Loading article…
| 通信プロトコル | |
| 目的 | プライバシーとセキュリティのためにDNSをHTTPSでカプセル化する |
|---|---|
| 導入 | 2018年10月 |
| OSI層 | アプリケーション層 |
| RFC(複数) | RFC 8484 |
DNS over HTTPS ( DoH ) は、 HTTPSプロトコルを介してリモート ドメイン ネーム システム (DNS) 解決を実行するためのプロトコルです。この方法の目標は、 HTTPS プロトコルを使用して DoH クライアントと DoH ベースの DNS リゾルバ間のデータを暗号化することにより、中間者攻撃[1]による DNS データの盗聴や操作を防ぎ、ユーザーのプライバシーとセキュリティを強化することです。[2] 2018 年 3 月までに、 GoogleとMozilla Foundation はDNS over HTTPS のバージョンのテストを開始しました。[3] [4] 2020 年 2 月、Firefox は米国のユーザーに対してデフォルトで DNS over HTTPS に切り替えました。[5] 2020 年 5 月、Chrome はデフォルトで DNS over HTTPS に切り替えました。[6]
DoHの代替として、DNS over TLS（DoT）プロトコルがあります。これはDNSクエリを暗号化するための同様の標準であり、暗号化と配信に使用される方法のみが異なります。プライバシーとセキュリティに基づいて、どちらのプロトコルが優れているかは議論の余地のある議論ですが、どちらかのメリットは特定のユースケースに依存すると主張する人もいます。[7]
技術的な詳細
DoHはIETFによってRFC 8484（2018年10月）として公開された提案標準です。HTTPSを使用し、既存のUDP応答で返されるワイヤ形式のDNS応答データを、 MIMEタイプapplication/dns-messageのHTTPSペイロードでサポートします。[1] [8] ：§4.1 基盤となるHTTPレイヤーはHTTPの任意のバージョンにすることができますが、HTTP/2が最低限推奨されます。[8] ：§5.2 HTTP/2を使用する場合、サーバーはHTTP/2サーバープッシュを使用して、クライアントが事前に有用であると予測する値を送信することもできます。[8] ：§5.3
DoH は現在も開発中です。IETF は RFC 8484 を標準案として公開し、企業が実験を行っていますが[9] [10]、 IETF はまだ DoH を最も効果的に実装する方法を決定していません。IETF は DoH を最も効果的に展開するためのさまざまなアプローチを評価しており、[いつ? ]作業グループ Adaptive DNS Discovery (ADD) を設立してこの作業を行い、合意を形成する予定です。さらに、Encrypted DNS Deployment Initiative などの他の業界作業グループが結成され、「インターネットの重要な名前空間と名前解決サービスの継続的な高いパフォーマンス、回復力、安定性、セキュリティを確保するとともに、DNS に依存するセキュリティ保護、ペアレンタル コントロール、その他のサービスの継続的な機能の維持を確保する方法で DNS 暗号化技術を定義および採用する」ことを目指しています[11] 。
DoHはキャプティブポータルのような状況下では使用できないため、Firefoxなどのウェブブラウザは安全でないDNSにフォールバックするように設定できます。[12]
無意識の DNS over HTTPS
Oblivious DNS over HTTPS (ODoH) は、IETFによってRFC 9230 (2022 年 6 月)として公開された実験的な標準であり、単一の DoH サーバーがクライアントの IP アドレスと DNS クエリおよび応答の内容の両方を認識しないようにするためのプロトコル拡張を提案しています。Oblivious DoH は、 DoH 自体が標準化され広く導入される前に、プリンストン大学とシカゴ大学の研究者によって暗号化されていない DNS の拡張として Oblivious DNS (ODNS) [13]として開発されました。その後、Apple と Cloudflare が、Oblivious DoH (ODoH) としてこの技術を DoH のコンテキストで導入しました。[14]
