, ho iniziato ad adottare alcune contromisure sostanziali, compresa la crittografia delle richieste DNS. A fronte di queste misure mi dà molto noia il sospetto che Google forzi questa mia scelta per indurmi ad utilizzare il proprio DNS pubblico.

Mi direte: tanto tutti i DNS hanno un log dei siti visitati recentemente. Il problema è che non tutti i DNS appartengono al leader indiscusso della pubblicità internet e non tutti loggano permanentemente i nomi a dominio visitati. Certo, promettono di non associare i dati loggati a IP o altre informazioni che possano identificare univocamente l’utente. Ma di questi tempi tendo a diffidare, specialmente vista la natura adv-centrica di Google e ai rapidi cambi dei TOS, spesso scritti in legalese indecifrabile. E poi il logging permanente dei siti visitati è funzionale all’erogazione di un servizio DNS pubblico? Quali vantaggi porta a fronte della collezione, seppur anonima, dei siti visitati?

In un articolo di Forbes del 2012,che non brilla certo per accuratezza tecnica, troviamo l’affermazione di una portavoce di Google secondo cui lo “stub resolver” studiato da Google per Chrome (descritto qui nei particolari), poggia sui DNS impostati dal sistema e non su quelli di Google. Qualcosa è cambiato da allora? E perché?

PS Ribadisco, le prove tecniche da me svolte si limitano a quelle descritte, solo su Mac OS. Ho scavato anche nei settaggi di Chrome per cercare impostazioni DNS ma nulla di quanto ho fatto ha influito sul problema descritto. Lo stesso vale per Opera ed SRWare Iron. Non sono certo andato a spulciare nel codice sorgente di Chromium per trovare riferimenti ai DNS di Google. Se qualcuno di voi ha modo di replicare i miei test o di farne altri, magari su Windows, sarò ben lieto di ospitare nuove conclusioni.

30 Commenti »

I commenti inseriti dai lettori di AppuntiDigitali non sono oggetto di moderazione preventiva, ma solo di eventuale filtro antispam. Qualora si ravvisi un contenuto non consono (offensivo o diffamatorio) si prega di contattare l'amministrazione di Appunti Digitali all'indirizzo info@appuntidigitali.it, specificando quale sia il commento in oggetto.

  • # 1
    Mat
     scrive: 

    Visto il problema di PRISM, qualcuno si muove.
    Personalmente ho tolto tutto da google, disinstallato chrome, registrato il mio dominio e uso Kolab per email/calendar/contacts. Come browser uso firefox e come motore di ricerca duckduckgo.com

  • # 2
    Altrove
     scrive: 

    A me chrome non è MAI piaciuto per la sua invasività.
    Firefox forever.

  • # 3
    Roberto
     scrive: 

    Sarebbe interessante condurre qualche prova sistematica, magari spulciando anche Chromium (io non ne ho le capacità). Io ormai da tempo sono passato ad OpenDNS e Firefox, e anche se non sono una scheggia preferisco perdere un paio di secondi in più.
    Purtroppo (o per fortuna, non lo so) non mi sono mai abbandonato del tutto agli inviti dei vari Google/Facebook etc. etc. se non per lo stretto necessario, e comunque con un senso di fregatura addosso.

  • # 4
    TwoMinds
     scrive: 

    Su linux, si trovano i dns di google nel binario di chrome usando strings. Nel binario di chromium non compare nulla.

  • # 5
    Giove
     scrive: 

    Su Mac OS X e Chromium ecco cosa Hands off! mi rileva subito appena apro il browser:

  • # 6
    Giove
     scrive: 

    ecco il link all’immagine: http://postimg.org/image/mqydm4929/

  • # 7
    Sisko212
     scrive: 

    Non capisco dove sia lo stupore… non si sapeva che Google usa praticamente tutto per fare profiling ?
    E poi il problema non è del chrome solo su Mac, ma per tutte le piattaforme… o pensate che Chrome su windows o linux non faccia lo stesso ?
    Anzi vi dirò di più… tutti i software di Google usano i loro DNS… pensate che i vostri telefoni android non lo facciano ?
    Loro affermano che è per una questione di affidabilità, ma io ci credo poco.
    Se non ci credete, mettetevi a valle di un firewall che faccia monitoring delle connessioni… ne vedrete delle belle.

