DNS over HTTPS (DoH) は、ドメイン ネーム システム (DNS) と Hypertext Transfer Protocol Secure (HTTPS) を組み合わせたプロトコルで、ドメイン名を IP アドレスに解決するよりプライベートで安全な方法を提供します。DNS クエリと応答を HTTPS 内で暗号化し、ユーザー データを盗聴や改ざんから保護し、ISP やその他の仲介者が DNS トラフィックを監視または改ざんできないようにします。
DNS over HTTPS の起源とその最初の言及の歴史
DNS over HTTPS は、従来の DNS 解決に関連するセキュリティとプライバシーの懸念に対処する方法として、2017 年 10 月に Mozilla と Cloudflare のエンジニアによって最初に提案されました。このプロトコルは、インターネット サービス プロバイダー (ISP)、政府、または悪意のある行為者がユーザーの DNS クエリをスパイして、インターネットでの活動を明らかにし、プライバシー侵害につながる可能性を防ぐことを目的としていました。
DNS over HTTPS に関する詳細情報。トピック「DNS over HTTPS」の展開
DNS over HTTPS は、DNS クエリと応答を HTTPS パケット内にラップすることで動作し、トランスポート層セキュリティ (TLS) を使用して暗号化および認証されます。この暗号化により、意図した当事者のみがコンテンツを解読できるようになり、傍受や改ざんからコンテンツが保護されます。
ユーザーのデバイスがドメイン名を解決したい場合（例： www.example.com) を対応する IP アドレスに送信すると、DNS クエリが DNS サーバーに送信されます。 DoH を使用すると、デバイスは DNS に従来の UDP または TCP ポートを使用する代わりに、HTTPS トラフィックの標準ポートであるポート 443 経由で DNS クエリを送信します。その後、DNS クエリは DoH をサポートする DNS サーバーに転送されます。
DNS サーバーは、HTTPS 経由で DNS 応答を送り返し、暗号化ループを完了します。デバイスは応答を復号化し、目的の Web サイトにアクセスするために必要な IP アドレスを取得します。
HTTPS 上の DNS の内部構造。 DNS over HTTPS の仕組み
DNS over HTTPS の内部構造は、次の 3 つの主要コンポーネントに分けられます。
-
クライアント: クライアントとは、DNS 解決プロセスを開始するユーザーのデバイスまたはアプリケーションを指します。クライアントがドメイン名を解決したい場合、DNS クエリを生成し、HTTPS 接続経由で送信します。
-
DNS-over-HTTPS リゾルバ: このコンポーネントは、HTTPS 経由でクライアントの DNS クエリを受信します。クライアントと DNS サーバー間の仲介役として機能し、DNS トラフィックの暗号化と復号化を処理します。リゾルバーは、DNS クエリを DNS サーバーに転送し、暗号化された応答をクライアントに返す役割を担います。
-
DNSサーバー: DNS サーバーは DNS クエリを処理し、対応する DNS 応答を DNS-over-HTTPS リゾルバーに返します。DNS-over-HTTPS リゾルバーはそれを暗号化してクライアントに送り返します。
このプロセスにより、DNS クエリと応答が不正なアクセスや操作から確実に保護されます。
DNS over HTTPS の主な機能の分析
DNS over HTTPS は、プライバシーとセキュリティを強化するいくつかの重要な機能を提供します。
-
暗号化: DNS クエリと応答は TLS を使用して暗号化され、盗聴者が DNS トラフィックを傍受して解読するのを防ぎます。
-
信憑性: TLS は認証も提供し、クライアントが正当な DNS サーバーと通信しており、中間者攻撃を試みる偽者と通信していないことを保証します。
-
プライバシー: 従来の DNS 解決では、クエリがプレーンテキストで送信されるため、ユーザーの閲覧習慣が明らかになります。DoH を使用すると、ISP やその他の仲介者はユーザーの DNS トラフィックを監視できなくなります。
-
安全DoH は DNS を暗号化することで DNS スプーフィングやキャッシュ ポイズニング攻撃を防ぎ、DNS 解決の全体的なセキュリティを強化します。
-
無制限のアクセス注：一部のネットワークまたは地域では DNS トラフィックに制限が課される場合がありますが、DoH は標準の HTTPS ポート (443) を使用するため、これらの制限を回避できます。
-
パフォーマンスを向上させた: DoH は、DNS-over-HTTPS プロバイダーが使用するコンテンツ配信ネットワーク (CDN) の最適化されたインフラストラクチャを利用することで、DNS 解決パフォーマンスを向上させる可能性があります。
DNS over HTTPS の種類
DNS over HTTPS 実装には主に 2 つのタイプがあります。
-
パブリック DNS over HTTPS サービス: これらは、企業または組織が提供するサードパーティの DNS-over-HTTPS リゾルバーです。例としては、Cloudflare、Google、Quad9 などがあります。ユーザーは、これらのパブリック DoH サービスを使用するようにデバイスまたはアプリケーションを構成し、暗号化された DNS 解決を確保できます。
-
HTTPS サーバー上のプライベート DNS：パブリック DoH サービスの使用に加えて、ユーザーはプライベート DoH サーバーを設定して、自分のネットワークの DNS 解決を処理できます。このオプションでは、DNS クエリがサードパーティのサーバーを経由しないため、より詳細な制御とプライバシーが提供されます。
以下は、いくつかの一般的なパブリック DNS over HTTPS プロバイダーの比較表です。
| プロバイダー | IPアドレス | プライバシーポリシー | 特徴 |
|---|---|---|---|