ODoH と ODNS では、すべての DNS 要求と応答はプロキシ経由でルーティングされ、リゾルバからクライアントのアドレスが隠されます。要求と応答はプロキシから内容を隠すために暗号化され、リゾルバだけが要求を解読でき、クライアントだけが応答を解読できます。したがって、プロキシはクライアントのアドレスとリゾルバを認識しますが、要求は認識しません。また、リゾルバはプロキシと要求を認識しますが、クライアントのアドレスは認識しません。そのため、プロキシとリゾルバの両方のサーバーが共謀しない限り、クライアントのアドレスがクエリにリンクされることはありません。[15] [16] [17] [18]
展開シナリオ
DoHはDNSリゾルバによる再帰DNS解決に使用されます。リゾルバ（DoHクライアント）はクエリエンドポイントをホストするDoHサーバーにアクセスできる必要があります。[19]
一般的な使用シナリオは次の 3 つです。
- アプリケーション内での DoH 実装の使用: 一部のブラウザには DoH 実装が組み込まれているため、オペレーティング システムの DNS 機能をバイパスしてクエリを実行できます。欠点は、誤った構成や DoH のサポート不足により、アプリケーションが DoH クエリをスキップした場合にユーザーに通知されない可能性があることです。
- ローカル ネットワークのネーム サーバーに DoH プロキシをインストールする: このシナリオでは、クライアント システムは従来の (ポート 53 または 853) DNS を引き続き使用してローカル ネットワークのネーム サーバーにクエリを実行し、その後、インターネットの DoH サーバーにアクセスして DoH 経由で必要な応答を収集します。この方法は、エンド ユーザーには透過的です。
- ローカル システムに DoH プロキシをインストールする: このシナリオでは、オペレーティング システムはローカルで実行されている DoH プロキシを照会するように構成されます。前述の方法とは対照的に、プロキシは DoH を使用する各システムにインストールする必要があり、大規模な環境では多大な労力が必要になる可能性があります。
ソフトウェアサポート
オペレーティングシステム
りんご
2020年後半にリリースされたAppleのiOS 14とmacOS 11は、DoHプロトコルとDoTプロトコルの両方をサポートしています。[20] [21] iOSでは、構成プロファイルを介してプロトコルを使用できます。
ウィンドウズ
2019年11月、マイクロソフトはMicrosoft WindowsにDoHから始まる暗号化DNSプロトコルのサポートを実装する計画を発表しました。[22] 2020年5月、マイクロソフトはWindows 10 Insider Preview Build 19628をリリースしました。これにはDoHの初期サポート[23]と、レジストリとコマンドラインインターフェイスを介してそれを有効にする方法の説明が含まれていました。[24] Windows 10 Insider Preview Build 20185では、DoHリゾルバーを指定するためのグラフィカルユーザーインターフェイスが追加されました。[25] DoHサポートはWindows 10 21H2には含まれていません。[26]
Windows 11はDoHをサポートしています。[27]
アンドロイド
Android 11以降では、 2022年7月のシステムアップデートがインストールされている場合、DNS over HTTP/3 （DoH3）がサポートされます。 [28]
再帰DNSリゾルバ
バインド
Internet Systems ConsortiumのオープンソースDNSリゾルバであるBIND 9は、バージョン9.17.10でDoHのネイティブサポートを追加しました。[29]
パワーDNS
PowerDNSのオープンソースDNSプロキシ/ロードバランサーであるDNSdistは、2019年4月のバージョン1.4.0でDoHのネイティブサポートを追加しました。[30]
縛られない
NLnet Labsによって作成されたオープンソースのDNSリゾルバであるUnboundは、2020年10月にリリースされたバージョン1.12.0からDoHをサポートしています。[31] [32]代替のDoTプロトコルを使用したDNS暗号化のサポートは、2011年12月にリリースされたバージョン1.4.14から初めて実装されました。 [33] [34] Unboundは、 Linux、BSD、MacOS、Windowsのディストリビューションを含むほとんどのオペレーティングシステムで動作します。
ウェブブラウザ
グーグルクローム
