なぜホームサーバーのDNSから家庭内の機密性の高い活動が分かるのか？

ホームサーバーのDNSは、ドメイン名、デバイスの識別情報、クエリのタイミングによって、どのサービスがいつ利用されているかが分かるため、家庭内の機密性の高い活動を明らかにする可能性があります。

ローカルリゾルバーは、速度、フィルタリング、スプリットホライズンDNS、トラブルシューティングを改善できますが、一方で、外部サービスに接続するスマートフォン、ノートパソコン、テレビ、カメラ、音声アシスタント、スマート家電、コンテナ、NASアプリケーションの記録が集中する場所にもなります。HTTPSによってページの内容は隠せても、DNSによって多くの接続先が特定される場合があり、繰り返されるクエリパターンからデバイスの種類や日々の生活パターンが推測されることもあります。以下では、コンテンツのプライバシーとメタデータのプライバシーを区別し、どの観測者がDNSアクティビティを家庭と結び付けられるのかを説明します。

暗号化されたセッションが始まる前に、DNS名から接続先が分かる

ほとんどのアプリケーションは、その後の接続を開始する前に、ホスト名をアドレスへ変換する必要があります。この名前解決によって、Web、メディア、APIのペイロードが暗号化されていても、サービスの種類が明らかになる可能性があります。

DNSプライバシーに関する研究では、再帰リゾルバーがクライアントのアクティビティについて、閲覧先や家庭内で稼働しているデバイスの種類など、重要な情報を学習できることが指摘されています。アプリケーションセッションの暗号化によって、その前段階にある名前解決におけるリゾルバーの役割がなくなるわけではありません。

ドメインから、正確なファイル、メッセージ、カメラ映像まで常に分かるとは限りません。それでも、ベンダー、クラウドプラットフォーム、アップデートサービス、ストリーミングプロバイダー、ヘルスケアサービス、リモートアクセスのエンドポイントなどを特定できる場合があります。

IoTのクエリパターンから、デバイスとクラウド依存先が特定される可能性がある

スマートデバイスは、テレメトリ、制御、時刻同期、アップデート、メディア、広告、認証のために、少数の判別しやすいベンダードメインへ接続することがよくあります。これらの組み合わせは、デバイスフィンガープリントのように機能する可能性があります。

IoTのDNSトラフィックに関する研究では、家庭内のデバイスがどのようにクエリを生成するか、また、外部に露出するDNSトラフィックを減らすことでプライバシーをどのように改善できるかが調査されています。アプリケーションのトラフィックが暗号化されたデバイスでも、多くの外部サービスについて名前解決が必要です。

したがって、リゾルバーは、その後のペイロードを復号しなくても、特定のカメラ、テレビ、スピーカー、スマートプラグ、家電製品がアクティブであると推測できます。

サードパーティの分析・広告ドメインから、製品のインターフェースだけでは明らかでない関係性が分かる場合もあります。

タイミングと通信量から、家庭内の生活パターンが明らかになる可能性がある

単一のドメイン検索から得られる状況情報は限られていますが、繰り返されるタイムスタンプから、デバイスが起動した時刻、ストリーミングを開始した時刻、コマンドを確認した時刻、データをアップロードした時刻、または誰かが帰宅した後に再接続した時刻などが分かります。

大規模なスマートホーム測定では、トラフィックパターンがデバイスの機能や日々の人間の活動を反映することが示されています。DNSログは、そのタイミングに読み取り可能なサービス名を加えるため、生の暗号化パケットだけの場合よりも生活パターンを推測しやすくなります。

リゾルバーの履歴から、テレビがストリーミングを開始した時刻、音声アシスタントが音声サービスへ接続した時刻、カメラが映像をアップロードした時刻、リモートアクセスクライアントがNASへ再接続した時刻などが分かる可能性があります。

