要約

  • RFC 9539は、再帰リゾルバーと権威サーバーが事前調整なしにDoTまたはDoQを機会的に導入し、DNS問い合わせを受動的な観測から守る範囲を広げる方法を示す。
  • 実際の制御はリゾルバーの状態とフォールバック方針に残る。成功すれば後続の平文を抑えられるが、失敗すれば平文へ戻り、認証を伴わない暗号化は能動的な攻撃者を防げない。

リゾルバーの先に残る露出区間

DNSのプライバシーは、端末と利用する再帰リゾルバーの間の問題として語られがちだ。しかし名前解決はそこで終わらない。答えがキャッシュにない場合、リゾルバーは権威サーバーへ問い合わせる。この通信が従来の53番ポート上のDNSであれば、最初の区間が暗号化されていても、後続経路にいる受動的な観測者は問い合わせと応答を見ることができる。

RFC 9539が対象にするのは、この再帰リゾルバーから権威サーバーまでの区間である。IETFが2024年2月に実験的RFCとして公開した文書で、相手との事前調整を必要としない暗号化トランスポートの導入方法を定める。権威運用者は853番ポートでDNS over TLSまたはDNS over QUICを提供できる。リゾルバーはそれらを自ら試し、利用できるときに採用できる。

「一方的」という言葉は、対応する暗号化トランスポートを持たないサーバーとの通信を強制的に暗号化できるという意味ではない。リゾルバーがDNSデータを支配するわけでもない。権威サーバーは、どのトランスポートから届いた問い合わせにも同じ権威ゾーンデータを基に応答しなければならない。変わるのは調整の形である。双方は独立して準備でき、リゾルバーは運用者間の合意を待つ代わりに、接続結果から利用可能な能力を発見する。

一度の成功が次の問い合わせを変える

この仕組みは、サーバーによる恒久的な能力宣言に依存しない。最近の観測から状態を作る。RFC 9539は、リゾルバーの送信元アドレス、権威サーバーのIPアドレス、暗号化プロトコルの組み合わせごとに記録を保持する方法を示す。最初の接触では平文DNS、DoT、DoQ、または複数のトランスポートを同時に試し、暗号化接続が成功、失敗、タイムアウトのいずれだったかを記録する。

暗号化トランスポートが最近成功していれば、リゾルバーは同じアドレスへの次の問い合わせを平文で送らない方がよい。動作が確認された暗号化方式だけを使えるからだ。運用上の権限が移るのはここである。リゾルバーが保持する証拠によって、後続トラフィックの経路が変わる。

その証拠には期限がある。RFCは、成功を3日、失敗を1日記憶し、暗号化接続の確立を4秒待つ初期値を提案する一方、運用者が別の値を選び公開することも認める。これらは単なる微調整ではない。成功の保持期間を長くすれば、確認済みの暗号化経路により多くの通信を残せる。失敗の抑制期間を長くすれば、非対応の接続先への無駄な試行を減らせるが、相手が対応した後の再試行は遅れる。タイムアウトを長くすれば難しい接続を待てる反面、遅延と資源消費は増える。

アドレス単位の状態は、一つのサーバー名の裏側にある複雑さも映し出す。権威サービスはエニーキャスト、ロードバランサー、更新時期の異なるサーバープールを使うことがある。実際に到達したアドレスではなく名前に能力をひも付けると、未対応の別ノードにも暗号化能力があると誤認し、余計な遅延を生みかねない。RFC 9539がアドレス単位の記録を勧め、プール全体で能力を速やかにそろえるか、移行中の接続先を意図的に制御するよう求める理由である。

フォールバックは可用性を守り、プライバシーの限界も作る

機会的セキュリティの価値は、暗号化を名前解決の必須条件にせず機密性を高められることにある。その限界も同じ選択から生まれる。暗号化ハンドシェイクが失敗すると、RFC 9539はリゾルバーに対し、失敗したセッション状態を消去し、失敗を記憶し、他に同じ問い合わせが進行していなければ通常のDNSで送り直すよう示す。確立済みの暗号化接続が後から壊れた場合も、平文への復帰が起こり得る。

この規則は段階的な導入や障害時の可用性を守る一方、フォールバックをプライバシー判断にする。受動的な観測者は、聞いているだけで正しい暗号化を破れない。しかし能動的な攻撃者は暗号化の試行を妨害し、リゾルバーを平文へ誘導できる。RFCはその攻撃者への防御を明確に対象外としている。

認証にも境界がある。この一方的で機会的な方針では、リゾルバーは権威サーバーが提示した証明書を受け入れなければならない。本人性を検証できないという理由で拒否すれば、平文へ戻って受動的観測者に内容をさらすからだ。得られる暗号化は通信内容を守るが、権威サーバーの身元を証明しない。能動的な中間者をこの仕組みだけで検出することはできない。

これは「暗号化」という言葉に隠された欠陥ではなく、実験が明示した取引条件である。能動的な妨害へ強く対抗するには、認証された通知と追加の調整が必要であり、RFC 9539の範囲外だ。経営上は、これを認証済み権威DNSではなく、機会的な機密性として説明する必要がある。

プライバシーには運用費用がかかる

暗号化の探索は、露出を減らす前に仕事を増やす。リゾルバーは接続を並行して試し、能力とセッションの状態を保存し、タイマーを管理し、接続を維持することがある。権威サーバーは、状態をほとんど持たないUDPより多くの長時間TLS・QUIC接続を受ける可能性がある。CPU、メモリー、帯域、接続数が逼迫したときの方針を双方が持たなければならない。

RFC 9539は、こうした悪影響を抑えることを設計上の優先事項に置く。過剰な帯域と計算資源の使用、増幅攻撃の可能性を挙げ、アイドル接続や未完了問い合わせの管理を求める。資源が不足すれば、新しい暗号化接続を開始しない、または受け付けない選択も認める。DoTとDoQが運搬手段を提供し、この実験は失敗した試行を恒常的な負担にしないための運用方針を提供する。

暗号化後もトラフィック分析は残る。問い合わせと応答のパディングはサイズから漏れる情報を減らせる。一方、平文のServer Name Indicationは対象となる権威サーバーの手掛かりを与えるため、RFCは別の保護がない限り、この構成でSNIを送らないよう勧める。接続先アドレス、コールドキャッシュ、並行試行も観測可能な信号になる。暗号化は受動的観測者が知り得る内容を減らすが、名前解決の経路を不可視にはしない。

証拠の境界

標準から確認できるのは、トランスポートの選択、状態遷移、推奨タイマー、フォールバック動作、脅威モデルである。RFC 9539がどれほど実装・有効化されているか、現在の再帰・権威間通信の何割が暗号化されているか、運用者が本番環境でどの値を採用しているかは証明されていない。RFC自身も、多様な実装が現れた後の測定を求めている。実運用の効果は本稿では未知のままだ。

権限を主に持つのはリゾルバーの運用者である。そのソフトウェアと方針が、いつ試し、何を記憶し、いつ平文へ戻るかを決める。ただし、この権限はDNSデータの支配より狭い。IETFが定義するのは任意参加の実験であり、各運用者が導入を決める。応答内容と暗号化サービスを提供するかどうかは、引き続き権威運用者が決める。

想定される受益者は、DNS問い合わせが平文で観測可能な区間を通る利用者と、将来のより強い仕組みに向けて導入経験を得る運用者である。費用は再帰・権威の双方が負い、接続、状態、計算、メモリー、帯域、障害処理が増える。反実仮想である「機会的探索をしない運用」は負担を避けるが、より強い方式を双方が調整するまで、この区間を通常は露出したままにする。

情報源