HTTPSなのに閲覧先がバレる？「平文SNI」の脆弱性を塞ぐEncrypted Client Helloの衝撃

📖 推定読了時間：約6分

現代のインターネットにおいて、Webサイトの通信は「HTTPS（TLS暗号化）」が当たり前になりました。ブラウザのURLバーに鍵マークが付いていれば、「送信したパスワードやクレジットカード情報、閲覧しているページ内容はすべて暗号化されているから絶対に安全」と安心している方がほとんどでしょう。

しかし、実は従来のHTTPS通信には、一般にはあまり知られていない「致命的なプライバシーの抜け穴」が存在していました。

それは、通信を開始する直前の「DNS名前解決」と、TLSハンドシェイクの最初のパケットに含まれる「SNI（Server Name Indication：接続先ドメイン名）」が完全に平文（暗号化されていない状態）で流れていたという事実です。これにより、Wi-Fiの管理者やプロバイダ（ISP）、悪意のある通信盗聴者は、「あなたがいつ、どのWebサイト（ドメイン）を訪れたか」を手に取るように監視できていました。

この長年の監視リスクに終止符を打つ技術として、急速に普及が進んでいるのが「DNS-over-HTTPS（DoH）」と「Encrypted Client Hello（ECH）」です。本記事では、平文通信がもたらすプライバシーの危険性から、ECHの二重暗号化メカニズム、そして個人ができる防衛設定までを詳しく解説します。

なぜHTTPSなのに閲覧履歴がバレてしまうのか？

ブラウザでWebサイトを開く際、裏側では2段階の事前準備が行われています。

第1段階は「DNS名前解決」です。example.comというドメインをIPアドレスへと変換しますが、従来のDNSクエリ（ポート53）は暗号化されていないため、同一ネットワーク内の第三者やISPがすべての検索履歴を容易にロギングできました。

第2段階は「TLSハンドシェイク（暗号化通信の確立）」です。1台のWebサーバーで複数のWebサイトをホストする現代のクラウド環境では、サーバー側が「どのSSL証明書を返せばよいか」を判断するために、クライアント側が最初の挨拶パケット（ClientHello）にドメイン名を記載する必要がありました。これが「SNI（Server Name Indication）」です。このSNIが平文であったため、通信の中身は見えなくても「誰がどのサイトを見ているか」は筒抜けだったのです。

家庭内のネットワーク環境をセキュアに保つには、最新のWPA3暗号化や高速な通信基盤を備えた高速Wi-Fi 7対応メッシュWi-Fiルーターを設置することが物理的な第一歩となりますが、プロトコルレベルの暗号化を理解しておくことも同様に不可欠です。

DNS-over-HTTPS（DoH）：名前解決を暗号化のベールに包む

まず第1の穴を塞いだのがDNS-over-HTTPS（DoH）です。従来の専用ポート（53番）ではなく、通常のWeb閲覧と同じHTTPS（443番ポート）を利用してDNS問い合わせを行うことで、中継するルーターやISPから見ると「通常のWebトラフィック」と区別がつかなくなり、DNSクエリの盗聴や改ざん（DNSスプーフィング）が不可能になりました。

Encrypted Client Hello（ECH）の驚異的なメカニズム

IETFで標準化が進められ、Cloudflareや主要ブラウザが相次いで対応したECH（Encrypted Client Hello）は、ClientHelloパケットそのものを二重構造にする画期的な暗号化技術です。

ECHでは、事前にDoH経由で取得したサーバーの公開鍵を使って、本当のドメイン名を含む「Inner ClientHello」を強固に暗号化します。外側にはダミーの共通ホスト名を記載した「Outer ClientHello」を被せるため、経路上の盗聴者は「Cloudflareなどの大手CDNにアクセスしている」ことしか分からず、その先の個別サイトを特定することは不可能になります。

現代のネットワーク暗号化技術や認証セキュリティを網羅的に学習したい方には、セキュリティ実践入門などの専門書籍が役立ちます。また、アカウント乗っ取りを根本から防ぐフィジカルセキュリティとして、FIDO2対応ハードウェアセキュリティキー（YubiKey等）と併用することで、通信経路と認証基盤の双方が鉄壁の守りとなります。

• ✅ブラウザ側の設定：ChromeやFirefox、Edgeの設定から「セキュアDNS（DoH）」を有効化するだけでECHも自動適用
• ⚠️企業内ネットワークでの注意：社内プロキシやURLフィルタリング機器がECH通信をブロック・警告するケースがある
• 👍サーバー側の普及：CloudflareやFastly等の大手CDNを利用しているサイトではECHが自動で有効化中

注意すべき点として、ECHが有効であっても接続先の「IPアドレス」自体は隠せないことが挙げられます。接続先サーバーが特定の個人サイト専用IPである場合はIPから推測される可能性があるため、完全な匿名性を求める場合はVPNやTorとの併用が必要となります。

まとめ：真の暗号化インターネット時代へ

DNS-over-HTTPSとEncrypted Client Helloの組み合わせによって、インターネット黎明期から放置されてきた「接続先ドメインの平文漏洩」という巨大な穴が遂に完全に塞がれようとしています。

利用者のプライバシーを保護し、不当な検閲やデータ追跡を跳ね返すための強力な防壁として、これらの暗号化標準は今後あらゆるWebサービスの標準装備となっていくでしょう。ぜひブラウザのセキュリティ設定を確認し、安全なネット環境を手に入れてください。