これらは確定的な事実ではなく推測ですが、長期間にわたって観測すると、繰り返される家庭内のパターンがより見分けやすくなります。

Featured

ZimaCube 2 パーソナルクラウドホームNAS

ZimaCube2

$799.00 - $2,499.00

Buy Now

ローカルリゾルバーによって、家族のデバイス全体にわたる可視性が集中する

ホームサーバー上でDNSを運用すると、多くのクエリがISPやパブリックリゾルバーから、家庭が管理するシステムへ移ります。これは管理性を高められる一方で、複数の人やデバイスを1つのタイムラインに関連付けるログが集中することにもなります。

IoT Inspectorプロジェクトでは、DNSメタデータを利用して、リモートホスト名の特定やデバイスの動作分析を行いました。トラブルシューティングに役立つ同じ可視性も、ダッシュボード、エクスポート、バックアップに保存され続ければ、機密性の高い履歴になる可能性があります。

リゾルバーの管理機能へのアクセスを制限し、ログの保存期間を定め、集計統計と詳細なクライアント履歴を分離し、エクスポートしたログを家庭内データとして保護してください。

暗号化DNSは観測者を変えるが、すべての信頼境界をなくすわけではない

DNS over HTTPSやDNS over TLSは、クライアントと選択したリゾルバーの間の経路を暗号化します。ローカルの盗聴者やISPからは、読み取り可能なDNSトラフィックが見えにくくなりますが、リゾルバーは応答に必要な名前を引き続き受け取ります。

したがって、暗号化DNSは、接続先のメタデータを消すのではなく、リゾルバーへの信頼先を移すものです。デバイスごとの暗号化DNSによって、家庭のフィルタリングリゾルバーが迂回されることもあります。一方、ルーターレベルの転送では、クライアントからルーターへのクエリがローカルに引き続き露出する可能性があります。

Oblivious DNSやリレー方式の設計では、クライアントの識別情報と名前を確認するリゾルバーを分離しようとしますが、利用可能性やクライアントの対応状況はさまざまです。家庭内では、各デバイスが実際にどのリゾルバーを使用しているのかを把握しておく必要があります。

ローカルでの信頼性を失わずにDNSの露出を減らす

まず、クライアント、ローカルゾーン、上流リゾルバー、暗号化DNSの上書き設定、VPNの動作、クエリログの保存期間を一覧化してください。DHCP設定ですべてのアプリの動作を制御できると決めつけず、家庭内のデバイスが意図したリゾルバーを使用しているかを確認しましょう。

DNSキャッシュに関する研究では、不要な外部クエリを減らすことで、露出するデバイス情報を削減できることが示されています。ローカルの権威レコードとキャッシュは信頼性を高められますが、クライアントごとの詳細なログは、その診断上の価値がプライバシー上のコストを正当化する場合にのみ保存すべきです。

ZimaSpaceのホスト名解決ガイドでは、ルーターDNS、mDNS、サフィックス、キャッシュ、VPN、代替リゾルバーを区別しています。このリゾルバーパスは、家庭内の各クエリを誰が観測できるのかを理解するための地図でもあります。

運用に必要な解決情報だけを保存し、生ログへのアクセスを制限し、プライバシーをローカルユーザー、ISP、上流リゾルバー、接続先のサービスのいずれから守ることを意図しているのかを文書化してください。

FAQ

HTTPSはDNSクエリを隠しますか？

いいえ。HTTPSは、その後のアプリケーションセッションを暗号化します。クライアントも暗号化DNSを使用しない限り、DNSは別の名前解決経路を使用します。

DNSログから、ある人が何をしたかを正確に証明できますか？

通常はできません。ログから分かるのは検索された名前とタイミングであり、サービスやデバイスに関する推測には役立ちますが、正確なページ、ファイル、操作まで特定できるとは限りません。

ローカルDNSサーバーはパブリックDNSよりプライバシーに優れていますか？

家庭内のログと上流リゾルバーをより細かく管理できるようになりますが、プライバシーは、クライアントの動作、転送、保存期間、アクセス制御、選択した上流リゾルバーにも左右されます。