当ページは検証・整備中のドラフトです。
内容は実環境での検証や追加調査により変更される予定です。
参照：ページ公開・更新ポリシー
DoHの基本
DoHとは
DNS over HTTPS（DoH）とは、HTTPS通信を利用してDNS問い合わせと応答を暗号化する技術である。
従来のDNSは問い合わせ内容が平文で送信されていたため、通信経路上で盗聴される可能性があった。DoHはDNS問い合わせをHTTPS通信に含めて送受信することで、DNS問い合わせを通信経路の途中で盗聴されるリスクを低減できる。
なお、DoHはDNS通信を保護する技術であり、通信全体を秘匿するものではない。
なぜHTTPSを利用するのか
DoHはHTTPSと同じ通信方式を利用する。
一般的なWebアクセスと同じポート443を利用するため、既存のHTTPS通信基盤を活用できる。また、多くのWebブラウザやOSへ実装されていることも、普及した理由の一つである。
DoHはどのように利用するのか
ブラウザで利用されることが多い
DoHはGoogle Chrome、Microsoft Edge、Firefoxなど、多くのWebブラウザへ実装されている。
対応するDNSサービスを選択するだけで利用できる場合が多く、OSやルーターの設定を変更しなくても導入できることがある。
OSでも利用が進んでいる
近年ではWindowsやAndroidなど、一部のOSでもDoHへ対応している。
そのため、ブラウザだけではなく、OS全体のDNS通信をDoHで暗号化できる環境も増えている。
ポート443を利用する意味
HTTPS通信として送受信される
DoHはHTTPS通信としてDNS問い合わせを送受信する。
そのため、多くのネットワークでは通常のWebアクセスと同様に扱われ、既存のHTTPS通信基盤を利用できることが特徴である。
DoTとの違い
DoTはTLSを利用したDNS専用通信であり、通常はポート853を利用する。
一方、DoHはHTTPS通信としてDNS問い合わせを送信し、通常はポート443を利用する。
どちらもDNS通信を暗号化する技術であるが、利用する通信方式や実装場所が異なる。また、どちらも利用するには、問い合わせ先となるDNSサーバが対応している必要がある。
DoHのメリット
DNS問い合わせを暗号化できる
DNS問い合わせを通信経路の途中で盗聴されるリスクを低減できる。
ブラウザ単位で導入しやすい
多くのブラウザへ実装されているため、OSやルーターの設定を変更せずに利用できる場合がある。
HTTPS通信基盤を利用できる
HTTPSと同じ通信方式を利用するため、既存の通信基盤へ導入しやすい。
DoHのデメリット
ネットワーク管理者のDNS設定を回避することがある
ブラウザやOSが独自に外部のDoHサービスを利用すると、管理者が設計したDNS環境を経由しない場合がある。
その結果、DNSフィルタリングやマルウェア対策、フィッシング対策などのセキュリティ機能が適用されなくなることがある。
利用環境によって動作が異なる
対応するブラウザやOS、DNSサービスによって設定方法や動作は異なる。
また、管理対象端末では、管理者によってDoHの利用が制御されている場合もある。
DNSフィルタリングとの関係
DoHによってDNSフィルタリングが機能しなくなる場合がある
ルーターやUTM、DNSフィルタリングサービスでDNSを管理している環境では、ブラウザやOSが独自に外部のDoHサービスを利用すると、その保護を回避してしまう場合がある。
その結果、広告やマルウェアサイト、フィッシングサイトを遮断するDNSフィルタリングが機能しなくなる可能性がある。
管理環境では管理者が設計したDNS環境を優先する
SOHOや企業では、DNSサーバやDoH接続先を含め、DNS環境そのものがセキュリティ対策の一部として設計されていることが多い。
そのため、端末側で独自に外部のDoHサービスを利用するよりも、管理者が指定・設計したDNSサーバ、または組織で管理されたDoH接続先を利用した方が、DNSフィルタリングなどのセキュリティ機能を継続して利用できる場合が多い。
一方、公共Wi-Fiなど信頼できないネットワークでは、DoHを利用することでDNS通信の安全性を向上できる場合もある。
関連する技術との違い
DNS over TLS（DoT）との違い
DoTはTLSを利用したDNS専用通信であり、主にOSやルーターなどで利用されることが多い。
一方、DoHはHTTPS通信としてDNS問い合わせを送信し、ブラウザやOSへ広く実装されている。
どちらもDNS通信を暗号化する技術であるため、優劣のある技術ではなく、利用環境や運用目的に応じて使い分けられている。
関連する用語
- DNSとは
- HTTPSとは
- TLSとは
- DNS over TLS（DoT）とは
まとめ
DoHはHTTPS通信を利用してDNS問い合わせを暗号化する技術であり、ブラウザやOSへ広く実装されている。
信頼できないネットワークでは、DNS通信を保護する有効な選択肢となる。
一方、SOHOや企業など管理者がDNS環境を設計している場合は、端末側で独自に外部のDoHサービスを利用するよりも、管理者が指定・設計したDNSサーバや組織で管理されたDoH接続先を利用した方が、DNSフィルタリングなどのセキュリティ対策を継続して利用しやすい。
そのため、明確な理由がない限りは管理者が設計したDNS環境を利用することを基本とし、必要に応じてDoHの利用を検討するとよい。