セキュリティ

SECURITY

公開：2024-06-16

DNS over TLSとは？意味をわかりやすく簡単に解説

text: XEXEQ編集部

DNS over TLSとは

DNS over TLSはDNSクエリのプライバシーとセキュリティを強化するために開発されたプロトコルです。従来のDNSプロトコルではDNSクエリがプレーンテキストで送信されるため、傍受や改ざんのリスクがありました。

DNS over TLSはDNSクエリをTLS(Transport Layer Security)で暗号化することで、通信の機密性と完全性を確保します。これにより、第三者がDNSクエリの内容を盗聴したり、偽の応答を返したりすることが困難になります。

DNS over TLSはIETF(Internet Engineering Task Force)によって標準化されたプロトコルであり、RFC 7858で定義されています。多くのDNSサーバとクライアントがDNS over TLSをサポートしており、導入が進んでいる技術です。

DNS over TLSを利用するには対応したDNSサーバとクライアントが必要です。クライアント側ではOSやブラウザの設定でDNS over TLSを有効化することができます。

DNS over TLSはDNSの通信を保護することでユーザーのプライバシーを向上させ、また、DNSキャッシュポイズニングなどの攻撃を防ぐことができるため、インターネットのセキュリティ強化に貢献しています。ただし、DNSクエリの宛先となるDNSサーバまでの経路は保護されないため、完全なエンドツーエンドの暗号化ではないことに注意が必要です。

DNS over TLSの仕組みと動作原理

「DNS over TLSの仕組みと動作原理」に関して、以下3つを簡単に解説していきます。

• DNS over TLSにおける暗号化の仕組み
• DNS over TLSのポート番号と通信の流れ
• DNS over TLSとDNSSECの関係性

DNS over TLSにおける暗号化の仕組み

DNS over TLSではDNSクエリとレスポンスをTLSで暗号化します。TLSはSSLの後継プロトコルであり、公開鍵暗号方式を用いて通信を保護します。

具体的にはDNSクライアントとDNSサーバ間でTLSハンドシェイクを行い、共通の暗号化鍵を生成します。この鍵を使って、DNSクエリとレスポンスを暗号化し、安全に通信を行います。

TLSによる暗号化では通信内容の機密性だけでなく、改ざん検知や相手の認証も行われます。これにより、DNS通信の安全性が大幅に向上するのです。

DNS over TLSのポート番号と通信の流れ

DNS over TLSは通常のDNS(ポート53)とは別のポート番号を使用します。RFC 7858ではポート853が指定されています。

DNS over TLSの通信の流れは次のようになります。まず、クライアントがポート853でDNSサーバに接続し、TLSハンドシェイクを行います。次に、確立されたTLSセッション上で、DNSクエリとレスポンスをやり取りします。

ポート番号が異なるため、従来のDNSとの互換性は保たれています。クライアントはサーバがDNS over TLSに対応しているかを確認し、対応していれば自動的にDNS over TLSを使用するようになります。

DNS over TLSとDNSSECの関係性

DNS over TLSとDNSSEC(DNS Security Extensions)はどちらもDNSのセキュリティを向上させる技術ですが、守備範囲が異なります。DNS over TLSは通信経路の暗号化に重点を置いているのに対し、DNSSECはDNS応答の完全性を保証することに重点を置いています。

DNSSECではDNSレコードにデジタル署名を付与することで、応答の改ざんを検知できるようになります。ただし、DNSSECは通信経路の暗号化は行わないため、プライバシー保護の面では不十分です。

DNS over TLSとDNSSECは互いに補完的な関係にあり、両者を組み合わせることでDNSの安全性をさらに高めることができます。DNSSECで応答の完全性を担保しつつ、DNS over TLSで通信経路を保護するのが理想的だといえるでしょう。

DNS over TLSを導入するメリットとデメリット

「DNS over TLSを導入するメリットとデメリット」に関して、以下3つを簡単に解説していきます。

• DNS over TLS導入によるプライバシー保護の向上
• DNS over TLSがDNSキャッシュポイズニングを防止する仕組み
• DNS over TLS導入における課題と留意点

DNS over TLS導入によるプライバシー保護の向上

DNS over TLSを導入することで、ユーザーのプライバシー保護が大きく向上します。従来のDNSではユーザーがアクセスしようとしているドメイン名が丸見えでネットワーク上を流れるため、傍受されるとユーザーの行動が筒抜けになってしまいます。

