DNS over HTTPS：暗号化が守る範囲と残る情報
DoHはDNSの問い合わせと応答をHTTPSで運び、ネットワーク経路での内容の露出を抑えます。RFC 8484と運用文書を基に、リゾルバーの信頼境界、GET・POST、キャッシュの違いを説明します。
発行・訂正窓口：infostoa · 編集基準
この記事の個別の執筆者・専門査読者の情報は提供されていません。
DNS over HTTPS（DoH）は、ドメイン名からアドレスを調べるDNSのやり取りをHTTPSの中で運びます。ネットワーク経路上の観察者が平文のDNS問い合わせを読むことは難しくなりますが、選択したリゾルバーが問い合わせを見られなくなるわけではなく、閲覧を匿名化する技術でもありません。どのリゾルバーを使うか、端末に別の名前解決経路があるか、HTTPS接続先が誰かも重要です。
1. DNSメッセージをHTTP交換に載せる
RFC 8484は、一組のDNS問い合わせと応答をHTTP交換に対応させます。クライアントはDNS wire形式のメッセージをHTTPSリクエストで送り、リゾルバーはDNS応答をHTTPレスポンス本文で返します。標準はGETとPOSTの両方を定めています。GETではエンコードした問い合わせをURLパラメーターに入れるためHTTPキャッシュを使いやすい場合がありますが、URLログやテレメトリーに残ることがあります。機微な情報をURLに入れない配慮が必要です。POSTではリクエスト本文に問い合わせを含め、URL記録による露出を抑えます。
DoHはDNSの意味を別の名前解決システムに置き換えません。問い合わせと応答はDNSメッセージのままで、HTTPのヘッダーや状態、転送上の性質が加わります。DNSキャッシュのルールもなくなりません。RFC 8484はHTTPのキャッシュ意味論を利用できるようにしていますが、実際に再利用されるかは応答ヘッダー、中間キャッシュ、クライアント実装によります。DoHを有効にしただけで、すべての問い合わせがキャッシュされる、または一切キャッシュされないとは言えません。
2. 暗号化接続と観測できる主体
HTTPSはクライアントとDoHサーバー間の通信を暗号化し、サーバーを認証します。同じ経路のネットワーク運営者や公衆Wi-Fiの観察者は、その接続上のDNSパケットから問い合わせ名を直接読むことが難しくなります。一方、応答を返すリゾルバーはDNSの質問を処理する必要があります。運営者の保存方針、内部アクセス制御、アカウントとの関連付け、法的管轄はプロトコルだけでは決まりません。
DoHがブラウザーやOSのすべての名前解決を自動的に一つの経路へ集約するわけでもありません。アプリごとの設定、VPN、プロキシ、ローカルネットワークの方針、他のDNS経路が併存する可能性があります。DNS問い合わせを保護しても、その後のウェブサイトとのHTTPS通信、端末内の閲覧履歴、ログイン情報に結び付いた活動まで隠れるわけではありません。暗号化DNSを匿名閲覧と同一視すると保護範囲を誇張します。
3. リゾルバー選択と運用上の調整
DoHクライアントは設定されたHTTPS endpointでリゾルバーと通信します。Cloudflareの文書は同社の1.1.1.1リゾルバーを利用するクライアント設定を説明しています。他の提供者にはそれぞれの保存方針や運用条件があるため、すべてのリゾルバーが同じだと仮定せず、個別の方針を確認してください。管理端末で設定を変えると社内DNS、フィルタリング、インシデント対応と衝突することがあります。管理者はDoHを既存の要件とどう組み合わせるかを決める必要があります。
DoHは通常のHTTPSに似た通信として扱われる場合があり、平文DNSとは異なるネットワークでも接続できることがありますが、ネットワーク方針との衝突も起こり得ます。管理環境では既知のリゾルバーendpoint、ブラウザー方針、端末設定をまとめて調べると、問い合わせ先を把握しやすくなります。遮断や転送を行う場合は互換性、方針の透明性、障害時の対応を考慮し、どこへ問い合わせが送られるかを利用者と管理者に示します。
4. 専門家の視点：プライバシーを確認する問い
実装を評価するときは「暗号化されている」という説明だけで結論を出さず、クライアントが実際に選んだendpoint、リゾルバーのデータ取り扱い、URLやリクエストメタデータの記録、endpointが利用できないときの代替経路を確認します。標準はプロトコル形式と相互運用性を説明し、提供者の文書はそのサービスの設定や方針を説明します。両者は異なる問いに答える資料です。
端末からどのDNS要求がどこへ送られるかを調べることが確認の出発点です。管理環境ではブラウザーとOSのDoH設定をVPN方針と合わせて確認し、リゾルバーのプライバシー説明と保存期間を読みます。保護範囲は経路全体によって決まります。DoHは暗号化されていないDNS区間の露出を減らす手段であり、リゾルバーを信頼する必要をなくしたり、あらゆる追跡を防いだりするものではありません。