| クラウドフレア | 1.1.1.1, 1.0.0.1 | プライバシー重視の DNS リゾルバー | マルウェアとフィッシングからの保護 |
| グーグル | 8.8.8.8, 8.8.4.4 | GoogleパブリックDNS | セーフ ブラウジングと DNSSEC のサポート |
| クワッド9 | 9.9.9.9 | プライバシーとセキュリティ | 悪意のあるドメインのフィルタリング |
| OpenDNS | 208.67.222.222 | シスコのアンブレラ | カスタマイズ可能なコンテンツフィルタリング |
ユーザーは、DNS リゾルバー設定を構成することで、デバイスまたはアプリケーションで DNS over HTTPS を有効にすることができます。最新の Web ブラウザの多くは DoH をネイティブにサポートしているため、ユーザーは暗号化された DNS 解決を簡単に選択できます。
ただし、DNS over HTTPS の導入にはいくつかの課題があります。
-
互換性注：すべての DNS サーバーが DoH をサポートしているわけではないため、HTTPS 経由で DNS を使用すると、一部のドメインが正しく解決されない可能性があります。ただし、DoH 互換の DNS サーバーの数は増加しています。
-
導入: プライベート DoH サーバーの場合、インフラストラクチャのセットアップと保守には技術的な専門知識が必要な場合があります。
-
検閲と監視: DoH はプライバシーを強化する一方で、コンテンツ フィルタリングや検閲措置を回避するために使用することもできるため、一部の政府やネットワーク管理者にとって懸念が生じます。
これらの課題に対処するには、HTTPS プロバイダー上で多様なパブリック DNS を用意し、DNS オペレーターの間で DoH の採用を促進することが不可欠です。
主な特徴と類似用語との比較
DNS over HTTPS をいくつかの類似用語と比較してみましょう。
-
DNS over TLS (DoT): DoH と同様に、DNS over TLS は DNS トラフィックを暗号化しますが、HTTP 層なしで TLS を使用します。どちらのプロトコルも、DNS を暗号化するという同じ目標を達成することを目的としていますが、DoH は標準の HTTPS ポートを使用するため、よりファイアウォールに適しています。
-
VPN (仮想プライベート ネットワーク): VPN は、DNS クエリを含むインターネット トラフィックも暗号化しますが、異なる層で動作します。 VPN はユーザーのデバイスと VPN サーバー間のすべてのトラフィックを暗号化しますが、DoH はクライアントと DNS-over-HTTPS リゾルバー間の DNS トラフィックのみを暗号化します。
-
DNSSEC (DNS セキュリティ拡張機能): DNSSEC は、データの整合性と認証を提供する DNS のセキュリティ機能です。 DNSSEC と DoH はセキュリティを強化するために一緒に使用できますが、目的は異なります。 DNSSEC は DNS データの改ざんから保護しますが、DoH は DNS トラフィックを盗聴や監視から保護します。
DNS over HTTPS は近年大きな注目を集めており、その将来は有望に見えます。オンライン プライバシーを優先するユーザーや組織が増えるにつれ、DoH は最新のブラウザーやアプリケーションの標準機能になる可能性があります。パブリック DNS over HTTPS プロバイダーの継続的な成長と、DNS オペレーターによる DoH の採用は、その普及に貢献すると考えられます。
さらに、DoH と DNSSEC の組み合わせや、DNS 目隠しなどのプライバシー保護機能の実装など、新しい DNS テクノロジーとセキュリティ強化の開発により、DNS 解決のプライバシーとセキュリティがさらに強化される可能性があります。
プロキシ サーバーを HTTPS 経由で使用または DNS に関連付ける方法
プロキシ サーバーは、DNS over HTTPS のコンテキストで、特に DNS 解決が制限されているシナリオや追加の匿名性が必要なシナリオで重要な役割を果たします。プロキシ サーバーを HTTPS 経由で DNS に関連付ける方法をいくつか示します。
-
DNS 制限のバイパス: DNS over HTTPS がブロックされている地域またはネットワークでは、ユーザーは DNS クエリをプロキシ サーバー経由でルーティングし、DoH リゾルバーにアクセスしてドメイン名を安全に解決できます。
-
匿名性の強化：プロキシ サーバーはユーザーと DoH リゾルバーの間の仲介者として機能し、ユーザーの IP アドレスを DNS リゾルバーから隠すことで追加の匿名性レイヤーを提供します。
-
負荷分散とキャッシュ: プロキシ サーバーは、DNS クエリを複数の DoH リゾルバーに分散するのに役立ち、より適切な負荷分散を保証し、キャッシュによって DNS 解決時間を短縮する可能性があります。
-
カスタム DoH の実装：組織は、DNS over HTTPS 機能を備えたプライベート プロキシ サーバーを導入することで、DNS トラフィックをより詳細に制御し、DNS プライバシーを維持できるようになります。
関連リンク
DNS over HTTPS の詳細については、次のリソースを参照してください。
- Mozilla Wiki – DNS over HTTPS
- Cloudflare – HTTPS 経由の DNS
- Google パブリック DNS – DNS over HTTPS
- Quad9 – HTTPS 経由の DNS
- IETF RFC 8484 – HTTPS 経由の DNS クエリ (DoH)
結論として、DNS over HTTPS はプロキシ サーバーの世界における重要な進歩であり、ユーザーの DNS クエリに対して強化されたプライバシーとセキュリティを提供します。 DNS over HTTPS は、HTTPS 内で DNS トラフィックを暗号化することで、機密情報の機密性を確保し、不正なアクセスから保護します。インターネットが進化し続けるにつれて、DNS over HTTPS は、オンライン通信を保護し、潜在的な脅威からユーザー データを保護するために不可欠な部分になる可能性があります。
