The Domain Name System (DNS) has long been one of the most valuable data sources for lawful interception and network intelligence. DNS queries reveal which websites a user visits, which services they access, and which applications they use, even when the rest of the traffic is encrypted. For decades, DNS traffic has been transmitted in plaintext, making it readily accessible to network-level interception. The emergence of encrypted DNS protocols — DNS over HTTPS (DoH) and DNS over TLS (DoT) — is fundamentally changing this landscape, with significant implications for 合法的な傍受能力.
本記事では、DoHおよびDoTの仕組み、これらが採用されている理由、合法的な傍受に与える影響、そしてDNSトラフィックの暗号化がますます進む環境において、事業者がコンプライアンス義務を遵守するために何ができるかについて考察する。.
通信事業者にとっての暗号化DNSの課題
Traditional DNS resolution uses port 53 (mostly UDP, with TCP for larger responses), transmitting queries and responses in plaintext. Anyone with access to the network path between the user and the DNS resolver — including the operator, intermediate network elements, and potential eavesdroppers — can observe the DNS queries and determine which domain names the user is resolving.
DNS over TLS (DoT), defined in RFC 7858, encrypts DNS traffic by wrapping it in a TLS connection on TCP port 853. The DNS queries and responses are encrypted in transit, preventing observation by intermediaries. However, the use of a dedicated port (853) makes DoT traffic identifiable at the network level — an observer can determine that DNS resolution is occurring, even though the content of the queries is encrypted. A third protocol, DNS over QUIC (DoQ, RFC 9250), runs on UDP port 853. Oblivious DoH (RFC 9230) additionally hides the user’s IP address from the resolver.
DNS over HTTPS (DoH), defined in RFC 8484, takes encryption a step further by tunnelling DNS traffic within standard HTTPS connections on port 443 (TCP, or UDP when HTTP/3 over QUIC is used). Because DoH uses ordinary HTTPS on port 443, its content cannot be separated from web traffic, although connections to well-known public resolvers can still be recognised by their addresses. DoH effectively hides DNS resolution within the vast volume of encrypted web traffic that traverses modern networks.
どちらのプロトコルも、ネットワークの中間者によるDNSクエリの監視を防ぐことで、ユーザーのプライバシーを保護するように設計されています。 Mozilla Firefox や Google Chrome を含む主要なブラウザベンダーは DoH のサポートを実装しており、一部のオペレーティングシステムでは現在、DoH および DoT をネイティブにサポートしています。プライバシー保護の提唱、ブラウザのデフォルト設定、そしてすべてのネットワークトラフィックを暗号化するという広範なトレンドに後押しされ、暗号化 DNS の普及は加速しています。.
合法的な通信傍受への影響
The encryption of DNS traffic has a direct and significant impact on lawful interception capabilities. Plaintext DNS queries have traditionally been visible to investigators inside the content of communication (CC): the IP copy of the target’s traffic includes every DNS packet, providing a detailed record of the target’s online activity. When a target visits a website, sends an email, or uses an application, the corresponding DNS queries reveal the domain names involved, even when the content of the communication is encrypted.
DoH および DoT により、対象のデバイスが、通信事業者が運営していない暗号化された DNS リゾルバーを使用するように設定されている場合、通信事業者はネットワークレベルで DNS クエリを監視できなくなります。 DNS解決プロセスは、デバイスとリゾルバーの間でエンドツーエンドで暗号化されており、通信事業者のネットワーク機器は、TLSセッションキーへのアクセスがない限り、クエリを復号化することはできません。.
This loss of DNS visibility affects real-time interception: the IP copy of the target’s traffic still contains every DNS packet, but with DoH and DoT those packets are encrypted, so the LEA loses the domain names it used to read from them. Encrypted DNS does not affect retained data: data retention rules, where they apply, cover subscriber and IP-assignment records. They do not cover DNS queries or browsing history, which in Germany are expressly excluded from data retention (§ 176(5) TKG).
この影響は、対象が通信事業者の独自のDNSインフラではなく、CloudflareやGoogle、その他のプロバイダーが運営するサードパーティ製のDoHリゾルバーを使用している場合に最も顕著になります。 この場合、DNSクエリは事業者のネットワーク外で完全に解決されるため、事業者はそれらに一切アクセスできません。ターゲットがDoTまたはDoH対応の事業者独自のDNSリゾルバーを使用している場合、事業者はリゾルバーレベルでのクエリデータへのアクセス権を保持しますが、中間ネットワークポイントでのアクセス権は保持しません。.
事業者向けのリスク軽減策
Operators cannot prevent the adoption of encrypted DNS, but they can implement strategies to mitigate its impact on lawful interception. The first strategy is to operate their own DoH and DoT resolvers and to encourage their subscribers to use these resolvers, for example by advertising them through DDR (RFC 9462) or DNR (RFC 9463) so that devices upgrade to the operator’s encrypted resolver automatically. If the operator runs the encrypted resolver, an interception point at the resolver can still see a target’s queries in plaintext once a valid order is in force. This is not a reason to log all subscribers’ DNS: keeping such data needs its own legal basis. This approach preserves DNS visibility for lawful interception while still providing subscribers with the privacy benefits of encrypted DNS against third-party observation.
