DNS over HTTPSとは

この記事は約 2 分で読めます

DNS over HTTPS (DoH) とは、従来は平文で送受信されていた DNS クエリを HTTPS プロトコルで暗号化する技術です。 ISP やネットワーク管理者がユーザーの閲覧先を傍受・改ざんすることを防ぎ、プライバシーを保護します。 RFC 8484 として 2018 年に標準化され、 Firefox が同年に対応を開始したことで普及が加速しました。 2025 年時点で、主要ブラウザのほぼすべてが DoH をサポートし、 Windows 11 や macOS でも OS レベルでの DoH 対応が進んでいます。

DoH が社内の DNS フィルタリングをすり抜ける仕組み

組織のネットワークでは、名前解決を社内の DNS サーバー経由に集約し、そこで閲覧先のフィルタリングを適用する運用が広く行われています。ところが DoH を有効にしたブラウザは、 DNS クエリを HTTPS で暗号化して外部の DoH リゾルバーへ直接送るため、名前解決が社内 DNS サーバーを通らなくなり、フィルタリングが適用されないままになります。クエリ内容を傍受できないという DoH の性質は、 ISP からユーザーを守る場面では保護として働きますが、自組織のネットワークを統制する管理者から見れば、同じ性質が統制の空白になります。ブラウザ側の設定ひとつで名前解決の経路が変わるため、管理されたネットワークでは、名前解決が実際にどの経路を通っているかを把握することが対策の出発点になります。

DoH フロー

歴史的背景

従来の DNS は 1983 年の設計当初から暗号化を想定しておらず、クエリ内容が平文でネットワーク上を流れていました。これにより、DNS スプーフィングや ISP による閲覧履歴の収集が技術的に容易でした。 2018 年に Mozilla が Firefox で DoH を実装し、 2020 年には Google Chrome 、 Microsoft Edge も対応しました。現在では Cloudflare (1.1.1.1)、 Google (8.8.8.8)、 Quad9 (9.9.9.9) が主要な DoH リゾルバーを提供しています。

メリットと課題

DoH の最大のメリットは、 DNS クエリの盗聴・改ざん防止とプライバシーの向上です。一方、企業のセキュリティ管理者にとっては、社内ネットワークの DNS フィルタリングをバイパスされるリスクがあります。マルウェアが DoH を利用して C2 通信を隠蔽するケースも報告されています。企業環境では、社内 DNS サーバーで DoH を提供しつつ、外部 DoH リゾルバーへのアクセスをブロックする運用が推奨されます。強力なランダムパスワードで DNS 設定の管理画面を保護し、DNS セキュリティを総合的に強化しましょう。