通信傍受を完全遮断！暗号化DNS（DoH）と「ECH」で守るWebプライバシーの全貌-「色即是空」な「空即是色」blog

📖 推定読了時間：約6分

URLの先頭が「https://」で始まり、ブラウザのアドレスバーに鍵マークが表示されていれば、あなたの通信内容は完全に暗号化されていて誰にも見られていない……。そう信じて安心しきっていませんか？

実はこれ、半分正解で半分間違いです。通信の「中身（パスや入力内容）」はTLSで暗号化されていますが、あなたが「どこのドメイン（Webサイト）にアクセスしているか」という宛先情報は、プロバイダ（ISP）や公衆Wi-Fiの管理者、さらには経路上の監視装置に丸見えのままだったのです。

この長年のプライバシーの抜け穴を完全に塞ぎ、Webの完全秘匿通信を実現する最後のピースが、「暗号化DNS（DoH / DoT）」と新標準「ECH（Encrypted Client Hello）」の組み合わせです。

この記事のポイント

なぜHTTPS通信なのに「接続先ドメイン」が漏れるのか？

Webサイトに接続する際、ブラウザは2つの段階で平文のドメイン名を外部に晒していました。

⚠️漏洩ルート①：従来のDNSクエリ（53番ポート）：`example.com` のIPアドレスを問い合わせるパケットは完全に平文。プロバイダは利用者の閲覧履歴を丸ごとログに記録・分析可能でした。
⚠️漏洩ルート②：TLSハンドシェイクの「SNI」：1台のサーバーで複数のWebサイトをホストする際、どの証明書を要求しているかを伝えるSNI（Server Name Indication）ヘッダーが平文で送信されていました。

暗号プロトコルの歴史的経緯やパケットレベルの挙動を深く理解したいなら、暗号技術入門TLS 1.3 / ECH徹底解説書が世界最高峰の詳しさで解説してくれています。また、ネットワーク全体の脅威モデルについてはセキュリティ実践入門が良質な指針となります。

漏洩ルート①を塞ぐのが「DoH（DNS over HTTPS）」です。DNSの問い合わせを通常のHTTPSトラフィックに偽装して暗号化し、DNSリゾルバとの間の盗聴を遮断します。

そして、漏洩ルート②のSNI平文問題を根絶するのが「ECH（Encrypted Client Hello）」です。

💡 ECHの巧妙なトリック：Webサイトにアクセスする前に、DoH経由でそのサイトの公開鍵を取得。その鍵を使って本物のドメイン名（Inner ClientHello）を暗号化し、外側にはCDNなどの共通ダミードメイン（Outer ClientHello）を被せて送信します。

最新のChrome、Firefox、Edgeでは、ECHとDoHのサポートが急速に標準有効化されつつあります。

確実にECHを機能させるには、ブラウザの「プライバシーとセキュリティ」設定から「セキュアDNS（DoH）」を有効にし、Cloudflare（`1.1.1.1`）やGoogle（`8.8.8.8`）、Quad9などのECHレコード配信に対応したDNSプロバイダを選択します。

また、家庭内ネットワーク全体の通信を安全に保護したい場合は、ルーター側でセキュアDNS対応やDNSフィルタリングを行えるペアレンタルコントロール対応Wi-Fiルーターを導入することで、家族の端末すべてを一括でプライバシー保護下に置くことができます。

設定が完了したら、Cloudflareの公式セキュリティ検証ページ（`https://one.dash.cloudflare.com/help` 等）にアクセスし、「Encrypted SNI / ECH」が緑色の「Supported」と判定されるかテストしてみましょう。

DoHとECHの登場により、Webの暗号化は「コンテンツの保護」から「利用者の行動プライバシーの完全防衛」という新次元に突入しました。フリーWi-Fiやプロバイダの追跡を遮断し、真のプライベートブラウジングを手に入れるために、ぜひ今すぐ設定を確認してみてください！