Piracy shield

Limiti tecnici del blocco tramite indirizzi IP e nomi di dominio

Tra le criticità evidenziate da esperti e operatori vi sono alcuni limiti strutturali derivanti dall'architettura stessa di Internet. Piracy Shield utilizza infatti come principali identificatori da bloccare gli FQDN e gli indirizzi IP, ma tra un contenuto, un servizio, un nome di dominio e un indirizzo IP non esiste necessariamente una corrispondenza biunivoca, né tale associazione è necessariamente stabile nel tempo.

In particolare, non è generalmente valida l'assunzione "un indirizzo IP = un servizio". Lo hosting virtuale permette a numerosi siti e servizi indipendenti di utilizzare lo stesso indirizzo IP. Il protocollo HTTP distingue i diversi servizi mediante il campo Host o, in HTTP/2 e HTTP/3, mediante il campo :authority. Un meccanismo analogo è utilizzato da TLS attraverso la cosiddetta Server Name Indication (SNI). Le CDN, i reverse proxy e le piattaforme di hosting possono pertanto servire un numero molto elevato di domini attraverso un insieme relativamente ridotto di indirizzi IP. Di conseguenza, il blocco dell'intero indirizzo IP può rendere irraggiungibili anche servizi che non hanno alcun rapporto con il contenuto contestato.

La condivisione degli indirizzi è inoltre una caratteristica sempre più comune di IPv4. A causa della progressiva scarsità degli indirizzi disponibili, gli operatori utilizzano tecniche quali il NAT e il Carrier-grade NAT (CGN), mediante le quali più dispositivi o abbonati possono condividere contemporaneamente lo stesso indirizzo IPv4 pubblico. In tali configurazioni è la combinazione di indirizzo, protocollo e porta, e non il solo indirizzo, a distinguere le diverse connessioni. Sebbene il CGN sia impiegato soprattutto nelle reti di accesso e non costituisca di per sé una tecnica per ospitare un servizio pubblico, rappresenta un esempio del fatto che un indirizzo IP non identifica necessariamente un singolo dispositivo, utente o servizio. Analogamente, reverse proxy, bilanciatori di carico e infrastrutture cloud possono nascondere dietro un singolo indirizzo pubblico numerosi sistemi distinti.

Non è valida neppure l'assunzione inversa, "un servizio = un indirizzo IP". È comune che uno stesso nome di dominio disponga contemporaneamente di più record A o AAAA, ad esempio per bilanciamento del carico, ridondanza e distribuzione geografica del traffico. Le CDN possono inoltre restituire indirizzi differenti in funzione della posizione dell'utente, del resolver DNS utilizzato, del carico o dello stato della rete. Con l'anycast, al contrario, uno stesso indirizzo IP può essere annunciato contemporaneamente da più nodi fisicamente distinti. L'indirizzo osservato nel momento in cui viene effettuata una segnalazione rappresenta quindi soltanto una possibile destinazione del servizio in quel momento.

Anche l'assunzione che l'associazione tra un servizio e il proprio indirizzo IP rimanga stabile è problematica. Gli indirizzi possono essere riassegnati a clienti differenti, mentre infrastrutture cloud e CDN possono modificarli per scalabilità, failover, mitigazione di attacchi DDoS o normali esigenze operative. Uno studio dell'Università di Twente su Piracy Shield ha riscontrato un'elevata rotazione degli indirizzi IPv4 associati ai domini bloccati e la successiva riassegnazione di indirizzi precedentemente inseriti nelle liste di blocco. Lo stesso studio ha osservato casi in cui i servizi contestati migravano verso nuovi indirizzi IPv4 o IPv6 non ancora bloccati. Ne consegue che un indirizzo bloccato può cessare di essere utilizzato dal servizio contestato e venire successivamente assegnato a un soggetto estraneo, mentre il servizio originario può continuare a funzionare attraverso un altro indirizzo.

