DNSリーク

DNS問い合わせが意図しない経路へ流れると、閲覧先の手がかりが漏れる場合があります。

DNSリークとは何か

VPNやTorを使っていても、DNSの扱いを見落とすと、接続しようとしたドメイン名の手がかりが別の経路へ出ることがあります。

これをDNSリークと呼びます。

DNSリークは、通信内容そのものが読まれる問題とは少し違います。 問題になるのは、「どのサイトを見ようとしたか」という接続先の手がかりです。

たとえば、VPNで通信経路を変えているつもりでも、DNS問い合わせだけが普段使っているISPのDNSリゾルバへ送られていれば、ISP側には問い合わせたドメイン名が見える場合があります。

この記事では、DNSリークで何が見えるのか、VPNやTorとどう関係するのか、確認するときに何を見るべきかを整理します。

DNSは接続先を調べる仕組み

DNSは、ドメイン名をIPアドレスに対応づける仕組みです。

ブラウザでWebサイトを開くとき、人間はドメイン名を使います。 しかし、実際にネットワーク上で通信するには、接続先のIPアドレスが必要です。

そのため、端末やブラウザはDNSリゾルバに問い合わせて、ドメイン名に対応するIPアドレスを調べます。

DNS問い合わせは、ページ本文やフォーム内容そのものではありません。 しかし、「どのドメイン名を調べたか」は、アクセス先を推測する強い手がかりになります。

DNSリークで何が問題になるのか

DNSリークで問題になるのは、通信経路を変えたつもりでも、DNS問い合わせだけが別の経路へ出ることです。

たとえばVPNを使う目的が、「ISPから接続先を直接見えにくくすること」だとします。 このときWeb通信はVPNサーバーへ向かっていても、DNS問い合わせだけがISP側へ出ていれば、ISPは問い合わせたドメイン名を見られる場合があります。

つまり、接続先のWebサイト本文はHTTPSで読まれにくくても、DNSの段階で「どのドメインを見ようとしたか」が残ることがあります。

DNSリークは、「VPNを使っているから接続先は見えない」と思い込むと見落とします。

匿名性では、Web通信の経路とDNS問い合わせの経路を分けて確認する必要があります。

VPN利用時に起きやすい

DNSリークは、VPN利用時に特に意識されます。

VPNは、端末からVPNサーバーまで通信路を作り、そのサーバーを経由して外部へ通信する仕組みです。 接続先Webサイトからは、利用者の自宅IPではなくVPNサーバーのIPアドレスに見えます。

しかし、DNS問い合わせの設定がVPNに合わせて変わっていない場合、DNSだけが普段のネットワークへ出ることがあります。

この状態では、接続先Webサイトから見えるIPはVPNサーバーでも、DNSリゾルバ側には問い合わせたドメイン名が残ります。

VPNを使うなら、IPアドレスだけでなくDNSも確認します。 「接続先から見えるIPが変わった」だけでは、DNSリークがないとは言えません。

Torとの関係

Tor Browserを使う場合、通常のWeb閲覧とは考え方が変わります。

Tor Browserは、通信をTorネットワーク経由で扱うように設計されています。 そのため、Tor Browser内でアクセスするWebサイトの名前解決は、通常のブラウザとは分けて考える必要があります。

ただし、Tor Browser以外のアプリや普段のブラウザが通常回線で通信していれば、それらのDNS問い合わせは別の問題として残ります。

つまり、Torを使っていても、端末全体のすべての通信が自動的にTor経由になるわけではありません。 匿名化したい通信がどのアプリから出ているのかを確認する必要があります。

DNSリークで見える情報と見えない情報

DNSリークを正しく理解するには、見えるものと見えないものを分けます。

DNSリークは、ページの中身を全部漏らす問題ではありません。 しかし、匿名性では「どのドメインへ行こうとしたか」だけでも重要な手がかりになります。

特に、時刻、IPアドレス、VPN接続ログ、投稿時間、アカウント行動と組み合わさると、相関の材料になります。

何を確認するか

DNSリークを確認するときは、VPN接続前と接続後で見える情報を比べます。

外部のDNSリーク確認サイトを使う場合は、表示されるDNSサーバーが普段のISP側なのか、VPN側なのか、ブラウザの独自DNSなのかを見ます。

ただし、テストサイトの結果だけで完全に安全とは判断しません。 テストの範囲、ブラウザ、OS設定、VPNアプリ、接続タイミングによって結果は変わります。

DNSLeakTestは、外部から見たDNSリゾルバの情報を確認できる検証サイトです。 VPN接続前後で表示結果を比べると、DNS問い合わせが意図した経路に出ているかを確認しやすくなります。

URL : https://www.dnsleaktest.com/

高リスクな匿名活動では、DNSリーク確認だけで安心しないでください。 Cookie、ログイン状態、ブラウザフィンガープリント、投稿内容、ファイルメタデータも別に確認します。

まとめ

DNSリークとは、通信経路を変えているつもりでも、DNS問い合わせが意図しない経路へ出ることです。

DNSはページ本文を扱う仕組みではありません。 しかし、問い合わせたドメイン名は、どのサイトへ接続しようとしたかの手がかりになります。

VPNを使っていても、DNSだけがISP側へ出ていれば、接続先の推測材料が残ります。 Tor Browserを使う場合も、Tor Browser外のアプリや通常ブラウザの通信は別に考える必要があります。

匿名性では、IPアドレスだけでなく、DNS、Cookie、ログイン状態、ブラウザ、投稿内容を合わせて確認します。 DNSリーク対策は重要ですが、それだけで匿名性が完成するわけではありません。

関連ツール

関連記事