ドメインネームシステム（DNS）は、長きにわたり、合法的な通信傍受やネットワークインテリジェンスにとって最も貴重なデータソースの一つとなってきた。DNSクエリからは、ユーザーがどのウェブサイトを訪問し、どのサービスにアクセスし、どのアプリケーションを使用しているかが明らかになる。これらはすべて、通信内容そのものにアクセスする必要なく把握できる。 何十年もの間、DNSトラフィックは平文で送信されてきたため、ネットワークレベルでの傍受が容易に行える状態でした。しかし、暗号化されたDNSプロトコル――DNS over HTTPS（DoH）やDNS over TLS（DoT）――の登場により、この状況は根本的に変化しつつあり、合法的な傍受能力に重大な影響を及ぼしています。.
本記事では、DoHおよびDoTの仕組み、これらが採用されている理由、合法的な傍受に与える影響、そしてDNSトラフィックの暗号化がますます進む環境において、事業者がコンプライアンス義務を遵守するために何ができるかについて考察する。.
通信事業者にとっての暗号化DNSの課題
従来のDNS解決ではUDPポート53が使用され、クエリや応答は平文で送信されます。ユーザーとDNSリゾルバ間のネットワーク経路にアクセスできる者（運用者、中間ネットワーク要素、および盗聴の可能性がある者を含む）は、誰でもDNSクエリを傍受し、ユーザーがどのドメイン名の解決を行っているかを特定することができます。.
RFC 7858で定義されているDNS over TLS（DoT）は、TCPポート853上のTLS接続でDNSトラフィックをカプセル化することで、そのトラフィックを暗号化します。DNSクエリと応答は転送中に暗号化されるため、中間者による監視を防ぐことができます。 しかし、専用ポート（853）を使用しているため、ネットワークレベルではDoTトラフィックを識別することが可能です。つまり、クエリの内容が暗号化されていても、監視者はDNS解決が行われていることを特定できてしまいます。.
RFC 8484で定義されているDNS over HTTPS（DoH）は、TCPポート443上の標準的なHTTPS接続内にDNSトラフィックをトンネル化することで、暗号化をさらに一歩進めたものです。DoHトラフィックは通常のHTTPSウェブトラフィックと見分けがつかないため、ネットワークレベルでこれを特定してブロックすることは極めて困難です。 DoHは、現代のネットワークを流れる膨大な量の暗号化されたWebトラフィックの中に、DNS解決を効果的に隠蔽します。.
どちらのプロトコルも、ネットワークの中間者によるDNSクエリの監視を防ぐことで、ユーザーのプライバシーを保護するように設計されています。 Mozilla Firefox や Google Chrome を含む主要なブラウザベンダーは DoH のサポートを実装しており、一部のオペレーティングシステムでは現在、DoH および DoT をネイティブにサポートしています。プライバシー保護の提唱、ブラウザのデフォルト設定、そしてすべてのネットワークトラフィックを暗号化するという広範なトレンドに後押しされ、暗号化 DNS の普及は加速しています。.
合法的な通信傍受への影響
DNSトラフィックの暗号化は、合法的な傍受能力に直接的かつ重大な影響を及ぼします。 DNSクエリデータは従来、傍受関連情報の重要な構成要素であり、捜査当局に対象者のオンライン活動の詳細な記録を提供してきました。対象者がウェブサイトにアクセスしたり、電子メールを送信したり、アプリケーションを使用したりすると、通信内容が暗号化されている場合でも、対応するDNSクエリによって関連するドメイン名が明らかになります。.
DoH および DoT により、対象のデバイスが、通信事業者が運営していない暗号化された DNS リゾルバーを使用するように設定されている場合、通信事業者はネットワークレベルで DNS クエリを監視できなくなります。 DNS解決プロセスは、デバイスとリゾルバーの間でエンドツーエンドで暗号化されており、通信事業者のネットワーク機器は、TLSセッションキーへのアクセスがない限り、クエリを復号化することはできません。.
