DNS over TLS(ディーエヌエスオーバーティーエルエス)とは | 意味や読み方など丁寧でわかりやすい用語解説

DNS over TLS（DoT）は、インターネットの基盤技術であるDNS（Domain Name System）の通信を、TLS（Transport Layer Security）プロトコルを用いて暗号化する技術である。従来のDNS通信が抱えていたプライバシーとセキュリティ上の課題を解決し、より安全なインターネット利用環境を実現することを目的として開発された。

概要

インターネットを利用する際、私たちは通常「example.com」のようなドメイン名を入力するが、コンピューターはドメイン名ではなく「192.0.2.1」のようなIPアドレスを基に通信を行う。このドメイン名とIPアドレスの相互変換を担うのがDNSである。従来のDNS通信は、そのプロトコル設計上、通信内容が暗号化されずに平文でやり取りされるという大きな課題を抱えていた。これは、郵便物を封筒に入れずにそのまま送るような状態に例えられる。そのため、悪意のある第三者が通信経路上のデータを盗聴し、どのウェブサイトにアクセスしようとしているかといったユーザーの閲覧履歴や行動を傍受することが可能であった。また、DNSの応答が改ざんされ、ユーザーが意図しない偽のウェブサイトへ誘導される「DNSポイズニング」と呼ばれる攻撃のリスクも存在した。

DNS over TLSは、この平文通信という根本的な問題を解決するために考案された技術である。ウェブサイトの通信を暗号化するHTTPS（HTTP over TLS）と同様に、DNSの問い合わせと応答の通信経路全体をTLSプロトコルで保護することで、盗聴や改ざんのリスクを大幅に低減する。これにより、ユーザーのプライバシー保護を強化し、よりセキュアな名前解決の仕組みを提供するのがDNS over TLSの概要である。

詳細

従来のDNSは主にUDPプロトコルの53番ポートを利用して通信を行う。UDPは高速な通信に適しているものの、データの信頼性や機密性に関する保証は含まれていないため、上述のように通信内容が第三者によって容易に傍受され、改ざんされる危険性があった。この課題に対し、DNS over TLSは通信層にTLSプロトコルを導入する。TLSは、Transport Layer Securityの略であり、インターネット上の通信を暗号化し、盗聴や改ざんを防ぐための標準的なセキュリティプロトコルである。ウェブサイトのHTTPS通信や電子メールの暗号化など、今日のインターネットセキュリティにおいて広く利用されている。

DNS over TLSは、従来のDNS通信で使われるUDP/53番ポートではなく、TCPプロトコルと専用の853番ポートを利用する。クライアント（DNSリゾルバ）がDNSサーバーに問い合わせる際、まずTCP接続を確立し、その上でTLSハンドシェイクという過程を経て、両者間で暗号化された安全な通信チャネルを確立する。このTLSハンドシェイクでは、DNSサーバーが自身の身元を証明するデジタル証明書を提示し、クライアントはその証明書が信頼できる認証局によって発行されたものであることを検証する。これにより、クライアントは通信相手が正当なDNSサーバーであることを確認でき、中間者攻撃（Man-in-the-Middle Attack）などのリスクを軽減する。一度TLSによるセキュアなチャネルが確立されれば、その後のDNSの問い合わせと応答のデータはすべて暗号化されるため、通信経路上の第三者による盗聴や改ざんは極めて困難になる。

DNS over TLSの導入による具体的なメリットは、ユーザーのプライバシー保護とセキュリティの向上が挙げられる。ISP（インターネットサービスプロバイダ）や政府機関、あるいは悪意のある組織が、ユーザーがどのウェブサイトにアクセスしようとしているのかをDNSの問い合わせから把握することを防ぎ、個人のインターネット利用履歴が追跡されるリスクを低減する。また、DNSの応答が暗号化され、サーバーの証明書によって認証されるため、フィッシングサイトなどへの誘導を目的としたDNSポイズニング攻撃に対しても強い耐性を持つ。

しかし、DNS over TLSにはいくつかの考慮すべき点も存在する。TLSハンドシェイクの過程や暗号化・復号化の処理が加わるため、従来の平文DNSに比べて通信のオーバーヘッドが増加し、名前解決のパフォーマンスにわずかな影響を与える可能性がある。また、専用の853番ポートを利用するため、ファイアウォールなどのネットワーク機器がこのポートの通信を許可する設定になっている必要がある。さらに、特定の少数のDNSプロバイダにトラフィックが集中することで、インターネットの分散性という観点から新たな懸念が生じる可能性も指摘されている。

DNS over TLSと同様に、DNS通信の暗号化を実現する技術として「DNS over HTTPS（DoH）」も存在する。DoHはHTTPSと同じTCP/443番ポートを利用し、ウェブのAPI（Application Programming Interface）を介してDNS通信を行う点がDoTと異なる。どちらもDNS通信のセキュリティとプライバシーを向上させることを目的としているが、技術的な実装やネットワークの可視性においてそれぞれ特徴を持つ。

主要なオペレーティングシステムやウェブブラウザ、DNSサービスプロバイダがDNS over TLSのサポートを徐々に拡大しており、今後もより安全なインターネット環境構築のための重要な技術として普及が進むと予想される。