DNS over HTTPSは、Windows、Linux、macOS用のGoogle Chrome 83以降で利用可能で、設定ページで設定できます。有効にすると、オペレーティングシステムがサポートされているDNSサーバーで構成されている場合、ChromeはDNSクエリを暗号化するようにアップグレードします。 [35]また、ユーザーインターフェース内で使用するプリセットまたはカスタムDoHサーバーを手動で指定することもできます。[36]
2020年9月、Android版Google ChromeはDNS over HTTPSの段階的な展開を開始しました。ユーザーは設定でカスタムリゾルバを構成したり、DNS over HTTPSを無効にしたりできます。[37]
Google Chromeには、 Google Public DNS、Cloudflareの1.1.1.1、Quad9の9.9.9.9、NextDNS、CleanBrowsingの5つのDNS over HTTPSプロバイダーが事前設定されています。[38]
マイクロソフトエッジ
Microsoft EdgeはDNS over HTTPSをサポートしており、設定ページで設定できます。有効にすると、オペレーティングシステムがサポートされているDNSサーバーで構成され、EdgeはDNSクエリを暗号化するようにアップグレードします。また、ユーザーインターフェイス内で使用するプリセットまたはカスタムDoHサーバーを手動で指定することもできます。[39]
モジラファイアフォックス
2018年、MozillaはCloudflareと提携し、DoHを有効にするFirefoxユーザーにDoHを提供しました（Trusted Recursive Resolverとして知られています）。 [40] 2020年2月25日、Firefoxは米国を拠点とするすべてのユーザーに対してDNS over HTTPSを有効にし、デフォルトでCloudflareのリゾルバに依存し始めました。[41]
オペラ
OperaはDoHをサポートしており、ブラウザ設定ページで設定可能です。[42]デフォルトでは、DNSクエリはCloudflareサーバーに送信されます。[43]
パブリックDNSサーバー
DNS over HTTPS サーバーの実装は、すでに一部のパブリック DNS プロバイダーによって無料で提供されています。
実装に関する考慮事項
DoH を適切に展開する方法に関する多くの問題は、インターネット コミュニティによってまだ解決中です。これには以下が含まれますが、これらに限定されません。
- セキュリティ上の目的で第三者によるDNSトラフィックの分析を阻止する
- DNSレベルのペアレンタルコントロールとコンテンツフィルタの中断
- 企業ネットワークにおける DNS の分割[引用が必要]
- CDN ローカリゼーション[要出典]
セキュリティ目的でのDNSトラフィックの分析
DoHは、サイバーセキュリティの目的でDNSトラフィックの分析と監視を妨げる可能性があります。2019年のDDoSワームGodluaは、コマンドアンドコントロールサーバーへの接続を隠すためにDoHを使用しました。[44] [45]
2021年1月、NSAはDNSクエリのフィルタリング、検査、監査を妨げるため、企業に対して外部DoHリゾルバを使用しないよう警告した。代わりに、NSAは企業所有のDoHリゾルバを設定し、既知のすべての外部DoHリゾルバをブロックすることを推奨している。[46]
コンテンツフィルターの破壊
DoHは、（暗号化されていない）標準DNSレベルで動作するペアレンタルコントロールを回避するために使用されてきました。DNSクエリを使用してドメインをブロックリストと照合するペアレンタルコントロールルーターであるCircleは、このためデフォルトでDoHをブロックします。 [47]ただし、DoHサーバーを運用してDoHのサポートに加えてフィルタリングとペアレンタルコントロールを提供するDNSプロバイダーもあります。[48] [49]
英国の ISP を代表する業界団体であるインターネットサービスプロバイダー協会(ISPA) と、同じく英国の団体であるインターネットウォッチ財団は、 Firefoxウェブブラウザの開発元であるMozilla がDoH を支持していることを批判した。同協会は、DoH が英国のウェブブロッキングプログラム (ISP による成人向けコンテンツのデフォルトフィルタリングや、著作権侵害に対する裁判所命令による強制フィルタリングなど) を弱体化させると考えているためだ。ISPA は、2019 年の「インターネット悪者」賞に (EU のデジタル単一市場における著作権に関する指令やドナルド・トランプと並んで) Mozilla をノミネートしたが、その理由は「英国のフィルタリング義務やペアレンタルコントロールを回避する方法で DNS-over-HTTPS を導入するという提案が、英国のインターネット安全基準を弱体化させている」ためだ。