Cloudflare、Apple、FastlyがDNSの知識をプロキシで分割し、誰が問い合わせたかを誰にも見せない仕組み

Ars TechnicaのDan Goodinは、Cloudflare、Apple、コンテンツ配信ネットワークのFastlyがOblivious DNS over HTTPS（ODoH）を導入したと報じた。これは、プロバイダーや盗聴者がユーザーの訪問先アドレスを見るのを防ぐことを目的としたドメイン名システムの変更である。DNS over HTTPSとDNS over TLSはすでにルックアップを暗号化しているが、少数のプロバイダーの集団は依然として潜在的に数十億人ものインターネット利用を記録できる。プロバイダーはクエリとそれを発したコンピューターのIPアドレスの両方を見るため、包括的なプロファイルを依然として構築できる。

ODoHはユーザーとDNSリゾルバの間にネットワークプロキシを置く。クライアントは、DNSを通じて取得したターゲットの公開鍵を用いてHPKEでターゲットリゾルバ向けにクエリを暗号化する。プロキシは暗号化されたクエリを転送し、その内容を読むことはできない。ターゲットはそれを復号して応答し、応答を暗号化してプロキシ経由で返す。リクエストとそれを送信したIPアドレスの両方にアクセスできるのはユーザーだけである。

Cloudflareは、ある調査でプロキシ経由のDoHクエリに対するODoHの追加オーバーヘッドは99パーセンタイルで1ミリ秒未満だったと報告した。各社は業界標準に向けてInternet Engineering Task Forceと協力した。

クエリをリゾルバ向けに暗号化し、プロキシ経由で中継することで、ユーザーが訪問するサイトとユーザーが誰であるかの両方を単一の当事者が保持することが決してないようにする。

DoHとDoTはネットワーク上の盗聴者からは保護するが、リゾルバ自体からは保護しない。

暗号化DNSを提供するプロバイダーは少なく、プライバシーリスクがそこに集中している。

復号できないプロキシとクライアントアドレスを見られないリゾルバが、二つの事実を切り離す。

メッセージは二つの別々のHTTPS接続を通過するにもかかわらず、エンドツーエンドで暗号化されたままである。

ある当事者に二つの結び付いた事実を信頼して任せられない場合、その事実を二人の当事者に分割し、どちらもそれらを結合できないようにする。

Arsは2020年後半の時点でODoHを進行中の取り組みと表現した。プロキシと暗号化の性能コストはまだ測定中であり、Firefoxその他が関心を示していた一方で、GoogleとMicrosoftは不在だった。同記事は、これらのプレイヤーの不在から、このプロトコルにはまだ長い道のりがあることがうかがえると述べた。