このDNS可視性の喪失は、リアルタイムの傍受と履歴データの分析の両方に影響を及ぼします。 リアルタイムの傍受においては、対象者のデータセッションに対して生成されるIRIから、従来は対象者のオンライン活動に関するコンテキスト情報を提供していたDNSクエリ情報が欠落することになります。履歴分析においては、DNSログが存在しないため、オペレーターが保存データから対象者の閲覧履歴やサービス利用パターンを再構築する能力が低下します。.
この影響は、対象が通信事業者の独自のDNSインフラではなく、CloudflareやGoogle、その他のプロバイダーが運営するサードパーティ製のDoHリゾルバーを使用している場合に最も顕著になります。 この場合、DNSクエリは事業者のネットワーク外で完全に解決されるため、事業者はそれらに一切アクセスできません。ターゲットがDoTまたはDoH対応の事業者独自のDNSリゾルバーを使用している場合、事業者はリゾルバーレベルでのクエリデータへのアクセス権を保持しますが、中間ネットワークポイントでのアクセス権は保持しません。.
事業者向けのリスク軽減策
通信事業者は、暗号化DNSの導入を阻止することはできませんが、合法的な通信傍受への影響を軽減するための対策を講じることは可能です。その第一の対策は、独自のDoHおよびDoTリゾルバーを運用し、加入者に対してこれらのリゾルバーの利用を推奨または義務付けることです。 通信事業者がDNSリゾルバーを管理していれば、デバイスとリゾルバー間の通信が暗号化されている場合でも、DNSクエリデータへのアクセスを維持できます。このアプローチにより、DNSの可視性を確保しつつ、第三者による監視から加入者を保護する暗号化DNSのプライバシー上の利点も提供できます。.
2つ目の戦略は、代替データソースを活用して、従来DNSクエリによって提供されていた情報を再構築するものです。 TLSハンドシェイクにおけるサーバー名指示（SNI）は、クライアントが接続しようとしているサーバーのドメイン名を提供しますが、この情報は従来、平文で送信されてきました。しかし、暗号化されたクライアント・ハロー（ECH、旧称ESNI）の採用により、SNIも暗号化され始めており、可視性がさらに低下しています。 IPアドレスの分析からも、ターゲットがどのサービスにアクセスしているかに関する情報をある程度得ることができますが、コンテンツ配信ネットワーク（CDN）や共有ホスティングが広く利用されているため、IPアドレスとドメイン名の対応関係は曖昧になることがよくあります。.
3つ目の戦略は、ネットワークレベルのデータのみに依存するのではなく、アプリケーション層またはデバイスレベルで傍受を実施することです。このアプローチは、従来の通信傍受の範囲を超えますが、ネットワークトラフィックの暗号化が進んでいることへの対応として、一部の法執行機関によって検討が進められています。 通信事業者にとって、これは現実的な解決策とは言えないが、暗号化されたDNSを理解すべきより広い文脈の一部である。.
4つ目の戦略は、規制や政策面での取り組みである。一部の政府は、通信事業者に対し、サードパーティのDNSリゾルバーへのアクセスを遮断すること、あるいは事業者自身のDNSインフラの利用を義務付けることを検討、あるいは実施している。こうしたアプローチは物議を醸しており、ネットワーク中立性やユーザーの自由、技術的な実現可能性について疑問が投げかけられているが、暗号化DNSという課題に対する政策的な対応策の一つとなっている。.
暗号化の広範な普及傾向
暗号化DNSは、プライバシーへの懸念、セキュリティのベストプラクティス、および主要なソフトウェアプラットフォームのデフォルト設定に後押しされ、すべてのネットワークトラフィックを暗号化しようとする広範な潮流の一部です。 TLS 1.3、ECH、QUIC、およびその他の技術により、従来、ネットワークレベルでの傍受が依存してきたメタデータやコンテンツの暗号化範囲が徐々に拡大しています。この暗号化の潮流における各段階は、通信事業者、ひいては合法的な傍受が把握できる範囲を縮小させています。.
