Cloudflare DNS（1.1.1.1）が解決する4つのDNSプライバシーリスクとは？設定方法も徹底解説

2018年4月、Cloudflareは新しいセキュリティツール「1.1.1.1」をリリースしました。これは誰でも無料で利用できるコンシューマー向けDNSアドレスで、DNSセキュリティの強化、ユーザーのプライバシー保護、さらにはネットワーク接続速度の向上さえも期待できるものです。

しかし、具体的にはどのような仕組みで動作するのでしょうか？また、どうやって使えばいいのか？そして、どのようなDNSプライバシーリスクを改善できるのでしょうか？本記事では詳しく見ていきます。

DNSとプライバシーをめぐる問題

ドメインネームシステム（DNS）は、しばしば「インターネットの電話帳」と呼ばれます。私たちが日常的に使うドメイン名（例：makeuseof.com）と、そのサイトのWebサーバーのIPアドレスを結びつける役割を担う技術です。

もちろん、サイトのIPアドレスを直接入力してもそのホームページにアクセスすることはできます。しかし、テキストベースのURLの方がはるかに覚えやすいため、私たちはドメイン名を使っているのです。

残念ながら、DNS技術には多くのプライバシー上の問題があります。これらの問題は、システム上で通常のセキュリティ対策をすべて講じていても、オンラインの安全性を脅かしかねません。ここでは、DNSに関わる最悪のプライバシー問題をいくつか紹介します。

1. ISP（プロバイダ）が監視している

DNSの仕組み上、DNSはあなたが訪問したウェブサイトのログとして機能します。訪問先のサイトがHTTPSを使用しているかどうかは関係ありません。ISP（インターネットサービスプロバイダ）、携帯キャリア、公衆Wi-Fi事業者は、あなたがどのドメインを訪問したかを正確に把握できてしまいます。

懸念すべきことに、2017年半ば以降、米国ではISPが顧客の閲覧データを金銭目的で販売することが認められています。実際、この慣行は世界中で広く行われています。

結局のところ、あなたの閲覧履歴は巨大企業の利益に貢献しているのです。だからこそ、常にサードパーティのDNSプロバイダを利用すべきなのです。

2. 政府が監視している

ISPと同様に、当局もDNSログを利用して、あなたがどのサイトを訪問したかを確認できます。

もしあなたが、政治的な反対派、LGBTQ活動家、新興宗教などに対して寛容ではない対応を取る国に住んでいるなら、その種のサイトを訪問しただけでトラブルに巻き込まれる可能性があります。

悲しいことに、DNSルックアップ履歴は、あなたの個人的な信条を、結果的にあなたを弾圧しうる存在に暴露してしまうのです。

3. 盗聴と改ざん

DNSには「ラストマイル」と呼ばれる区間の暗号化が欠けているため、そこにもリスクが潜んでいます。順を追って説明しましょう。

DNSには2つの側面があります。権威DNSサーバー（コンテンツ側）と、再帰 resolver（ISP側）です。大まかに言えば、DNSリゾルバが質問を行い（例：「このサイトはどこにある？」）、権威DNSネームサーバーが回答を提供するイメージです。

リゾルバと権威サーバーの間を移動するデータは、理論上はDNSSECによって保護されています。しかし、「ラストマイル」——あなたのマシン（スタブリゾルバと呼ばれます）から再帰リゾルバまでの区間——は安全ではありません。

残念ながら、このラストマイルは盗聴者や改ざん者にとって絶好の機会を提供してしまうのです。

4. 中間者攻撃（MITM攻撃）

ウェブを閲覧しているとき、あなたのコンピュータはネットワーク上のどこかにキャッシュされたDNSデータを頻繁に利用します。これによりページの読み込み時間を短縮できます。

しかし、そのキャッシュ自体が「キャッシュポイズニング（DNSキャッシュ汚染）」の被害に遭うことがあります。これは中間者攻撃の一種です。

簡単に言えば、攻撃者は脆弱性や不適切な設定を悪用して、偽のデータをキャッシュに注入できます。すると、次にあなたが「汚染された」サイトを訪れようとしたとき、犯罪者が管理するサーバーへ誘導されてしまうのです。

攻撃者はターゲットのサイトを精巧に複製することさえできます。リダイレクトされたことに気づかず、ユーザー名、パスワード、その他の機密情報を入力してしまうかもしれません。

多くのフィッシング詐欺は、まさにこの仕組みで実行されているのです。

Cloudflare DNSはどのように機能するのか

Cloudflareの新サービス「1.1.1.1」は、DNS技術に関わるこうしたプライバシー問題の多くを解消できます。

同社はサービス公開前にブラウザ開発者たちと長時間協議し、彼らの推奨事項に沿ってツールを開発しました。

1. Cloudflare DNSは安全か？

答えはイエスです。トラッキングなし、データ保存なし。Cloudflareは、DNSユーザーを追跡したり、閲覧習慣に基づく広告配信を行ったりしないことを明言しています。この声明への消費者の信頼を高めるため、同社はIPアドレスのクエリをディスクに保存しないこと、さらに24時間以内にすべてのDNSログを削除することを誓約しています。

