DNS over HTTPS (DoH) は、HTTPS (Hypertext Transfer Protocol Secure) を使用して DNS (Domain Name System) リクエストを暗号化することで、そのリクエストのセキュリティとプライバシーを強化するプロトコルです。このプロトコルを使用すると、クライアントはドメイン名を IP アドレスに安全に解決できるため、第三者が DNS クエリや応答を簡単に傍受したり改ざんしたりすることがなくなります。 DNS over HTTPS はインターネット セキュリティにおける重要な進歩であり、DNS ハイジャックや盗聴などのさまざまな脅威からユーザーを保護できるため、人気が高まっています。
DNS over HTTPS (DoH) の起源の歴史とその最初の言及
DNS トラフィックを暗号化するという概念は以前から存在していましたが、DNS over HTTPS は、2017 年 10 月に Mozilla の Patrick McManus によって初めて提案されて大きな注目を集めました。 DoH プロトコルの最初の草案は、インターネット エンジニアリング タスク フォースで公開されました ( IETF)、パトリック・マクマナスおよびその他の寄稿者による。それ以来、このプロトコルは何度かの反復と改良を経て、広く受け入れられ、採用されるようになりました。
DNS over HTTPS (DoH) に関する詳細情報
DNS over HTTPS は、HTTPS の暗号化機能を利用してドメイン名を解決する安全かつプライベートな方法を提供します。従来の DNS クエリは通常、プレーン テキストで送信されるため、傍受や操作に対して脆弱になります。 DoH を使用すると、DNS クエリが暗号化され、安全なチャネル経由で送信されるため、次のような利点があります。
-
プライバシー： DNS over HTTPS は DNS 要求の内容を隠し、ISP、ネットワーク管理者、または悪意のある攻撃者が DNS トラフィックに基づいてユーザーのインターネット アクティビティを監視することを防ぎます。
-
安全： DNS トラフィックを暗号化すると、DNS スプーフィングや中間者攻撃などの DNS ベースの攻撃からユーザーが保護され、ユーザーが権威ある DNS サーバーから正当な応答を確実に受信できるようになります。
-
検閲を回避する: DNS over HTTPS は、特定の政府や ISP によって課された DNS フィルタリングや検閲を回避するのに役立ち、ユーザーはブロックされた Web サイトやサービスにアクセスできるようになります。
-
パフォーマンスを向上させた： HTTPS を使用することにより、DNS over HTTPS は既存のインフラストラクチャを活用し、安全な Web 通信のために行われた最適化の恩恵を受け、DNS 解決時間が短縮される可能性があります。
DNS over HTTPS (DoH) の内部構造 - その仕組み
DNS over HTTPS は、DNS クエリと応答を HTTPS パケットでラップすることによって動作し、専用の DoH サーバーとの間で送受信されます。ここでは、DNS over HTTPS がどのように機能するかを段階的に説明します。
-
クライアントのリクエスト: ユーザーのデバイスが DNS 解決要求を開始すると、デバイス上の DNS クライアントは、DoH 互換の DNS リゾルバーにクエリを送信します。DoH 互換の DNS リゾルバーは、通常、DoH サービス プロバイダーによって運用されます。
-
DNS クエリ暗号化: DNS クライアントは HTTPS を使用して DNS クエリを暗号化し、事実上 HTTPS GET または POST リクエストに変換します。
-
HTTP(S) トランスポート: 暗号化された DNS クエリは、標準 HTTPS ポート (443) 経由で DoH サーバーに送信されます。
-
DoH サーバーの処理: DoH サーバーは、暗号化された DNS クエリを受信して復号化し、DNS クエリを適切な DNS リゾルバーに転送して、要求されたドメイン名に関連付けられた IP アドレスを取得します。
-
DNS 解決: DNS リゾルバーはクエリを処理し、IP アドレスを取得して、応答を DoH サーバーに送り返します。
-
DNS 応答の暗号化: DoH サーバーは、HTTPS を使用して DNS 応答を暗号化します。
-
クライアントへの返答: 暗号化された DNS 応答は、HTTPS 接続経由でクライアントに返送されます。
-
クライアントの復号化: クライアントは DNS 応答を復号化し、IP アドレスを取得し、それを使用して目的の Web サーバーに接続します。
このプロセスにより、クライアントと DoH サーバー間のすべての DNS 通信が暗号化および安全な状態に保たれ、ユーザーのプライバシーとデータの整合性が保護されます。
DNS over HTTPS (DoH) の主要な機能の分析
DNS over HTTPS は、従来の DNS や他の DNS 暗号化方式とは異なるいくつかの重要な機能を提供します。
-
エンドツーエンドの暗号化: DNS over HTTPS は、クライアントから DoH サーバーへの DNS クエリを暗号化し、DoH サーバーからクライアントへの応答も暗号化します。このエンドツーエンドの暗号化により、クライアントと DoH サーバーのみが DNS クエリと応答を理解できるようになります。