事業者は、これまで享受してきたネットワークレベルの可視性が低下しており、今後も低下し続けることを認識しなければならない。この傾向への対応は、純粋に技術的なものだけでは不十分であり、高度に暗号化されたネットワーク環境の現実を踏まえた、合法的な通信傍受に向けた新たなアプローチを策定するために、規制当局、標準化団体、法執行機関との連携が必要となる。.
同時に、通信事業者は、技術的に提供可能な範囲で、引き続きあらゆる傍受データを提供し続けなければならない。 DNSの暗号化は、通信事業者に課せられた傍受の法的義務を排除するものではなく、傍受可能な範囲を変更するものである。通信事業者は、こうした制限について法執行機関に対して透明性を確保するとともに、可視性の低下に適切に対応できるようLIシステムを更新し、不完全または誤解を招くデータを生成するのではなく、利用可能な情報を正確に反映したIRIを生成しなければならない。.
コンプライアンスおよび報告への影響
DNSの可視性が失われることは、事業者が通信傍受能力について報告する方法や、規制当局がコンプライアンスを評価する方法に影響を及ぼします。事業者は、暗号化されたDNSが自社の通信傍受能力に与える影響について、国内の規制当局と積極的に情報共有を行うとともに、利用できなくなった具体的なデータ要素や、その影響を軽減するために講じている措置を文書化すべきです。.
一部の管轄区域の規制当局は、暗号化されたDNSという現実を踏まえて、技術的な要件や期待値を更新する必要があるかもしれません。事業者は、規制策定の参考となる技術的専門知識や実践的な知見を提供することで、このプロセスにおいて建設的な役割を果たすことができます。 すべての関係者にとって最悪の事態は、事業者が技術的にアクセスできないデータの提供を規制当局に求められることです。これは、捜査上の価値をもたらさないまま、コンプライアンス上のリスクを生み出す状況となります。.
結論
暗号化DNSは、通信ネットワークにおけるプライバシーと監視能力のバランスに大きな変化をもたらします。DoHおよびDoTは、ネットワークの中間者によるDNSクエリの監視を防止することでユーザーのプライバシーを保護しますが、その一方で、合法的な傍受システムが得られる情報の可視性も低下させます。 通信事業者は、独自の暗号化DNSリゾルバーを導入し、代替データソースを活用し、規制当局と協力して要件の変化に対応し、自社の合法的傍受（LI）システムが実際に利用可能なデータを正確に反映するよう確保することで、この変化に適応しなければなりません。 ネットワークの包括的な暗号化への傾向は不可逆的であり、先を見越して適応する通信事業者は、コンプライアンスを維持し、進化する技術環境の制約の中で法執行機関に有意義な支援を提供する上で、より有利な立場に立つことになるでしょう。.
暗号化DNSをめぐる議論は、個人のプライバシー権と法執行機関の正当なニーズとの間の緊張関係も浮き彫りにしています。適切なバランスを見出すためには、技術者、政策立案者、市民社会、そして法執行機関間の協力が不可欠です。事業者は、こうした利害関係の交差点に位置しており、技術的能力、法的義務、およびプライバシー保護が調和するよう確保するという、独自の責任を負っています。 通信事業者は、標準規格の策定、規制当局との協議、業界フォーラムに積極的に参加することで、プライバシーを尊重しつつ、民主主義社会が法の支配に従って合法的な監視を行う能力を維持できるような解決策の構築に貢献することができます。.
関連記事
関連トピックについては、以下の記事を参照されたい：
- 5G SAにおけるネットワークスライシング：LIターゲティングをいかに複雑にするか（そしていかに簡素化できるか）
- AIを活用したLI：自動化がオペレーターや法執行機関の業務プロセスに与える影響
- IRIとCC：インターセプト関連情報の実際の意味
外部リソース
以下の外部リソースは、さらなる背景と公式文書を提供している：