  • # 8
    Banzai
     scrive: 

    E intanto google aggiorna alcune sue regole sui servizi:

    https://www.google.it/intl/it/policies/terms/update/regional.html

    entreranno in vigore a novembre 2013

  • # 9
    Albert
     scrive: 

    Ma tu credi davvero che ad NSA qualcuno stia lì a spiare proprio te? Ok, capisco che è un giochino divertente dire “mi cripto tutto così il governo americano non mi spia”, però a meno che tu non stia organizzando un attentanto ai danni del pentagono — e non credo — non vedo davvero che senso abbia tutta questa attività da antispionaggio.

    E’, secondo me, un attegiamento in qualche modo geocentrico: allo stesso modo in cui piaceva credere che la terra fosse speciale e quindi al centro dell’universo, all’uomo medio piace pensare di essere speciale e che “il governo americano” non abbia di meglio da fare che stare a spiare proprio lui.

    Ah ah, poveri noi.

  • # 10
    Alessio Di Domizio (Autore del post)
     scrive: 

    @ Albert
    Io credo di avere un diritto costituzionalmente garantito alla privacy e laddove il mio governo non è in grado di tutelarlo, mi pongo il problema di come proteggerlo.

    Credo peraltro che l’abolizione della privacy individuale sia un passaggio apparentemente indolore – obiezioni banali come la tua – ma che su larga scala produce effetti nefasti.

    In generale sarebbe più costruttivo se nel confronto si abbandonassero le categorie apovalittici vs integrati e si guardasse al problema invece che al classico dito.
    E comunque orsi il problema della tutela della propria privacy non è per nulla apocalittico. Pensare che la propria privacy sia irrilevante “perché tanto chi ti deve spiare a te che sei uno qualunque” è preoccupantemente integrato.

  • # 11
    Mario
     scrive: 

    In realtà anche se non usi il dns di google la tua privacy non é comunque garantita, visto che con buona probabilità passi per il loro motore di ricerca, dunaue anche se non tacciano gli ip address dei siti che visiti effettuano comunque una profilatura delle tue ricerche sul web che secondo me é ancora piu’ accurata di una semplice visita ad un sito internet passando per un link o per url diretta. Una possibilità é quella di usare TOR e attivare la navigazione privata su firefox, ma passare per quei DNS é letale, spesso é talmente lento che non riesci nemmeno a caricare un video.

  • # 12
    Mario
     scrive: 

    aggiungo una cosa che non sono riuscito a spiegarmi, ma che se qualcuno vuole verificarla mi farebbe piacere. Essendo anche io sensibile a questo discorso ho un approccio molto paranoico alla rete, nel senso che non ho account facebook, non possiedo account di posta, twitter, youtube e qualsivoglia social col mio nome e cognome, ho solo un account gmail creato con un nome fittizio ed una mail di appoggio altrettanto fittizia (dati personali inventati). Da circa due anni ho uno smartphone android, che come tutti sapete per funzionare ha bisogno dell’account gmail. A casa utilizzo un mac, leggo la posta di gmail esclusivamente attraverso il client integrato in osx (mail) ed uso chrome come browser, dove mai e poi mai ho inserito il mio account google, proprio perché non voglio essere autenticato quando navigo, inoltre ogni volta che esco cancello i dati di navigazione, la cache e l’history. Ho notato che se cerco ad esempio un video su youtube attraverso chrome sul mac (ripeto senza immettere il mio account google), e il giorno dopo apro l’app youtube sullo smartphone sotto rete 3G, dunque sto anche utilizzando un provider diverso da quello di casa, google mi suggerisce esattamente i video che ho cercato sul mac l’ultima volta. Come diavolo fanno???

  • # 13
    Lorenzo
     scrive: 

    @Mario

    la mia è una supposizione…però immagino che se nella stessa sessione (stesso IP quindi) guardi l’email (da safari) e navighi su youtube via chrome Google in qualche modo tenga traccia degli IP e che si accorga che in un breve lasso di tempo dallo stesso IP sono originate richieste che è in grado di ricollegare al tuo account gmail (quelle di safari) ed altre richieste (quelle di chrome)…immagino quindi che possa fare la supposizione che si tratti dello stesso utente.
    Quando accedi con lo smartphone sei sicuramente identificato con il tuo utente gmail…se ti ha collegato prima è ragionevole che lo faccia anche adesso.

  • # 14
    Mario
     scrive: 

    @Lorenzo

    Il punto é che io leggo le mail attraverso il client di posta Mail (credo usi POP3), non tramite browser, é un vero mistero …

  • # 15
    Giacomo
     scrive: 

    @ Mario
    probabilmente Google suggerisce gli stessi video a tutti quelli che visualizzano lo stesso video.

  • # 16
    bLax
     scrive: 

    @Albert

    si certo… rimani pure tra le pecore, quando arriva pasqua vedrai che festa.