The second strategy involves using alternative data sources to reconstruct the information that DNS queries previously provided. Server Name Indication (SNI) in TLS handshakes provides the domain name of the server that the client is connecting to, and this information has traditionally been transmitted in plaintext. However, Encrypted Client Hello (ECH, RFC 9849, published 2026, the successor to ESNI) now encrypts the SNI as well, wherever browser and server support it, further reducing visibility. IP address analysis can also provide some information about which services a target is accessing, but the widespread use of content delivery networks (CDNs) and shared hosting means that IP-to-domain mapping is often ambiguous.
The third strategy is to implement interception at the application layer or at the device level, rather than relying solely on network-level data. This approach is beyond the scope of traditional telecommunications interception, but some jurisdictions already permit device-level interception under strict conditions (in Germany, ‘Quellen-TKÜ’ under § 100a StPO), as a response to the increasing encryption of network traffic. For operators, this is not a practical solution, but it is part of the broader context in which encrypted DNS should be understood.
A fourth strategy involves regulatory and policy engagement. Outside the EU, some governments block third-party resolvers or encrypted handshakes. In the EU, net-neutrality rules (Regulation (EU) 2015/2120) make such blocking by operators difficult without a specific legal basis. These approaches are controversial and raise questions about network neutrality, user freedom, and technical feasibility.
暗号化の広範な普及傾向
暗号化DNSは、プライバシーへの懸念、セキュリティのベストプラクティス、および主要なソフトウェアプラットフォームのデフォルト設定に後押しされ、すべてのネットワークトラフィックを暗号化しようとする広範な潮流の一部です。 TLS 1.3、ECH、QUIC、およびその他の技術により、従来、ネットワークレベルでの傍受が依存してきたメタデータやコンテンツの暗号化範囲が徐々に拡大しています。この暗号化の潮流における各段階は、通信事業者、ひいては合法的な傍受が把握できる範囲を縮小させています。.
事業者は、これまで享受してきたネットワークレベルの可視性が低下しており、今後も低下し続けることを認識しなければならない。この傾向への対応は、純粋に技術的なものだけでは不十分であり、高度に暗号化されたネットワーク環境の現実を踏まえた、合法的な通信傍受に向けた新たなアプローチを策定するために、規制当局、標準化団体、法執行機関との連携が必要となる。.
At the same time, operators must continue to deliver whatever interception data they are technically capable of providing. The encryption of DNS does not eliminate the operator’s legal obligation to intercept; it changes the scope of what can be intercepted. Operators must remove encryption they apply in the network or whose keys they help generate or exchange (in Germany § 8(3) TKÜV). Third-party DoH or DoT traffic is handed over as captured. Operators must be transparent with law enforcement about these limitations and must ensure that their LI systems are updated to handle the reduced visibility gracefully — delivering the complete copy of the target’s traffic, encrypted DNS included, without filtering it.
コンプライアンスおよび報告への影響
Encrypted DNS does not reduce what an operator has to deliver: the complete copy of the target’s traffic, including the encrypted DNS packets, still meets the obligation. What changes is what law enforcement can read from it, and operators should explain this when agencies ask why domain names are missing.
一部の管轄区域の規制当局は、暗号化されたDNSという現実を踏まえて、技術的な要件や期待値を更新する必要があるかもしれません。事業者は、規制策定の参考となる技術的専門知識や実践的な知見を提供することで、このプロセスにおいて建設的な役割を果たすことができます。 すべての関係者にとって最悪の事態は、事業者が技術的にアクセスできないデータの提供を規制当局に求められることです。これは、捜査上の価値をもたらさないまま、コンプライアンス上のリスクを生み出す状況となります。.
結論
Encrypted DNS represents a significant shift in the balance between privacy and surveillance capability in telecommunications networks. DoH and DoT protect user privacy by preventing the observation of DNS queries by network intermediaries, but they also reduce the visibility available to lawful interception systems. Operators can help by offering their own encrypted DNS resolvers, leveraging alternative data sources, engaging with regulators on evolving requirements, and ensuring that their LI systems accurately reflect the data that is actually available. The trend toward comprehensive network encryption is irreversible, and operators that adapt proactively will be better positioned to maintain compliance and to provide meaningful support to law enforcement within the constraints of the evolving technical landscape.
暗号化DNSをめぐる議論は、個人のプライバシー権と法執行機関の正当なニーズとの間の緊張関係も浮き彫りにしています。適切なバランスを見出すためには、技術者、政策立案者、市民社会、そして法執行機関間の協力が不可欠です。事業者は、こうした利害関係の交差点に位置しており、技術的能力、法的義務、およびプライバシー保護が調和するよう確保するという、独自の責任を負っています。 通信事業者は、標準規格の策定、規制当局との協議、業界フォーラムに積極的に参加することで、プライバシーを尊重しつつ、民主主義社会が法の支配に従って合法的な監視を行う能力を維持できるような解決策の構築に貢献することができます。.
関連記事
関連トピックについては、以下の記事を参照されたい：
- 5G SAにおけるネットワークスライシング：LIターゲティングをいかに複雑にするか（そしていかに簡素化できるか）
- AIを活用したLI：自動化がオペレーターや法執行機関の業務プロセスに与える影響
- IRIとCC：インターセプト関連情報の実際の意味
外部リソース
以下の外部リソースは、さらなる背景と公式文書を提供している：