一方、DNS over TLSではDNSクエリが暗号化されるため、傍受されても内容を知られることはありません。これにより、ユーザーがどのようなサイトにアクセスしようとしているのかを第三者に知られずに済むようになります。

特に、公共のWi-Fiなどを利用する場合、DNS over TLSの効果は大きいといえます。暗号化されていない通信は盗聴されるリスクが高いためです。

DNS over TLSがDNSキャッシュポイズニングを防止する仕組み

DNS over TLSはDNSキャッシュポイズニング攻撃を防ぐ効果もあります。DNSキャッシュポイズニングとは攻撃者が偽のDNS応答を送信し、DNSサーバのキャッシュを書き換えてしまう攻撃です。

DNS over TLSではDNSサーバとの通信が暗号化され、改ざんが困難になります。万が一、攻撃者が偽の応答を送信したとしても、DNSサーバはその応答が正規のものかどうかを検証できます。

また、TLSではサーバ証明書を用いた認証が行われるため、攻撃者がDNSサーバになりすますことも難しくなります。こうした仕組みにより、DNS over TLSはDNSキャッシュポイズニングのリスクを大幅に減らすことができるのです。

DNS over TLS導入における課題と留意点

DNS over TLSは優れた技術ですが、導入には課題もあります。まず、DNS over TLSに対応したDNSサーバとクライアントが必要になるため、既存のシステムからの移行コストがかかる点が挙げられます。

また、DNS over TLSではクエリ先のDNSサーバまでの経路が保護されないため、途中のネットワークでDNSクエリをブロックされてしまう可能性があります。これを回避するにはDNSサーバの設置場所などに工夫が必要です。

さらに、DNS over TLSを導入しても、DNSクエリの宛先となるDNSサーバ自体は通信内容を知ることができるため、そのDNSサーバを完全に信頼できるかどうかが重要になります。プライバシーを重視するなら、信頼できるDNSサーバを選ぶ必要があるでしょう。

DNS over TLSの今後の展望と課題

「DNS over TLSの今後の展望と課題」に関して、以下3つを簡単に解説していきます。

• DNS over TLSのさらなる普及に向けた取り組み
• DNS over TLSとDNS over HTTPSの関係性と使い分け
• DNS over TLSの課題とその解決に向けた動き

DNS over TLSのさらなる普及に向けた取り組み

DNS over TLSはインターネットのセキュリティとプライバシー保護に大きく貢献する技術ですが、まだ普及途上の段階にあります。今後のさらなる普及に向けて、様々な取り組みが行われています。

例えば、主要なDNSサーバソフトウェアやOSでのDNS over TLSのサポート拡大、DNS over TLSを利用するためのクライアントアプリケーションの開発などが進められています。また、企業や組織におけるDNS over TLSの導入を促進するためのガイドラインの整備も行われています。

今後、こうした取り組みによってDNS over TLSの普及が加速し、インターネットの安全性が向上していくことが期待されます。ただし、普及のためにはユーザーや管理者の理解と協力も不可欠だといえるでしょう。

DNS over TLSとDNS over HTTPSの関係性と使い分け

DNS over TLSと並んで、もう一つ注目されているのがDNS over HTTPS(DoH)です。DoHはHTTPSを使ってDNSクエリを暗号化する技術であり、DNS over TLSと同様の目的を持っています。

DNS over TLSとDoHの大きな違いは使用するプロトコルとポート番号です。DNS over TLSはTLSをベースとしてポート853を使用するのに対し、DoHはHTTPSをベースとしてポート443を使用します。

DoHは既存のHTTPSインフラを活用できるというメリットがあります。一方、DNS over TLSは専用のポートを使うことで、よりきめ細かなアクセス制御が可能という利点があります。どちらの技術を選ぶかはネットワーク環境や要件に応じて適切に判断する必要があるでしょう。

DNS over TLSの課題とその解決に向けた動き

前述したように、DNS over TLSにはいくつかの課題があります。特に、クエリ先のDNSサーバまでの経路が保護されない点と、DNSサーバ自体を完全に信頼できるかどうかという点は大きな課題だといえます。

こうした課題を解決するために、様々な取り組みが行われています。例えば、DNSクエリの経路を保護するために、DNS over TLSをVPNやTorと組み合わせる方法が提案されています。

また、信頼できるDNSサーバを提供するサービスも登場しています。これらのサービスではプライバシーポリシーの公開やセキュリティ監査の実施など、信頼性を高めるための取り組みが行われています。今後、こうした動きがさらに活発になることで、DNS over TLSの課題が解決に向かうことが期待されます。

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