DNS over HTTPS（DoH）

DNS問い合わせをHTTPS上で暗号化して行うプロトコル。従来の平文DNSと異なり、ISPや中間者によるDNSクエリの盗聴・改ざんを防止する。Webブラウザに実装されており、TCPポート443を使用するためファイアウォールでのブロックが困難。

公衆回線上に暗号化されたトンネルを構築し、あたかも専用線のように安全に通信する技術。IPsec-VPNとSSL-VPNが代表的。リモートアクセスや拠点間接続に利用され、通信の機密性・完全性を確保する。

実在しないランダムなサブドメイン名の問合せを大量に発生させ、キャッシュに載らない問合せを権威DNSサーバへ集中させて機能停止に追い込む攻撃。ランダムサブドメイン攻撃とも呼ばれ、キャッシュDNSサーバも巻き込まれる。

外部の不特定多数からの再帰的な名前解決要求を受け付けてしまうDNSサーバ。DNSリフレクション攻撃やDNSキャッシュポイズニングの踏み台にされるため、問合せ元を自組織内に限定する設定が必要となる。

通信の折衝過程に介入し、古く脆弱なプロトコルバージョンや暗号スイートを使わせるように誘導する攻撃。ダウングレード攻撃とも呼ばれる。旧バージョンの無効化やTLSのダウングレード検知機構で対策する。

平文で始めた通信を、コマンドを契機に同一ポートのままTLSへ切り替える方式。SMTPやIMAP、LDAPで用いられる。最初の折衝が平文のため、中間者に切替えを阻止されるダウングレード攻撃に注意が必要。

HTTP通信をTLSで暗号化するプロトコル。通信の盗聴・改ざんを防ぎ、サーバ証明書によって接続先の正当性も確認できる。既定ポートは443で、HSTSと組み合わせて常時HTTPS化する運用が一般的。