DNS over HTTPS(DoH)

DNS のクエリと応答を暗号化された HTTPS 接続で運ぶプロトコルで、ローカルネットワーク上での盗聴や改ざんから保護する。

DoH(RFC 8484)は標準的な DNS クエリを HTTPS リクエストにラップし、通常はポート 443 を介して対応リゾルバに送信します。トラフィックは一般的な Web 通信に見えるため選択的なブロックが難しく、クライアントとリゾルバ間でエンドツーエンドに暗号化されます。これにより、経路上の攻撃者・キャプティブポータル・ISP が DNS 解決を観察したり書き換えたりすることを防げます。DoH 自体はデータの真正性を検証しません(それは DNSSEC の役割です)が、クエリの機密性は保たれます。企業ではローカル DNS フィルタが回避されるため反対されることもあり、対策として管理リゾルバの強制、既知の公開 DoH エンドポイントの遮断、DDR を用いたセキュア DNS ポリシー配布などが用いられます。