DNS におけるテクノロジーの新興: サーバ(Dot)と DNS を Tls 上で実行する (dot) の説明

DNS暗号化の必要性: 原文のクオーリーを超えて

ドメインネームシステム(DNS)は、人間が読みやすいドメイン名をIPアドレスに翻訳する基礎プロトコルです。その重要な役割にもかかわらず、従来のDNSトラフィックは、UDPまたはTCP上のプレーンテキストで歴史的に送信され、それがeavesdropping、操作、およびキャッシュ中毒に脆弱に残っています。同じネットワーク上の攻撃者やクエリのパス内で、ユーザーは悪意のあるサイトにユーザーをリダイレクトしたり、閲覧メタデータを収集したりすることができます。インターネットがHTTPSに感染した場合には、T[DRF]を暗号化して[DRF]を補完する] [DRF] [DRF] [DRF] [DRF] を[DRF] [DRF]] [DRF] [DRF] に置き換えます。

どちらのプロトコルもクエリとレスポンスデータを暗号化し、観察と改ざんから保護します。しかし、実装、ポート使用量、および既存のネットワークスタックと統合する方法は異なります。これらの違いを理解することは、個々のユーザー、ネットワーク管理者、およびアプリケーション開発者にとって適切なアプローチを選ぶことが不可欠です。

HTTPS 経由で DNS (DoH): ウェブトラフィックのルックアップを埋め込む

DNS は、通常の Web トラフィックに用いられる同じポート 443 を使用して、標準 HTTPS 要求と応答内の従来の DNS のクエリと応答をラップします。この設計は、Doh トラフィックを他の HTTPS トラフィックからネットワークオブザーバーに、深いパケットの検査やサーバー IP アドレスの分析を実行しない限り、Doh トラフィックをネットワークオブザーバーに無効化します。Doh は RFC 8484 で標準化され、Mozilla Firefox や Google Chrome などの主要なブラウザーで採用されています。

DoH の仕組み

クライアント(ブラウザまたはアプリケーション)がドメインを解決したい場合、HTTP POST または GET リクエストを DoH 互換のリゾルバー(Cloudflare の 1.1.1.1 や Google の 8.8.8.8 など)に送信します。DNS クエリはリクエストボディまたはクエリ文字列にエンコードされ、そのリゾルバーは HTTP レスポンスボディにエンコードされた DNS レスポンスに応答します。トランザクション全体が HTTPS 以降に発生したため、すべての暗号化、認証、および証明書の検証は TLS を継承します。

DoHの主な利点

[Covert 統合:]]] ポート 443 と HTTPS のフラミングを使用することで、DoH トラフィックは通常の Web トラフィックと混合し、ネットワークのフィルタリングやウェブ閲覧に担保的な損傷を引き起こしずに DNS のクエリをブロックするのが困難になります。
[]アプリケーションで簡単に展開できます。[]]]ブラウザとアプリは、オペレーティングシステムのDNS設定を変更することなく、DHを実行できます。ユーザーは、単に設定を有効にしたり、拡張機能をインストールしたりすることができます。
[]既存の HTTPS インフラストラクチャをレバレッジ:[ DoH は、同じ HTTP/2 または HTTP/3 接続を再使用でき、近代的な Web を出力する成熟した負荷分散、キャッシュ、およびコンテンツ配信ネットワーク(CDN)を活用することができます。

考察と批判

にもかかわらず、プライバシーのメリット, DoHは議論を打ち立てています. ネットワーク管理者は、多くの場合、個々のアプリケーションは、システムレベルのDNS設定を迂回することができますので、DNSトラフィックに視認性を失う. これは、コンテンツのフィルタリングを妨げることができます, ペアレンタルコントロール, そして、エンタープライズセキュリティポリシー. さらに, DoHは、HTTPのフラミングと別のTLSハンドシェイクの必要性のためにわずかなパフォーマンスオーバーヘッドを導入します (HTTP / 2 多重化がこれを軽減). いくつかのクリティクサーは、DowHが、潜在的な監視プロバイダを生成したり、新しいポイントを生成したり、大規模な制御したりする可能性を大きくするために.

TLS(DoT):専用ポートのシステムレベルのセキュリティ

DNS over TLS (DoT) は TLS プロトコルを使用しますが、専用のポート (853) ではなく HTTP 上での Piggybacking 上で通信します。このアプローチは [ RFC 7858] で定義され、通常、オペレーティングシステムレベルで、またはルータで設定され、すべてのアプリケーションからすべての DNS トラフィックが暗号化されていることを保証します。

ドットワークスとは

DoT クライアントは、ポート 853 で解決者への TCP 接続を確立し、TLS ハンドシェイクを実行します。解決者の証明書の認証を成功させた後、DNS メッセージは、従来の DNS と同じワイヤ形式を使用して、TLS セッションに直接交換されますが、暗号化されたトンネル内で。 DoT は、ユニークなポートを使用するため、ネットワークファイアウォールやルーティングポリシーによって簡単に識別および管理できます。

DoTの主な利点

[システム全体で実行:]]。 DoTがOSまたはルータレベルで構成されると、個々のサポートを必要としない暗号化からすべてのアプリケーションが恩恵を受ける。これは、モバイルデバイス、IoTガジェット、および企業ネットワークにとって特に価値があります。
[]:[]を監視およびフィルタリングするのは簡単です。管理者は、専用のポートと既知の決議IPに基づいて、DOTトラフィックを許可またはブロックすることができます。
[]効率的なワイヤ形式:[ DoTはHTTPヘッダーや多重化オーバーヘッドを追加せず、複数のシナリオで1クエリレイテンシが下回ります。バイナリDNSプロトコルは、処理要件の低減、保存されます。