-
携帯性: DNS over HTTPS は、HTTPS をサポートするあらゆるデバイスで使用できるため、幅広いプラットフォームやオペレーティング システムと互換性があります。
-
傍受に対するセキュリティ: DoH は HTTPS を活用することで、DNS リクエストの盗聴や改ざんを防ぎ、さまざまな DNS ベースの攻撃からユーザーを守ります。
-
プライバシーの強化: DNS over HTTPS はユーザーの DNS クエリを隠蔽し、ISP やその他のエンティティがインターネット アクティビティに関するデータを監視および収集することを防ぎます。
-
実装の容易さ: DoH は既存の HTTPS インフラストラクチャを利用するため、すでに HTTPS をサポートしている Web ブラウザーやアプリケーションでは、DNS over HTTPS の実装が比較的簡単です。
DNS over HTTPS (DoH) の種類
DNS over HTTPS 導入には主に 2 つのタイプがあります。
-
パブリック DoH リゾルバー: これらは、DoH 解決を一般に提供するさまざまな組織やサービス プロバイダーによって運営されている DoH サーバーです。ユーザーは、これらのパブリック DoH リゾルバーを直接使用するようにデバイスまたはアプリケーションを構成できます。
-
プライベート DoH リゾルバー: この場合、プライベート DoH リゾルバーが特定の組織のネットワーク インフラストラクチャ内にセットアップされ、パブリック DoH リゾルバーに依存せずに安全な DNS 解決をユーザーに提供します。プライベート DoH リゾルバーは、組織内の内部 DNS 解決のセキュリティとプライバシーを強化できます。
DNS over HTTPS (DoH) の使用
ユーザーが HTTPS 経由で DNS を利用できる方法はいくつかあります。
-
ウェブブラウザー： Mozilla Firefox や Google Chrome などの多くの最新の Web ブラウザには、DNS over HTTPS のサポートが組み込まれています。ユーザーはブラウザ設定内でこの機能を有効にして、強化されたセキュリティとプライバシーの恩恵を受けることができます。
-
オペレーティング システム構成: 一部のオペレーティング システムでは、ユーザーがシステム全体で DNS over HTTPS を有効にすることができ、さまざまなアプリケーションからのすべての DNS クエリが確実に暗号化されます。
-
サードパーティ製アプリケーション: ユーザーは、オペレーティング システムや Web ブラウザーとは関係なく、サードパーティの DNS over HTTPS クライアントや HTTPS 経由の DNS 解決を提供するアプリを使用することもできます。
問題と解決策
DNS over HTTPS には多くの利点がありますが、その導入には次のような課題もあります。
-
非互換性: すべての DNS リゾルバーまたは DNS サーバーが DoH をサポートしているわけではないため、非互換性の問題が発生する可能性があります。ただし、DoH が広く採用されているため、DNS リゾルバー オペレーターはこのプロトコルのサポートを追加するようになっています。
-
セキュリティ上の懸念: DNS over HTTPS は多くのセキュリティ問題に対処しますが、正しく実装されないと新たなリスクが生じる可能性があります。 DoH リゾルバーは DNS クエリの新しい仲介者となるため、ユーザーは使用している DoH リゾルバーを信頼する必要があります。潜在的なリスクを軽減するには、評判が良く信頼できる DoH サービス プロバイダーを採用することが不可欠です。
-
DNS フィルタリングとペアレンタル コントロール: DNS over HTTPS は DNS フィルタリングやペアレンタルコントロールのメカニズムを回避することができるため、コンテンツの制御や不適切または有害な Web サイトへのアクセスに関する懸念が生じる可能性があります。
-
ローカルネットワーク管理: DNS over HTTPS は、ローカル ネットワークの管理を DNS に依存しているネットワーク管理者にとって課題となる可能性があります。 DoH を大規模に実装するには、慎重な計画とローカル ネットワーク管理要件の考慮が必要です。
これらの課題に対処するには、組織や個人は DNS over HTTPS 展開を慎重に評価し、信頼できる DoH サービス プロバイダーを選択し、適切なセキュリティ対策を実装する必要があります。
主な特徴と類似用語との比較
以下は、DNS over HTTPS (DoH) と同様の DNS セキュリティ メカニズムとの比較です。
| 機構 | 特徴 | DoHとの比較 |
|---|---|---|
| DNS over TLS (DoT) | TLS (Transport Layer Security) を使用して DNS トラフィックを暗号化します。 | DoT と DoH は両方とも DNS トラフィックの暗号化を提供しますが、DoH は既存の Web インフラストラクチャを活用する HTTPS を使用し、より広くサポートされる可能性があります。 |
| DNSCrypt | 暗号化プロトコルを使用して DNS クエリを保護します | DNSCrypt も DNS 暗号化方式の 1 つですが、DoH は HTTPS の使用により人気が高まっており、すでに HTTPS をサポートしている Web ブラウザやシステムと互換性があります。 |