    Và tutto bene finchè va bene, intanto chi tira i fili di tutto sposta sempre piu in là l’asticella dei tuoi diritti, e il giorno in cui vorrai impuntarti perchè oltre a quel limite non si deve scendere (per te)?? come ti difenderai allora??

    navighiamo in un mare veramente brutto….

  • # 17
    Draidens
     scrive: 

    Il punto e’ che se vuoi essere anonimo al 100% non puoi fare altro che scollegarti da internet. Voglio dire a meno di non iniziare a fare giochi strani, nella maggior parte del mondo (e su alcuni provider in italia) hai ip statico. Anche se diversi utenti usano la connessione il tuo “entry point” e’ tracciato da qualche parte. Nel momento in cui per navigare ti viene assegnato un ip tu sei tizio. Poco importa che non ti autentichi da nessuna parte se per definizione devi essere riconoscibile univocamente.

  • # 18
    Eh ai già
     scrive: 

    Mi pare che crittografare le richieste al dns sai comunque un “guardare il dito” nei confronti del vero problema.

    Non è questione di fanatici della privacy che girano per strada con berretti a punta fatti stagnola, ma più che altro di gente che pensa di poter porre rimedio a queste tematiche con stratagemmi attuati a livello individuale. Mentre su scala globale il mondo sta cambiando e alla gente interessa sempre di meno del concetto di privacy. E se, arrivato il giorno in cui la privacy sarà solo in ricordo, non si avrà compreso che questi temi non si gestiscono con piccole azioni individuali, ormai sarà tardi per ogni rimedio personale.

  • # 19
    Tizio
     scrive: 

    In questo articolo sembra che non avessero intenzione di usare i loro DNS in Chrome

    http://www.forbes.com/sites/eliseackerman/2012/03/14/why-a-small-change-to-google-chrome-could-have-big-implications-for-internet-users/

  • # 20
    IRONia
     scrive: 

    Per chi volesse continuare ad usare il browser più spione della storia (Chrome) del grande fratello orwelliano GOOGLE, se ne può scegliere una versione un po’ più “privacy tutelata”…

    SRWare IRON

    Lo potete scaricare da qui: http://www.srware.net/en/software_srware_iron_download.php

    per qualsiasi sistema, anche per Mac OS X

  • # 21
    Alessio Di Domizio (Autore del post)
     scrive: 

    @ ironia
    Anche la versione di Iron basata su blink, su Mac usa i DNS di google.

  • # 22
    IRONia
     scrive: 

    @Alessio Di Domizio

    little snitch 3.3 non me lo ha segnalato…come mai?!?

  • # 23
    Alessio Di Domizio (Autore del post)
     scrive: 

    @ ironia
    Hai creato una regola anche per gli indirizzi IPV6?
    Io ho appena riprovato, versione di Iron 29.xxx.1 (ultima disponibile, stesso problema.

    https://dl.dropboxusercontent.com/u/3242231/Iron%20Mac%20Google%20DNS.png

  • # 24
    IRONia
     scrive: 

    No hai ragione tu, mi era sfuggito…

    Comunque queste sono le differenze di tutela della privacy tra Chrome ed SWR IRON:

    http://www.srware.net/en/software_srware_iron_chrome_vs_iron.php

  • # 25
    IRONia
     scrive: 

    Comunque nella mia ricerca di browser “perfetto” sono anni che utilizzo firefox sia su windows che su mac, perchè è quello che mi permette di installare comunque una infinita maread di add-on per la privacy…

  • # 26
    Alessio Di Domizio (Autore del post)
     scrive: 

    @ ironia
    Conosco Iron, il problema è che nella misura in cui mi porta ai DNS di Google, e nella misura in cui questi loggano permanentemente i siti che visito, preferisco scegliere un browser dove la cronologia sia sotto il mio controllo. E in questo caso convengo con te, Firefox forse è il miglior equilibrio fra espandibilità, performance e sicurezza (anche se da utente Mac uso principalmente Safari, che con la versione 7 è finalmente tornato degno di nota).