La rotazione può anche essere deliberata. La tecnica detta fast flux utilizza record DNS con valori TTL molto bassi per associare rapidamente lo stesso dominio a indirizzi IP differenti, rendendo più difficile individuare e bloccare tutti gli host coinvolti. L'ICANN (il massimo organismo internazionale in materia di assegnamento degli indirizzi IP) descrive inoltre il fast flux hosting come una tecnica basata sulla modifica automatizzata e rapida degli indirizzi IP pubblicati nel DNS, utilizzata per rendere più difficile la localizzazione dell'infrastruttura che ospita un servizio. Strategie più semplici comprendono il cambio del nome di dominio, l'utilizzo di indirizzi presi in leasing, il passaggio tra IPv4 e IPv6 e la migrazione verso una nuova infrastruttura. Fenomeni di questo tipo sono stati osservati anche nello studio sul funzionamento di Piracy Shield.

Il blocco basato sul nome di dominio riduce alcuni dei danni collaterali del blocco per indirizzo IP, ma presenta a sua volta limitazioni. Un servizio può utilizzare più domini o modificarli rapidamente, mentre il blocco di un nome appartenente all'infrastruttura condivisa di una CDN, anziché del solo dominio del cliente, può coinvolgere altri utenti della stessa piattaforma. Nel febbraio 2025 la stessa AGCOM ha precisato che i segnalatori dovrebbero evitare risorse per le quali non sia possibile escludere il blocco di contenuti legittimi e ha indicato esplicitamente CDN, reverse proxy, servizi VPN e servizi di cloud storage come esempi di risorse caratterizzate da un elevato rischio di overblocking.

Un'ulteriore difficoltà è rappresentata dal cosiddetto domain fronting, nei sistemi che ne consentono l'utilizzo. In questo schema la connessione TLS viene instaurata verso un dominio di copertura appartenente a un'infrastruttura condivisa, mentre la richiesta HTTP viene successivamente indirizzata a un diverso servizio ospitato sulla medesima infrastruttura. L'IETF descrive questa tecnica come una forma di HTTP co-tenancy nella quale il servizio visibile dall'esterno può essere differente da quello effettivamente richiesto a livello applicativo. In tali condizioni, il blocco del dominio del servizio nascosto può non intercettare la connessione, mentre il blocco dell'indirizzo IP o del dominio di copertura rischia di coinvolgere gli altri servizi che condividono la stessa infrastruttura. Non tutte le CDN permettono il domain fronting, e numerosi operatori ne limitano o impediscono l'impiego.

Anche un eventuale filtraggio basato sul nome del server osservato durante la negoziazione TLS non costituisce una soluzione generale. Nel 2026 l'IETF ha standardizzato il cosiddetto Encrypted Client Hello (ECH), che cifra il ClientHello interno di TLS, compreso il nome del server richiesto, impedendo a un osservatore intermedio di utilizzarlo sistematicamente per distinguere servizi che condividono lo stesso indirizzo IP.

Queste caratteristiche determinano un compromesso tecnico tra precisione ed efficacia del blocco: un identificatore di rete ampio e relativamente stabile, come l'indirizzo di una CDN o di un reverse proxy, è più difficile da aggirare ma può corrispondere a numerosi servizi legittimi; un identificatore più specifico, come un singolo FQDN, riduce il rischio di danni collaterali ma può essere sostituito o spostato più facilmente. Il problema è stato riconosciuto anche nell'evoluzione della normativa: il decreto-legge n. 113 del 2024 ha sostituito, nella legge antipirateria, il requisito secondo cui gli IP e i domini dovevano essere "univocamente" destinati all'attività illecita con quello secondo cui devono esserlo "prevalentemente". AGCOM ha successivamente precisato che tale valutazione deve essere effettuata caso per caso secondo criteri di proporzionalità e ragionevolezza. Secondo lo studio dell'Università di Twente, la combinazione tra condivisione dell'infrastruttura, riassegnazione degli indirizzi e migrazione dei servizi verso risorse non ancora filtrate limita quindi la possibilità di ottenere simultaneamente, mediante sole liste di IP e FQDN, un blocco completo dei servizi contestati e l'assenza di blocchi collaterali su servizi legittimi.