| VPN (仮想プライベート ネットワーク) | すべてのインターネット トラフィックを安全なプライベート ネットワーク経由でルーティングします。 | VPN はオンライン セキュリティ全体を強化できますが、DNS リクエストを保護するために特別に設計されたものではありません。 DoH は、すべてのトラフィックを別のネットワーク経由でルーティングすることなく、DNS 解決のための集中的な暗号化を提供します。 |
| DNSSEC (DNS セキュリティ拡張機能) | DNSデータにデジタル署名を追加します | DNSSEC は主に、DNS データの信頼性と整合性を確保することに重点を置いていますが、DNS クエリは暗号化されません。 DNSSEC と DoH は相互に補完し、包括的な DNS セキュリティ アプローチを提供します。 |
DNS over HTTPS は、DNS 通信のセキュリティを確保し、インターネット上のユーザーのプライバシーを保護する上で今後も大きな進歩をもたらす可能性があります。 DNS over HTTPS の普及が進むにつれて、DNS over HTTPS に関連する次のような開発とテクノロジが期待されます。
-
サポートの強化: より多くの DNS リゾルバーと DNS サーバーで DoH のサポートが追加され、安全な DNS 解決の標準機能になることが予想されます。
-
暗号化された SNI (サーバー名表示): 暗号化された SNI は、ユーザーがアクセスしようとしている Web サイトのホスト名を隠す補完的なテクノロジーです。 DoH と併用してプライバシーをさらに強化できます。
-
IoT デバイスの HTTPS 経由の DNS: モノのインターネット (IoT) が拡大し続ける中、IoT デバイスに DNS over HTTPS を実装すると、セキュリティが向上し、DNS の脆弱性を悪用する潜在的な攻撃を防ぐことができます。
-
標準化と規制: DoH の採用が進むにつれて、一貫性のある安全な使用を確保するために、その実装に関する標準化の取り組みと規制が導入される可能性があります。
プロキシ サーバーを使用する方法、または DNS over HTTPS (DoH) に関連付ける方法
プロキシ サーバーは、次の方法で DNS over HTTPS 展開を強化する上で重要な役割を果たします。
-
キャッシュと高速化: プロキシ サーバーは、DoH を通じて取得した DNS 応答をキャッシュできます。このキャッシュにより、後続の DNS 解決が高速化され、全体的な遅延が短縮され、ユーザー エクスペリエンスが向上します。
-
負荷分散: プロキシ サーバーは、DNS over HTTPS クエリを複数の DoH サーバーに分散して、効率的な利用を確保し、DoH インフラストラクチャの負荷を分散できます。
-
フィルタリングとロギング: プロキシ サーバーは、特定の DNS 要求をフィルタリングしたり、DNS トラフィックをログに記録したりするように構成でき、管理者にネットワーク内の DNS の使用状況に関する貴重な洞察を提供します。
-
プライバシーと匿名性: クライアントと DoH リゾルバーの間でプロキシ サーバーを使用することにより、ユーザーは自分の本当の IP アドレスを DoH リゾルバーから隠すことでプライバシーと匿名性をさらに強化できます。
-
地理位置情報とコンテンツ アクセス: プロキシ サーバーは、異なる地域にあるサーバーを介して HTTPS 経由で DNS リクエストをルーティングすることにより、地理的に制限されたコンテンツへのアクセスをユーザーに提供することもできます。
プロキシ サーバーを DNS over HTTPS セットアップに組み込むと、パフォーマンスが最適化され、セキュリティが向上し、追加の制御およびカスタマイズ オプションが提供されます。
関連リンク
DNS over HTTPS (DoH) の詳細については、次のリソースを参照してください。
- DNS over HTTPS に関する Internet Engineering Task Force (IETF) の草案: https://datatracker.ietf.org/doc/draft-ietf-doh-dns-over-https/
- Mozilla Developer Network (MDN) – DNS over HTTPS (DoH) の概要: https://developer.mozilla.org/en-US/docs/Web/HTTP/Overview_of_DNS_over_HTTPS
- Google Developers – DNS over HTTPS (DoH) の説明: https://developers.google.com/speed/public-dns/docs/doh
結論として、DNS over HTTPS (DoH) は、DNS 通信を保護し、インターネット上でユーザーのプライバシーを保護する上で重要な進歩です。 DoH は、HTTPS を使用して DNS クエリを暗号化することで、ユーザーの DNS リクエストの機密性を確保し、さまざまな脅威から保護します。 DoH は進化を続け、幅広い支持を得ているため、将来的にはインターネット セキュリティの標準機能となる可能性があります。プロキシ サーバーと DNS over HTTPS を組み込むと、パフォーマンスがさらに最適化され、組織と個々のユーザーの DNS 解決の制御が強化されます。