実際的に言えば、あなたのDNS履歴はISPや政府の手に渡ることがなくなります。Cloudflare側にも記録が残らないため、第三者がアクセスを要求できるログ自体が存在しないのです。

2. 最新鋭のテクノロジー

URLを入力してEnterキーを押すと、ほぼすべてのDNSリゾルバは、ドメイン名全体（「www」「makeuseof」「com」）をルートサーバーや.comサーバー、さらに中継サービスへ送信します。

しかし、これらの情報はすべて必要というわけではありません。ルートサーバーはリゾルバを.comへ誘導するだけでよく、それ以降の検索クエリはその時点で開始すればよいのです。

この問題に対処するため、Cloudflareはスタブリゾルバと再帰リゾルバを接続する際に、合意済みおよび提案段階のさまざまなDNSプライバシー保護メカニズムを実装しました。その結果、1.1.1.1は必要最小限の情報のみを送信します。

3. 盗聴対策

「Cloudflare DNSは安全なのか？」と疑問に思うなら、答えは間違いなくイエスです。1.1.1.1サービスには、ラストマイルにおける盗聴を防ぐ機能——DNS over TLS——が備わっています。

DNS over TLSはラストマイルを暗号化します。仕組みとしては、スタブリゾルバがポート853でCloudflareとのTCP接続を確立します。スタブがTCPハンドシェイクを開始し、CloudflareがTLS証明書を提供する流れです。

接続が確立されると同時に、スタブリゾルバと再帰リゾルバ間のすべての通信が暗号化されます。その結果、盗聴も改ざんも不可能になるのです。

4. 中間者攻撃への対抗

Cloudflareの統計によると、再帰リゾルバと権威サーバー間の接続をDNSSECで保護しているドメインは10％未満にとどまります。

DNS over HTTPSは、DNSSECを使用していないHTTPSドメインのセキュリティ確保を目指す新興技術です。

暗号化されていなければ、攻撃者はあなたのデータパケットを傍受して、どのサイトを訪問しているかを知ることができます。暗号化の欠如は、前述のような中間者攻撃への脆弱性をもたらします。

Cloudflare DNSの使い方

1.1.1.1サービスの利用は簡単です。ここではWindowsとMacそれぞれの手順を説明します。

WindowsでCloudflare DNSを使う方法

WindowsでDNSプロバイダを変更するには、以下の手順に従ってください。

1. スタートメニューから設定アプリを開きます。
2. ネットワークとインターネット > 状態 > ネットワーク設定の変更 > アダプターのオプションを変更するへ移動します。
3. 使用中の接続を右クリックし、プロパティを選択します。
4. 下にスクロールし、インターネット プロトコル バージョン 4 (TCP/IPv4)を選択してプロパティをクリックします。
5. 次のDNSサーバーのアドレスを使うを選択します。
6. 1行目に1.1.1.1、2行目に1.0.0.1を入力します。
7. OKをクリックします。

場合によっては、PCの再起動が必要になることがあります。

MacでCloudflare DNSを使う方法

Macをお使いの場合は、以下の手順でDNSを変更してください。

1. Appleメニュー > システム環境設定 > ネットワークを開きます。
2. ウィンドウ左側のパネルで使用中の接続を選択します。
3. 詳細をクリックします。
4. DNSタブを選択し、+ボタンをクリックします。
5. 入力欄に1.1.1.1と1.0.0.1を追加します。
6. OKをクリックします。

スマートフォンでCloudflare DNSを使う方法

AndroidやiOSでCloudflareを利用するには、各アプリストアから無料アプリをダウンロードできます。このアプリはCloudflareの比較的新しいプロジェクトで、2018年11月に公開されたばかりです。

アプリ名は「1.1.1.1」。同社のDNSサーバーを簡単なオン/オフトグルで切り替えられます。もちろん、スマートフォンの標準機能でDNSを設定することも可能ですが、設定項目が見つけにくかったり、一部のメーカーではアクセスが制限されていたりします。アプリの方がはるかに初心者向けといえるでしょう。

忘れてはならないのはVPNの併用

優れたDNS以上に重要なのは、オンラインプライバシーを守る戦いにおいて、常に強力なVPNを使用することです。

評判の良いVPNプロバイダであれば、独自のDNSアドレスも提供しています。ただし、場合によっては上記で紹介した方法で手動によるDNS更新が必要になります。これを怠ると、DNSリークが発生してしまうのです。

また、VPNプロバイダが独自のDNSアドレスを提供していても、代わりにCloudflareのアドレスを使うことは可能です。むしろ推奨されます。VPNのDNSが、新しい1.1.1.1サービスほど高度で堅牢である可能性は低いからです。

堅実で信頼できるVPNプロバイダをお探しなら、ExpressVPN、CyberGhost、Private Internet Accessをおすすめします。

さらに詳しく知りたい方は、DNSサーバーの基礎知識やDNSキャッシュポイズニングの仕組みに関するガイドもぜひチェックしてみてください。