Windows10はHTTPS経由のDNSをネイティブにサポートします

DNS-over-HTTPSは比較的若いWebプロトコルであり、約2年前に実装されています。 これは、DNSデータの盗聴や操作を防止することにより、ユーザーのプライバシーとセキュリティを向上させることを目的としています。 HTTPSプロトコルを使用してDoHクライアントとDoHベースのDNS間のデータを暗号化することによるman-in-the-middle攻撃 リゾルバ。

Windows Core Networkingチームは、OSにDoHサポートを追加することに忙しくしています。 WindowsがサポートするDNS暗号化の種類とその構成方法を決定する際の指針となる原則は次のとおりです。

• Windows DNSは、ユーザーを必要とせずに、デフォルトで可能な限りプライベートで機能的である必要があります または管理者設定。WindowsDNSトラフィックはユーザーのブラウジングのスナップショットを表すためです。 歴史。 Windowsユーザーにとって、これは、Windowsによって、すぐに使用できるエクスペリエンスが可能な限りプライベートになることを意味します。 Microsoftの場合、これは、ユーザーとシステム管理者が設定した構成済みのDNSリゾルバーを変更せずにWindowsDNSトラフィックを暗号化する機会を探すことを意味します。
• プライバシーを重視するWindowsユーザーと管理者は、DNSがまだ何であるかを知らなくても、DNS設定に誘導される必要があります。 多くのユーザーはプライバシーの管理に関心があり、カメラへのアプリの権限や 場所はありますが、DNS設定を認識または認識していないか、DNS設定が重要である理由を理解しておらず、デバイスでそれらを検索しない可能性があります 設定。
• Windowsユーザーと管理者は、できるだけ少ない簡単なアクションでDNS構成を改善できる必要があります。 暗号化されたDNSの恩恵を受けるために、Windowsユーザーの側で専門的な知識や努力を必要としないことを確認する必要があります。 エンタープライズポリシーとUIアクションは同様に、維持する必要はなく、一度だけ実行する必要があるものでなければなりません。
• Windowsユーザーと管理者は、構成後に暗号化されたDNSからのフォールバックを明示的に許可する必要があります。 暗号化されたDNSを使用するようにWindowsを構成した後、Windowsユーザーまたは管理者から他の指示がない場合は、暗号化されていないDNSへのフォールバックは禁止されていると見なす必要があります。

これらの原則に基づいて、チームは採用する計画を立てています DNS over HTTPS （またはDoH）WindowsDNSクライアント。 プラットフォームとして、Windows Core Networkingは、ユーザーが必要なプロトコルを使用できるようにすることを目指しているため、将来的にはDNS over TLS（DoT）などの他のオプションを利用できるようになります。 現在、既存のHTTPSインフラストラクチャを再利用できるようになるため、DoHのサポートに取り組んでいます。

最初のマイルストーンでは、Windowsがすでに使用するように構成されているDNSサーバーにDoHを使用します。 現在、DoHをサポートするパブリックDNSサーバーがいくつかあり、Windowsユーザーまたはデバイス管理者がそれらの1つを今日構成した場合、Windowsはそのサーバーに対して（暗号化なしの）従来のDNSのみを使用します。 ただし、これらのサーバーとそのDoH構成はよく知られているため、Windowsは同じサーバーを使用しながら自動的にDoHにアップグレードできます。 チームは、この変更による次の利点を主張しています。

• ユーザーまたはネットワークが使用するようにWindowsが構成されているDNSサーバーに変更を加えることはありません。 現在、ユーザーと管理者は、参加するネットワークを選択するか、サーバーを直接指定することで、使用するDNSサーバーを決定します。 このマイルストーンはそれについて何も変更しません。 多くの人がISPまたはパブリックDNSコンテンツフィルタリングを使用して、不快なWebサイトをブロックするなどのことを行っています。 Windowsの解決を行うと信頼されているDNSサーバーをサイレントに変更すると、これらの制御が誤ってバイパスされ、ユーザーを苛立たせる可能性があります。 デバイス管理者には、DNSトラフィックの送信先を制御する権利があると考えています。
• プライバシーを必要とする多くのユーザーやアプリケーションは、DNSについて知らなくてもメリットを享受し始めます。 原則1に沿って、DNSクエリはよりプライベートになり、アプリやユーザーからのアクションはありません。 両方のエンドポイントが暗号化をサポートしている場合、暗号化を使用する許可を待つ理由はありません。
• 暗号化されていないフォールバックよりも解決の失敗を優先するという方針を実施する際の課題が見え始めます。 原則4に沿って、このDoHの使用は強制され、WindowsによってDoHをサポートすることが確認されたサーバーが従来のDNSを介して参照されないようになります。 機能よりもプライバシーを優先することが一般的なWebシナリオで混乱を引き起こす場合は、早期に発見します。

将来的には、Windows10にDoHサーバーを明示的に構成する機能が含まれる予定です。

ソース