DNS over HTTPSとDNS over TLSの違い

DNS over HTTPS（DoH）とDNS over TLS（DoT）は、クライアントと、そのクライアントが選んだリゾルバーとのあいだのDNS通信を暗号化します。どちらも経路のこの区間を、ネットワーク上での気軽な盗み見や改ざんから守ります。ただし、どちらを使ってもWebサイトへのアクセスが完全に見えなくなったり、匿名になったりするわけではありません。

リクエストが届くまでの流れ

DoHはDNSのクエリと応答をHTTPSのやり取りに載せる方式で、RFC 8484で規定されています。DoTはDNSメッセージを専用のTLS接続で運ぶ方式で、RFC 7858に仕様があります。いずれも、クライアントとリゾルバーの両方が対応していること、そしてリゾルバーの認証が必要です。「セキュアDNS」という設定項目があるだけでは、どのプロバイダーが選ばれているのか、通常のDNSにフォールバックすることがあるのかまではわかりません。

DoHはブラウザーやアプリケーションに組み込まれていることが多く、一般的なHTTPSのインフラを使う場合があります。一方、DoTはOSやネットワーク側で設定されることが多く、DNS専用の接続を使います。ただしこれはよくあるパターンにすぎず、保証ではありません。実際の動作はデバイス、アプリケーション、ネットワークのポリシーによって決まります。ポート番号やプロトコル名だけで、そのサービスが信頼できるとは判断できません。

見えたままになる情報

選んだリゾルバーの運営者は、回答に必要なクエリを受け取ります。アクセス先のWebサイトには接続が見えますし、ネットワーク上のほかの関係者には接続のIPアドレスなどのメタデータが見える可能性があります。DNSを暗号化しても、閲覧履歴、Cookie、アカウントへのログイン状態、サイトに入力した情報が消えるわけではありません。プライバシーについて判断するときは、接続経路全体とリゾルバーのデータポリシーを確認しましょう。

DNSSECは目的が異なります。信頼の連鎖が設定されていれば、署名付きDNSデータの出どころと完全性を検証できますが、クライアントとリゾルバー間のクエリを暗号化するものではありません。DoHやDoTのリゾルバーがDNSSECの検証を行うこともできます。これらは互いに置き換えるものではなく、補い合う仕組みと考えてください。DNSサーバーの応答そのものは2IPのDNS応答時間の確認で確かめられます。

実際の設定を確認する

ブラウザーがシステムのDNS設定を使っているのか、独自の暗号化リゾルバーを使っているのかを確認します。想定される回答をドメイン設定チェックの結果や、選択したリゾルバー経由のクエリと比べてみましょう。回答が異なっていても、必ずしもリークとは限りません。CDNはリゾルバーの位置などの条件に応じて回答を変えることがあります。暗号化リゾルバーが利用できなくなったときにどうなるかも、テストしておきましょう。

管理されたネットワークでは、フィルタリング、内部向けの名前、セキュリティポリシーの都合で、特定のリゾルバーの使用が求められることがあります。DNSを勝手に変更すると、社内リソースにアクセスできなくなるおそれがあります。設定を変える前に、ネットワークの管理者が誰か、名前解決できなければならない名前は何か、別のDNS経路が許可されているかを確認してください。

目的に合わせて選ぶ

プライバシーをうたう宣伝文句ひとつで決めるのではなく、プロバイダーの可用性、データの取り扱い、DNSSEC検証の有無、障害時の挙動を評価しましょう。変更したあとは、一般的なWebサイトと必要な内部向けの名前の両方で動作をテストします。根本的な原因が権威DNSサーバー側のレコードの誤りであれば、DNSの通信方式を変えても解決しません。