Cosa sono i filtri Internet? Tipi, utilizzi e funzionamento
I filtri Internet sono sistemi software o hardware che limitano l'accesso a contenuti online in base a regole definite. Sono le "barriere di protezione" dell'accesso di rete — usati in case, scuole, aziende e nazioni.
Casi d'uso principali
| Contesto | Obiettivo | Esempi |
|---|---|---|
| Controllo parentale | Proteggere bambini da pornografia, violenza, gioco d'azzardo, predatori | Qustodio, Bark, Net Nanny, Circle, Disney Circle, integrati nel router |
| Sicurezza aziendale | Bloccare malware, phishing, C2, esfiltrazione dati, shadow IT | Cisco Umbrella, Zscaler, Palo Alto, FortiGuard, DNSFilter |
| Produttività sul luogo di lavoro | Limitare social, streaming, shopping, gaming durante l'orario di lavoro | Gli stessi di sopra + gruppi basati su policy |
| Compliance/Legale | Applicare regolamenti (CIPA, GDPR, HIPAA, leggi locali) | Blocco basato su categorie, log, reportistica |
| Censura governativa | Controllo del flusso informativo, repressione del dissenso | Great Firewall (CN), Roskomnadzor (RU), BTK (TR), firewall nazionali |
Tecniche di filtraggio (Difesa a strati)
1. Filtraggio DNS (Il più comune, latenza più bassa)
- Intercetta le query DNS → restituisce
0.0.0.0o IP di pagina di blocco per domini proibiti. - Esempi: NextDNS, Control D, OpenDNS, Quad9, CleanBrowsing, Pi-hole (self-hosted).
- Pro: Veloce, copre tutti i dispositivi, difficile da aggirare (se DoH/DoT bloccato).
- Contro: Solo a livello di dominio (nessun URL/path), criptabile via DoH/DoT/DoQ.
2. Filtraggio URL/contenuto (Proxy / SWG)
- Ispezione completa HTTP/HTTPS (MITM con CA attendibile) → analizza URL, intestazioni, corpo.
- Blocca pagine specifiche, file, keyword, tipi MIME.
- Enterprise: Secure Web Gateway (SWG) — Zscaler, Netskope, Forcepoint, Menlo.
- Pro: Granulare (path, query, contenuto). Contro: Complesso, preoccupazioni privacy, impatto prestazioni.
3. Blocco IP/Porta/Protocollo (Firewall / ACL)
- Livello 3/4: blocca IP (host malevoli), porte (non standard), protocolli (Tor, P2P, VPN).
- Next-Gen Firewalls (Palo Alto, FortiGate, Check Point) aggiungono App-ID, decrittazione SSL.
4. Controllo Applicazione/Livello 7
- Identifica app indipendentemente dalla porta (DPI, SNI, impronta JA3).
- Blocca: TikTok, Telegram, BitTorrent, Gaming, Miner di criptovalute.
5. Agenti endpoint
- Installati sul dispositivo: Microsoft Defender, CrowdStrike, Jamf, Kandji.
- Applicano policy fuori rete (smart working).
- Vedono il traffico crittografato prima della crittografia.
Metodi di aggiramento (E contromisure)
| Aggiramento | Contromisura |
|---|---|
| VPN / Proxy | Blocca IP VPN noti, DPI per protocolli VPN, agente endpoint |
| DoH/DoT/DoQ (DNS crittografato) | Blocca provider DoH, impone DoH via policy, DNS endpoint |
| Tor / Onion | Blocca nodi entry Tor, rilevamento bridge |
| Hotspot mobile / Dispositivo personale | MDM/agente endpoint, segmentazione di rete |
| DNS alternativo (8.8.8.8, 1.1.1.1) | Forza DNS via DHCP/Policy, blocca uscita porta 53 |
Considerazioni etiche e legali
- Trasparenza: gli utenti dovrebbero sapere che esiste il filtraggio e perché.
- Proporzionalità: blocca solo ciò che è necessario.
- Processo di appello: segnalazione falsi positivi, richieste di eccezione.
- Privacy: minimizza i log; anonimizza; rispetta GDPR/CCPA.
- Overblocking: siti legittimi bloccati (medici, LGBTQ+, politici).
I filtri sono potenti. Implementali con policy chiare, comunicazione agli utenti e revisione regolare — altrimenti diventano strumenti di censura piuttosto che di sicurezza.