DoTの検討

DoT の専用ポートへの依存は、ネットワークオペレータや ISP が暗号化された DNS を制限することを決定した場合、ブロックが容易になります。 DoT は通常、システム全体で構成されているため、消費者デバイスのサポートは引き続き成長しています。 Android と iOS は、OS レベルでの DoT をサポートし、多くのルーターは、DOT のアップストリームを構成する組み込みオプションが欠如しています。

DoH対DoT: サイドバイサイドの比較

Feature	DNS over HTTPS (DoH)	DNS over TLS (DoT)
Standard	RFC 8484	RFC 7858
Transport port	443 (HTTPS)	853 (reserved)
Traffic visibility	Hidden among web traffic	Distinguishable by port
Typical deployment	Application level (browser, app)	System level (OS, router)
Authentication	HTTPS certificate validation	TLS certificate validation
Performance overhead	Higher due to HTTP framing	Lower; binary wire format
Ease of blocking	Difficult without breaking web	Easier via port 853
Centralization risk	Higher (browser defaults)	Lower (admin-controlled)

ネザープロトコルは、本質的に優れています。選択はコンテキストによって異なります。独自のデバイスを制御する個々のプライバシー意識の高いユーザーにとって、DoHは、システム設定を変更することなく、ローカルDNSのスヌーピングを回避するための便利な方法を提供します。すべてのデバイス間で一貫した暗号化を必要とするネットワーク管理者にとって、DoTはより管理可能な監査可能なソリューションを提供します。

暗号化されたDNSの実装:実践的な考察

クライアントサイド構成

ほとんどの近代的なブラウザは、Doh サポートを組み込まれています。Firefox ユーザーは、ネットワーク設定で DoH を有効にできます。Chrome は、システムが構成されている場合、DNS オーバー HTTPS ポリシーを尊重します。Windows 11 では、ネットワークアダプタープロパティーの特定のリゾルダーに対して DoH または DoT を設定できます。macOS および Linux ユーザーは、 のようなスタブリゾルダーを構成できます。 (DLT:1]) または プロトコルを暗号化] の両方でサポートするツールを使用します。

ソルバーセレクション

DoHとDoTの両方を提供する信頼できるパブリックリゾルバには、Cloudflare(1.1.1.1)、Quad9(9.9.9.9)、Google(8.8.8.8)が含まれます。それぞれに異なるプライバシーポリシーがあります。それぞれは、個人を特定できる情報を記録しないCloudflareの誓約があり、デフォルトではQuad9ブロックの悪意のあるドメインがブロックされ、Googleは匿名化技術を使用しています。ユーザーは、解決者の信頼性とローカル法の遵守を検証する必要があります。

潜在的な欠点

暗号化されたDNSは、DNSのチェックに依存する侵入検知システムなどのネットワークセキュリティツールと競合することができます。また、ユーザーにリダイレクトするために、プレーンテキストDNSを必要とするキャプティブポータル(public Wi-Fiログインページ)を破棄することもできます。一部の企業環境では、すべての外部暗号化されたDNSをブロックして、企業のフィルタリングポリシーを強化します。このような場合、管理者は、専用の内部暗号化されたリゾルバを使用して、またはDANE(名前付きエンティティティのDNSベースの認証)を使用して、専用の内部暗号化されたリゾルバーを採用する必要があります。

DNSの暗号化の未来

DoH と DoT のプロトコルは、さらに envelope をプッシュしています。 DNS は、QUIC の を経由して、 QUIC トランスポートプロトコルを活用し、遅延を減らし、信頼性のないネットワーク上でのレジリエンスを改善します。 Oblivious DoH (ODoH)] は、プロキシレイヤーをして、メタリックの問い合わせを防止し、 DNS をより強力な IPF にすることを可能にします。 [FLT] は、証明書をより強力なします。 [[FLT] は、認証を認証します。

インターネット標準化組織は、これらのプロトコルを引き続き精製し、採用が期待されます。主要なブラウザとオペレーティングシステムは、いくつかの地域でデフォルトで有効な暗号化されたDNSで既に出荷されています。ネットワーク事業者とDNSインフラストラクチャプロバイダは、暗号化されていないDNSが規範ではなく例外になる将来のために準備する必要があります。

コンテンツ

DNS は、インターネット上のユーザーのプライバシーとセキュリティを保護する上で重要な進化を表しています。どちらのプロトコルもドメインの解像度プロセスを暗号化し、暗号化されていない DNS を悪用する多くの一般的な攻撃を防ぎます。Doch は、Web アプリケーションとより良いカバレスとのシームレスな統合を提供していますが、DoT は、プロフェッショナルなネットワークで管理しやすい堅牢なシステム全体ソリューションを提供します。その違いを理解することで、ユーザーは、開発者、IT の専門家が、セキュリティ要件と制約を順調に調整する情報に基づいた選択肢を得られるようになります。

詳細は、公式RFCを参照してください。[]RFC 8484(DoH)]、RFC 7858(DoT)[]、および[[]]]]]]]。インターネットが進化し続けるにつれて、暗号化されたDNSはより安全なウェブのコーナーストーンのままになります。