Mozilla は ISPA の申し立てに対し、フィルタリングを阻止することはできないとし、「ISP の業界団体が、数十年前のインターネットインフラの改善を誤って伝えることを決定したことに驚き、失望している」と述べた。[50] [51]批判を受けて、ISPAは謝罪し、指名を取り下げた。[52] [53] Mozillaはその後、関係する利害関係者とのさらなる協議が行われるまで、英国市場ではDoHがデフォルトとして使用されることはないと述べたが、「英国国民に真のセキュリティ上のメリットをもたらすだろう」と述べた。[54]
参照
参考文献
- ^ ab Chirgwin, Richard (2017年12月14日). 「IETFがDNS over HTTPSでプライバシーを保護し、ネット中立性を確保」The Register。2017年12月14日時点のオリジナルよりアーカイブ。 2018年3月21日閲覧。
- ^ 「DNS over HTTPS · Cloudflare 1.1.1.1 ドキュメント」。Cloudflare Docs . 2024-01-17 . 2024-02-21に閲覧。
- ^ 「DNS-over-HTTPS | パブリック DNS | Google Developers」。Google Developers。2018年 3 月 20 日時点のオリジナルよりアーカイブ。2018年 3 月 21 日閲覧。– Google は 2 つのエンドポイントを提供しています。1 つは 2018 JSON API 用、もう 1 つは RFC 8484 API 用です。
- ^ Cimpanu, Catalin (2018-03-20). 「Mozilla が Firefox で「DNS over HTTPS」サポートをテスト中」BleepingComputer。 2018-03-20 時点のオリジナルよりアーカイブ。2018-03-21に取得。
- ^ 「オンラインプライバシーに向けた、長らく遅れていた技術的シフト」：Firefoxがドメイン名を暗号化。Googleも追随へ。What 's New in Publishing | Digital Publishing News。2020年2月26日。2020年2月26日時点のオリジナルよりアーカイブ。 2020年2月26日閲覧。
- ^ 「Google、Chrome で DNS Over HTTPS をデフォルトに」Decipher 2020-05-20 2024-03-29閲覧。
- ^ Claburn, Thomas ( 2020-05-20 ). 「Google が Chrome 83 でプライバシー保護に配慮した DNS-over-HTTPS サポートを展開... 企業 IT 向けの便利なキルスイッチも搭載」The Register。2021-02-03 閲覧。
- ^ abc Hoffman, P; McManus, P. 「RFC 8484 - DNS Queries over HTTPS」。datatracker.ietf.org 。 2018年12月12日時点のオリジナルよりアーカイブ。2018年5月20日閲覧。
- ^ 「同一プロバイダーの DNS-over-HTTPS アップグレードの実験」。Chromium ブログ。2019 年 9 月 12 日時点のオリジナルよりアーカイブ。2019 年 9 月 13 日閲覧。
- ^ Deckelmann, Selena (2019 年 9 月 6 日)。「暗号化された DNS-over-HTTPS をデフォルトにする次のステップ」。今後のリリース。2019 年 9 月 14 日時点のオリジナルよりアーカイブ。2019 年 9 月 13 日閲覧。
- ^ 「About」。Encrypted DNS Deployment Initiative。2019年12月4日時点のオリジナルよりアーカイブ。2019年9月13日閲覧。
- ^ Firefox での DNS プライバシーの向上
- ^ Schmitt, Paul; Edmundson, Anne; Feamster, Nick (2019). 「Oblivious DNS: DNS クエリの実用的なプライバシー」(PDF) . Privacy Enhancing Technologies . 2019 (2): 228–244. arXiv : 1806.00276 . doi :10.2478/popets-2019-0028. S2CID 44126163.
