DNS を変更するとブラウジングがより安全になりますが、最も重要な人から履歴が隠されるわけではありません

DNS サーバーの変更は、ブラウジングをより安全にする簡単なネットワーク調整の 1 つですが、DNS プライバシーは誤解されやすいです。 DNS プロバイダーを変更しても、閲覧履歴が非表示になるわけではありません。 ISP、雇用主、学校、またはネットワーク管理者は、接続しているサービスを判断する他の方法をまだ持っている可能性があります。

DNS はコンピュータに接続先を通知するだけです

DNS を変更すると、接続自体ではなくリゾルバーが変更されます

DNS の基本的な仕事は、次のようなドメインを変換することです。 example.com コンピュータが接続できる IP アドレスに変換します。 ISP の DNS サーバーを使用すると、ISP がこれらの検索を処理します。 Cloudflare または Google を使用するようにデバイスを設定すると、代わりにそれらの会社がそれらを処理します。

それはプライバシーに役立つ可能性があります。 DNS over HTTPS (DoH) または DNS over TLS (DoT) を使用する場合、デバイスとリゾルバー間のクエリは暗号化されます。ローカル ネットワークを監視している人は、単に DNS パケットを読んで、要求されているすべてのドメインを確認することはできなくなりますが、DNS は残りの Web トラフィックを伝送しません。

解決後 example.com、コンピュータは引き続き、結果として得られた IP アドレスに接続する必要があります。通常のインターネット接続を使用している場合でも、これらのパケットは ISP を経由する必要があります。 DNS リゾルバーを変更しても、これらのパケットが暗号化されたり、宛先 IP アドレスが隠されたり、接続が VPN になったりすることはありません。

あなたの ISP はまだたくさん見ることができます

HTTPS はコンテンツを保護しますが、宛先は必ずしも保護されません

DNS クエリが暗号化されている場合でも、ISP は依然としてネットワークとインターネットの残りの部分の間に存在します。通常の HTTPS 接続の場合、ISP はアクセスしたページのコンテンツを単純に読み取ることはできません。 HTTPS は、ブラウザと Web サイト間の実際のアプリケーション データを暗号化します。

ただし、ISP は接続の通信先となる IP アドレスを引き続き確認できます。それにより、使用しているサービスが判明する場合があります。何千もの Web サイトで共有されている IP アドレスでは、ユーザーがどのサイトにアクセスしたかを ISP に正確に伝えることはできませんが、特定のサービス専用のアドレスは、より強力な手がかりを提供する可能性があります。

TLS はこれまで、別の情報源を提供してきました。従来の TLS 接続では、ブラウザは Server Name Indication (SNI) を介して ClientHello メッセージに接続先のホスト名を含めることができます。 HTTPS セッションの内容は暗号化されたままですが、SNI のホスト名はこれまで接続を監視している誰かに見えていました。

ここで、Encrypted Client Hello (ECH) が登場します。ECH は、要求されたホスト名が SNI を通じて公開されてしまう情報など、TLS ClientHello の機密部分を暗号化するように設計されています。 ECH は重要な開発ですが、万能のプライバシー スイッチではありません。その有効性は、ブラウザ、サーバー、および周囲のインフラストラクチャからのサポートに依存します。

トラフィック分析は別の情報源を提供できます。接続の内容が暗号化されている場合でも、パケットのサイズ、タイミング、方向によって接続の特徴が明らかになる可能性があります。 ISP は、デバイスが特定のサービスと通信していることを知るために、必ずしも HTTP リクエストを読み取る必要はありません。したがって、暗号化された DNS は実際の問題を解決しますが、ISP がインターネット アクティビティを認識できないようにするわけではありません。

DNSを変更するということは、他の人を信頼することを意味します

新しいリゾルバーは引き続きクエリを参照できます

DNS プロバイダーを切り替えることで見落とされがちなもう 1 つの影響は、クエリが消えないことです。 ISP のリゾルバーの使用を停止し、Cloudflare の使用を開始すると、Cloudflare がそれらのリクエストを受信するリゾルバーになります。 Google Public DNS を使用している場合、代わりに Google がそれらを受信します。

DoH と DoT は、デバイスとリゾルバーの間でクエリが送信される間、クエリを保護します。リゾルバーは、応答するためにリクエストを確認する必要があります。これにより、プロバイダーのプライバシー ポリシー、ログ記録の慣​​行、および管轄区域が関連することになります。 DNS プロバイダーは、そのビジネスとインフラストラクチャに適用される法律に基づいて運営されており、法的な情報要求への対応方法に影響を与える可能性があります。これは、すべてのパブリック DNS プロバイダーがユーザーの行動すべてについて広範な記録を保持していることを意味するものではありません。ポリシーは異なり、一部の DNS プロバイダーはプライバシーをより重視しています。

それで、誰が何を見ることができるのでしょうか？

プライバシーは誰から隠そうとしているかによって決まります

コーヒー ショップで Wi-Fi を使用しており、暗号化された DNS と HTTPS が有効になっている場合、ネットワークを実行している人は単純にログを開いてアクセスしたページを読むことはできません。デバイスが特定の IP アドレスと通信していることは引き続き確認できますが、通常は、閲覧したページなどの HTTPS セッションのコンテンツを読み取ることはできません。

ISP はインターネット トラフィックを伝送するため、可視性が大幅に向上します。接続によっては、ISP も SNI を確認し、接続のタイミングとトラフィック パターンを分析できます。実際には、DNS を変更しても、ISP がインターネット アクティビティの有益な情報を構築するのを妨げることはありません。

ネットワークを管理している企業や学校は、さらに可視性を高めることができます。外部の DNS をブロックしたり、接続をログに記録したり、管理対象デバイス ソフトウェアや TLS インスペクションを使用してトラフィックを検査したりできます。その環境では、ネットワークがDNS設定を上書きまたは無視する可能性があるため、ラップトップのDNS設定を変更しても何も起こらない可能性があります。

VPN を使用すると、ISP は VPN 内の個々の宛先ではなく、VPN への暗号化された接続を認識するため、状況が変わります。しかし、今後は VPN プロバイダーが信頼する必要があります。トラフィックが到達する宛先を確認できる可能性があり、VPN の構成が間違っている場合は、DNS 構成によって情報がトンネルの外に漏洩する可能性があります。

DNSプライバシーには限界がある

別のリゾルバーを選択すると、セキュリティ上の実質的な利点がまだあります。一部のサービスは既知の悪意のあるドメインをブロックすることができ、デバイスが特定のマルウェアやフィッシング サイトに接続するのを防ぐことができます。これは、ISP の視界から消える方法ではなく、DNS を処理する別のサービスを選択することだと考えてください。トラフィックを伝送するネットワークからオンラインにアクセスする場所を隠すことが目的の場合は、DNS 以外にも保護する必要があります。