Il servizio DNS di Cloudflare supera un'analisi indipendente in materia di privacy

Esattamente due anni fa Cloudflare presentò il suo servizio DNS 1.1.1.1: Server DNS 1.1.1.1: Cloudflare lancia il nuovo servizio che punta sulla privacy.
Sin dal momento della presentazione dei server DNS di Cloudflare in tanti sollevarono eccezioni in merito alla gestione dei dati personali degli utenti: in particolare si ipotizzò che la società di San Francisco potesse registrare e vendere a terzi, anche al fine della profilazione degli utenti, i dettagli sulle loro attività di navigazione online.

Cloudflare ha sempre smentito rimarcando che il servizio DNS 1.1.1.1 provvede a cancellare i log ogni 24 ore e che gli indirizzi IP degli utenti non sono mai registrati nella loro interezza.

Nonostante le rassicurazioni sul tema privacy presentate da Cloudflare, in molti hanno continuato ad avanzare dubbi sul comportamento dell’azienda statunitense. Dopo che Mozilla ha scelto i server di Cloudflare per attivare l’utilizzo del protocollo DNS-over-HTTPS (DoH; vedere Mozilla attiva DNS over HTTPS in Firefox: in Europa nelle prossime settimane) in Firefox (al fine di crittografare le richieste di risoluzione dei nomi a dominio) la polemica si è fatta ancora più aspra.

Così Cloudflare ha deciso di incaricare un’azienda specializzata indipendente – KPMG – per certificare il funzionamento dei suoi server DNS e far emergere eventuali criticità in tema privacy. Il risultato delle verifiche è consultabile cliccando qui.

Nel complesso, la relazione di KPMG conferma il modus operandi di Cloudflare anche se sono emerse alcune problematiche che hanno richiesto alcune modifiche alle informazioni sulla privacy condivise dall’azienda.

Ad esempio, Cloudflare ha dichiarato che non vengono mai scritti su disco gli indirizzi IP relativi alle richieste di risoluzione DNS. Ma John Graham-Cumming, CTO di Cloudflare, ha confermato che dopo l’analisi “abbiamo scoperto che i nostri router catturano in modo casuale fino allo 0,05% di tutte le richieste che passano attraverso di loro, compreso l’indirizzo IP degli utenti. Si tratta di un’attività svolta separatamente rispetto al servizio 1.1.1.1.1 per tutto il traffico che passa nella nostra rete e conserviamo tali dati per un periodo di tempo limitato al fine della risoluzione dei problemi di rete e per mitigare gli attacchi DoS“.

Nel complesso, comunque, il giudizio di KPMG è incoraggiante e l’esame del servizio 1.1.1.1 non ha evidenziato alcuna criticità rilevante in materia di privacy.