- ^ 「CloudflareとAppleがOblivious DNSを導入」2020年12月9日。 2022年7月27日閲覧。
- ^ McManus, Patrick; Wood, Christopher; Kinnear, Eric; Pauly, Tommy. 「Oblivious DNS Over HTTPS」. Ietf Datatracker . 2021-03-17閲覧。
- ^ シンガナマラ、スディーシュ;チュンハパンヤ、スパナト。ヴァヴルシャ、マレク。ヴェルマ、ターニャ。ウー、ピーター。ファイエド、マーワン。ハイメルル、カーティス。サリバン、ニック。クリストファー・ウッド（2020）。 「Oblivious DNS over HTTPS (ODoH): DNS の実用的なプライバシー強化」。arXiv : 2011.10121 [cs.CR]。
- ^ Goodin, Dan (2020-12-08). 「Cloudflare、Apple、その他がインターネットのプライバシーをより高める新たな方法を支持」Ars Technica . 2021-03-14閲覧。
- ^ 「CloudflareとAppleがプライバシーに配慮した新しいインターネットプロトコルを設計」TechCrunch 2020年12月8日2021年3月17日閲覧。
- ^ Hoffman, P; McManus, P. 「draft-ietf-doh-dns-over-https-08 - DNS Queries over HTTPS」。datatracker.ietf.org。2018年4月25日時点のオリジナルよりアーカイブ。2018年5月20日閲覧。
- ^ 2020年6月、Anthony Spadafora 29（2020年6月29日）。「AppleデバイスはiOS 14とmacOS 11で暗号化されたDNSを取得する」。TechRadar。2020年7月1日時点のオリジナルよりアーカイブ。2020年7月1日閲覧。
{{cite web}}: CS1 maint: 数値名: 著者リスト (リンク) - ^ Cimpanu、Catalin。「Apple、暗号化DNS（DoHおよびDoT）のサポートを追加」ZDNet。2020年6月27日時点のオリジナルよりアーカイブ。 2020年7月2日閲覧。
- ^ Gallagher, Sean (2019-11-19). 「Microsoft says yes to future encrypted DNS request in Windows」Ars Technica . 2019-11-19時点のオリジナルよりアーカイブ。2019-11-20に閲覧。
- ^ “Windows 10 Insider Preview Build 19628 を発表”. 2020年5月13日. 2020年5月18日時点のオリジナルよりアーカイブ。2020年5月13日閲覧。
- ^ 「Windows Insiders が DNS over HTTPS をテストできるようになりました」。2020 年 5 月 13 日。2020 年 5 月 15 日時点のオリジナルよりアーカイブ。2020年7 月 7 日閲覧。
- ^ Brinkmann, Martin (2020年8月6日). 「Windows 10 ビルド 20185 には暗号化された DNS 設定が付属 - gHacks Tech News」gHacks Tech News . 2020年8月15日時点のオリジナルよりアーカイブ。 2020年8月6日閲覧。
- ^ MandiOhlinger. 「IT プロフェッショナル向け Windows 10 バージョン 21H2 の新機能 - Windows の新機能」. docs.microsoft.com . 2022 年 2 月 9 日閲覧。
- ^ 「Windows 11 で DNS-Over-HTTPS (DoH) を構成して使用する方法」。Appuals.com . 2021-07-28 . 2021-10-20閲覧。
- ^ 「Android の DNS-over-HTTP/3」。Googleオンライン セキュリティ ブログ。
- ^ Boldariev, Artem (2021年2月17日). 「BINDがDoHを実装」ISCウェブサイト. インターネットシステムコンソーシアム. 2021年2月17日閲覧。
- ^ 「dnsdist 1.4.0-alpha2 with DNS over HTTPS support」PowerDNS ブログ2019-04-26 . 2021-05-10閲覧。
- ^ Wijngaards、Wouter (2020 年 10 月 8 日)。 「Unbound 1.12.0 リリース」。NLネットラボ。2020 年10 月 24 日に取得。
- ^ Dolmans, Ralph (2020 年 10 月 9 日). 「Unbound の DNS-over-HTTPS」. The NLnet Labs Blog . 2020 年10 月 24 日閲覧。
