暗号化 DNS: DoH と DoT で何が変わるか
問い合わせを暗号化すると、同じネットワークにいる人には探した名前が隠れます。ただし、答えたサーバーと、端末を操作している人には見えたままです。
暗号化で隠れるもの
カフェやホテルのような開いたネットワークでは、通信を観測している人が、端末が探した名前を見ます。訪れたサイト、アプリが使うサービス、ダウンロードされた更新パッケージ。その名前の一覧がそのまま残ります。TLS や HTTPS 上の DNS なら、問い合わせは暗号化的リゾルバまで届き、ネットワークにはそのサーバーへの接続しか見えません。
効果は共有ネットワークとモバイル端末で大きくなります。ネットワークの運用者には、誰が何を探したかを記録する理由があるからです。ただし完全な盾ではありません。リゾルバにはすべてが見え、最初の接続はネットワークを制御する人に傍受される可能性があります。
見え続ける人
リゾルバが通信事業者のものであれば、経路を暗号化しても向こうには変わりがありません。問い合わせの相手先だからです。自分でリゾルバを持つようになると、意味のある問いは「途中で誰が見ているか」から「最後に誰が答えるか」に移ります。
そこがもう一つの注意点です。問い合わせを一つのサーバーに集中させると、そのサーバーへの依存が増します。サービスが止まれば閲覧は止まり、侵害されれば名前のトラフィックが全部一箇所を通ります。設定の整ったリゾルバは、端末ごとの問い合わせ記録、短い保存期間、履歴の確認で補います。
ブラウザが自分で決めるとき
Chrome や Firefox には安全な DNS の設定があります。ネットワークに設定されたサーバーではなく、ブラウザ自身のサーバーを使うものです。近くの傍受は避けられますが、選ばれたのはブラウザのサーバーであり、あなたのサーバーではありません。
企業が管理する端末では、設定は方針によって固定され、利用者は気づきません。暗号化された DNS が最初から有効で、端末の設定を無視するアプリもあります。どのサーバーが答えたかを確かめておく価値はあります。