  • # 27
    Nick Rostello
     scrive: 

    Mi ricordo di quando anni fa parlavamo di google, gmail e la galassia google, e ti dicevo spesso dei miei dubbi riguardo Nsa, google e privacy… Che dicevi allora? :):)

  • # 28
    Alessio Di Domizio (Autore del post)
     scrive: 

    Ehehe sei stato profetico! :-)
    Ma malgrado i rapporti di Snowden mi abbiano reso molto più paranoico, non smetto di credere anche in un altro aspetto della vicenda: ha molta più probabilità di influire sulla tua vita lo spionaggio praticato dal tuo vicino di casa (ricordi, all’epoca si parlava dei dossieraggi illegali di Telecom) che lo spione dall’altra parte dell’atlantico. Ciò detto, la ventilata capacità della NSA di elaborare quantità immani di dati e ottenere in tempi rapidi profili completi di chiunque mi inquieta e sposta gli equilibri di questo ragionamento, che credo resti ancora in piedi. Almeno fino a quando anche qualche forza deviata italiana avrà un pannello di accesso ai server della NSA. A quel punto non ci sarà differenza fra spionaggio locale e globale, e potremo dirci tutti in una silenziosa dittatura.

  • # 29
    Roberto
     scrive: 

    Leggendo i sorgenti, si svela l’arcano. Il browser si collega a server DNS pubblici quando quelli di sistema non riescono a risolvere un nome per verificare se sei collegato ad un captive portal (i portali che catturano il traffico chiedendo l’autenticazione, come negli alberghi o in Starbucks) per poi mostrare la pagina di login.

    Paradossalmente, il firewall impostato in modo molto restrittivo è la causa delle chiamate ai DNS di Google perché il browser crede di non essere capace di collegarsi ad internet con il DNS di sistema.

    https://code.google.com/p/chromium/codesearch#chromium/src/chrome/browser/net/dns_probe_service.h

    // Probes the system and public DNS servers to determine the (probable) cause
    // of a recent DNS-related page load error. Coalesces multiple probe requests
    // (perhaps from multiple tabs) and caches the results.
    //
    // Uses a single DNS attempt per config, and doesn’t randomize source ports.
    class DnsProbeService : public net::NetworkChangeNotifier::DNSObserver {

    https://code.google.com/p/chromium/codesearch#chromium/src/chrome/browser/net/dns_probe_service.cc

    // The public DNS servers used by the DnsProbeService to verify internet
    // connectivity.
    const char kGooglePublicDns1[] = “8.8.8.8”;
    const char kGooglePublicDns2[] = “8.8.4.4”;

    DnsProbeStatus EvaluateResults(DnsProbeRunner::Result system_result,
    DnsProbeRunner::Result public_result) {
    // If the system DNS is working, assume the domain doesn’t exist.
    if (system_result == DnsProbeRunner::CORRECT)
    return chrome_common_net::DNS_PROBE_FINISHED_NXDOMAIN;

    // If the system DNS is unknown (e.g. on Android), but the public server is
    // reachable, assume the domain doesn’t exist.
    if (system_result == DnsProbeRunner::UNKNOWN &&
    public_result == DnsProbeRunner::CORRECT) {
    return chrome_common_net::DNS_PROBE_FINISHED_NXDOMAIN;
    }

    // If the system DNS is not working but another public server is, assume the
    // DNS config is bad (or perhaps the DNS servers are down or broken).
    if (public_result == DnsProbeRunner::CORRECT)
    return chrome_common_net::DNS_PROBE_FINISHED_BAD_CONFIG;

    // If the system DNS is not working and another public server is unreachable,
    // assume the internet connection is down (note that system DNS may be a
    // router on the LAN, so it may be reachable but returning errors.)
    if (public_result == DnsProbeRunner::UNREACHABLE)
    return chrome_common_net::DNS_PROBE_FINISHED_NO_INTERNET;

    // Otherwise: the system DNS is not working and another public server is
    // responding but with errors or incorrect results. This is an awkward case;
    // an invasive captive portal or a restrictive firewall may be intercepting
    // or rewriting DNS traffic, or the public server may itself be failing or
    // down.
    return chrome_common_net::DNS_PROBE_FINISHED_INCONCLUSIVE;
    }

  • # 30
    Alessio Di Domizio (Autore del post)
     scrive: 

    @ Roberto
    Grazie dell’approfondimento, farò ulteriori verifiche. Resta il fatto che anche se lascio Chrome libero di connettersi dove vuole, per ogni richiesta si connette ai DNS di Google, via IPV4 e IPV6. In ogni caso, viste le privacy policy dei DNS di Google, sarebbe gradito un opt-in per una funzione del genere.

Scrivi un commento!

Aggiungi il commento, oppure trackback dal tuo sito.

I commenti inseriti dai lettori di AppuntiDigitali non sono oggetto di moderazione preventiva, ma solo di eventuale filtro antispam. Qualora si ravvisi un contenuto non consono (offensivo o diffamatorio) si prega di contattare l'amministrazione di Appunti Digitali all'indirizzo info@appuntidigitali.it, specificando quale sia il commento in oggetto.