- ^ Wijngaards, Wouter (2011年12月19日). 「Unbound 1.4.14 リリース」. Unbound-users メーリングリスト. 2020年10月24日閲覧。
- ^ ワインガルツ、ワウター。 「DNS over SSL サポート」。GitHub 。2020 年10 月 24 日に取得。
- ^ “DNS over HTTPS (別名DoH)”。2020年5月27日時点のオリジナルよりアーカイブ。2020年5月23日閲覧。
- ^ “Chrome 83: DNS over HTTPS (Secure DNS) のロールアウト開始”. 2020年5月20日. 2020年6月1日時点のオリジナルよりアーカイブ。 2020年7月20日閲覧。
- ^ Catalin Cimpanu. 「Android版ChromeにDNS-over-HTTPS（DoH）サポートを追加」ZDNet . 2021年2月3日閲覧。
- ^ 「DNS over HTTPS (別名 DoH)」。www.chromium.org 。2022年5月5日閲覧。
- ^ 「Windows 10でDNS-over-HTTPS (DoH)を有効にする方法」BleepingComputer . 2021年1月23日閲覧。
- ^ 信頼できる再帰リゾルバ
- ^ Deckelmann, Selena. 「Firefox は、米国ユーザー向けに DNS over HTTPS をデフォルトで導入するための取り組みを継続」。Mozillaブログ。2020 年 5 月 27 日時点のオリジナルよりアーカイブ。2020年 5 月 28 日閲覧。
- ^ “Changelog for 67”. 2019年12月3日. 2020年8月23日閲覧。
- ^ 「各ブラウザでDoHを有効にする方法、ISPは関係ない」ZDNet。2020年6月9日時点のオリジナルよりアーカイブ。2020年5月28日閲覧。
- ^ Cimpanu、Catalin。「DNS-over-HTTPS は解決するよりも多くの問題を引き起こす、と専門家は言う」ZDNet。2019年 11 月 8 日のオリジナルからアーカイブ。2019年 11 月 19 日に取得。
- ^ Cimpanu、Catalin。「新しいDoH（DNS over HTTPS）プロトコルを悪用した初のマルウェア株が発見される」ZDNet。2019年10月27日時点のオリジナルよりアーカイブ。 2019年11月19日閲覧。
- ^ Goodin, Dan (2021-01-15). 「NSAは企業にサードパーティのDNSリゾルバに注意するよう警告」Ars Technica . 2021-03-17閲覧。
- ^ 「Circle による暗号化された DNS 接続 (DNS over TLS、DNS over HTTPS) の管理」。Circleサポート センター。2020 年 8 月 3 日時点のオリジナルよりアーカイブ。2020年 7 月 7 日閲覧。
- ^ Gallagher, Sean (2017年11月16日). 「新しいQuad9 DNSサービスは、すべてのユーザーに対して悪意のあるドメインをブロックします」。Ars Technica 。 2021年11月14日閲覧。
このシステムは、ボットネット、フィッシング攻撃、その他の悪意のあるインターネットホストに関連付けられたドメインをブロックします。
- ^ “NextDNS”. NextDNS . 2023年12月16日閲覧。
- ^ Cimpanu、Catalin。「UK ISP グループが、'DNS-over-HTTPS' をサポートしたことで Mozilla を 'インターネットの悪役' と名付ける」ZDNet。2019年 7 月 5 日時点のオリジナルよりアーカイブ。2019 年 7 月 5 日閲覧。
- ^ 「インターネットグループ、DNSプライバシー機能のサポートでMozillaを『インターネットの悪役』と非難」TechCrunch 2019年7月5日 2019年7月19日閲覧。
- ^ 「英国のISP、ウェブの安全性を低下させようと奮闘」IT PRO 2019年9月14日 2019年9月14日閲覧。
- ^ Patrawala, Fatema (2019-07-11). 「ISPA は DNS over HTTPs 推進で Mozilla を「インターネット ヴィラン」カテゴリに指名したが、コミュニティからの反発を受けて指名とカテゴリを撤回」Packt Hub。 2019-12-04 にオリジナルからアーカイブ。2019-09-14に取得。
- ^ Hern, Alex (2019-09-24). 「Firefox: 英国では暗号化ブラウザツールをデフォルトにする計画はない」. The Guardian . ISSN 0261-3077. 2019-09-28時点のオリジナルよりアーカイブ。2019-09-29閲覧。
外部リンク
- DNS プライバシー プロジェクト: dnsprivacy.org
- DNS over HTTPS の漫画紹介
- オペレータネットワークにおける DNS over HTTPS (DoH) の考慮事項] (ドラフト、2020 年 3 月 12 日に期限切れ)