DNS over TLSとは？

DNS over TLS（DoT）は、従来の平文DNSクエリをTLS（Transport Layer Security）で暗号化するプロトコルで、RFC 7858として標準化されています。ポート番号853を使用します。

通常のDNS通信はUDP/TCPポート53を使った平文で行われるため、ISPや悪意ある第三者が利用者のアクセス先ドメインを簡単に傍受・記録できます。DNS over TLSはこの問題を解消するために設計されました。

仕組みの流れは以下の通りです。

• クライアント（OS・ブラウザ・専用アプリ）がDNSリゾルバーとTLSハンドシェイクを行い、セキュアなチャネルを確立する。
• DNSクエリ・レスポンスをそのTLS接続上で送受信するため、中間者には内容が見えない。
• サーバー証明書の検証により、正規のリゾルバーと通信していることも確認できる。

よく似たプロトコルにDNS over HTTPS（DoH）があります。DoHはHTTPSのポート443を使うためファイアウォールで遮断しにくい反面、HTTP層のオーバーヘッドが生じます。DoTはDNS専用ポートを使うため企業ネットワーク管理者が制御しやすい特徴があります。Android 9以降ではDoTが標準でサポートされており、家庭用ルーターやパブリックDNSサービス（Cloudflareの1.1.1.1など）でも広く利用されています。