DNS over HTTPS 諸問題ほか

ウィキペディア

DNS over HTTPS

出典: フリー百科事典『ウィキペディア（Wikipedia）』 (2023/10/08 01:31 UTC 版)

諸問題ほか

サポート面

現状（2020年現在）まで、DoHの有効化設定にはOSやクライアントでユーザが積極的にインストールや設定をする必要があり、DHCP/DHCPv6などによる端末側自動設定などの仕組みは標準化されていない。

何が改善されうるのか

セキュリティの向上に加えて、性能の向上もDNS over HTTPSの目的の1つであると言われる。しかし、これはDoHに本質的なものではなく、むしろプロトコル・オーバヘッド自体は従来のDNSクエリよりも暗号化やhttpsセッション管理の分、悪化しうる。性能の向上というのは、現状の選択肢の上ではサービス利用上の前提となるパブリックDNSサーバーの利用に伴うものが主張されている。ISPが提供するDNSリゾルバは（貧弱なものでは）75パーセンタイルで181ミリ秒掛かっているという調査があり、遅いため、1つのウェブページで10以上の名前解決が必要とされる今日では、ユーザのウェブ体験におけるレスポンスが悪化する場合があり、問題となっている。パブリックDNSサーバーではそのような点において、ISP提供のDNSサーバのそれと比較した速度・レスポンスの改善に訴求点を置いていた。

しかし、中間者攻撃などによるDNSスプーフィングやドメイン名ハイジャック等の諸攻撃の脅威が現実味を帯びた2000年代後半以降は、レスポンス性能は重要な訴求では無くなった。例えば、ISPのDNSサービスに直接、従来のDNSクエリを投げる場合と比べて、パブリックDNSサーバーへ直接、従来のDNSクエリを投げる場合には、ISP事業者外のネットワークを平文で通過するため、そのクエリ自体に中間者攻撃などに遭うリスクが増加する。よって、何らかの理由によりパブリックDNSサーバーを利用するのであれば、DoH/DoTを使用した方がセキュリティ上は望ましいと考えられる。

ISPのDNSサービスの品質が相当悪くない限り（そしてそれは国やISP事業者にもよるが少ない）、ネットワークホップ数上、近くにあるISPのDNSサーバーの方が。概ねホップ数の多いパブリックDNSサーバーよりも有利である事が多い。これは、そのパブリックDNSサービスプロバイダのロードバランス方針およびユーザと実リゾルバ間のネットワーク上の距離に依存する（なお、ISPのDNSサーバーもロードバランス方針については同じ立場にある）。

公衆Wi-Fiその他ネットワーク層レベルで信頼性の低いものを利用するケースなど、盗聴やなりすましのリスクが常にある環境においては、従来のDNSクエリ方式では平文でやり取りされるため、中間者攻撃などに遭うリスクが増加する事になる。あるいは、接続先のネットワークでデフォルト提供されるDNSリゾルバに信頼性その他問題がある場合もある。これらの場合もDoH/DoTを使用した方がセキュリティ上は望ましい場合がある。

ポリシーと批判

DoHは、IPアドレスやServer Name Indication（SNI）などの、HTTPSリクエストの暗号化されていない部分からまだ取得できる情報だけを暗号化していることから、誤った意味のセキュリティを提供するものであると主張されてきた。

また、現在のウェブブラウザのDoHの実装はサードパーティのDNSプロバイダに依存しているため、DNSの非中央集権的な性質とは逆であり、プライバシーの問題がある。OpenBSDは、FirefoxのビルドでCloudflareのサービスがデフォルトで使われているという理由で、DoHをデフォルトで無効化した。

Google Chromeでは、ユーザーが選んだDNSプロバイダがDoHをサポートしている場合にのみDoHを使用するが、アメリカのISPからは、ユーザーにGoogle Public DNSサービスの使用を強制することになると非難された。

セキュリティ面

DoHは、サイバーセキュリティのために実施されているDNSトラフィックの解析や監視から逃れて隠れる手段を提供する。2019年、DDoSワームのGodulaは、command-and-controlサーバーへの接続を隠すためにDoHを利用した。DoHは、コンテンツフィルタリングソフトウェアやエンタープライズのDNSポリシーに対するバイパスとなる可能性が論じられている。

コンテンツのフィルタリング政策面

イギリスのISPを代表する業界団体のInternet Watch FoundationとInternet Service Providers Association（ISPA）は、広く使われているFirefoxウェブブラウザを開発しているMozillaとGoogleに対して、DoHのサポートにより、ISPデフォルトの成人向けコンテンツのフィルタリングや裁判所の命令による著作権侵害サイトの強制フィルタリングなどのイギリスのウェブブロッキングプログラムが弱体化してしまう恐れがあると非難した。ISPAは2019年にMozillaに「インターネットの敵（Internet Villain）」賞を（EUのデジタル単一市場における著作権に関する指令とDonald Trumpとともに）与えた。受賞理由は「イギリスのフィルタリングの義務とペアレンタル・コントロールをバイパスするDNS-over-HTTPSの導入により、イギリスのインターネットの安全基準を劣化させた」というものである。MozillaはISPAの主張に対して、DoHはフィルタリングを妨げるものではなく、「ISPの業界団体が、数十年前の古くなったインターネットインフラの改善に対して誤った判断をしていることに驚き、残念に思う」と述べた。この批判に対してISPAは謝罪し、ノミネートを取り下げた。Mozillaはその後、関連するステークホルダーとの十分な議論が行われるまではイギリスではDoHを使用しないようにすると発表したが、「イギリスにも現実のセキュリティ上の恩恵を提供できるはずだ」と述べている。

プライバシー追跡面

従来のDNSクエリの場合、DNSリゾルバ側からは、スタブリゾルバ（多くの場合、組織内のルーター）のIPアドレス以外は見えないため、実際のクエリをリクエストした端末やユーザを固有追跡する事は困難であった（IPv6でも、端末側で一時アドレスを利用すれば、ネットワークアドレス以外の追跡は困難である）。

しかしDoH/DoTにおいては、HTTPSによりTLSセッションが維持され続けるため、DNSリゾルバ側から端末単位でクエリの追跡が原理上可能となる。さらにTLSの仕様上、IPアドレス（ネットワーク上の場所）に変化があっても同一のTLSセッションを再開できるため、端末単位の追跡が容易となる。

また、DoH/DoTセッションでクライアント（例えばWebブラウザ）側が渡す user-agent ヘッダその他の情報もユーザ追跡上重要な情報となり得る。さらにDoHセッション毎にcookieの設定も理論上は可能である（実装上は不明）。

以上の問題は、ユーザ側とDNSフルリゾルバ（現状ではサービス利用上選択肢前提となるパブリックDNSサーバー）間の、クエリに関するデータ利用・プライバシーポリシーに完全に依存する。