A consideration of DoH-exclusive DNS architecture

DNSの通信では暗号化を伴わないUDPが主に用いられており、DNSキャッシュポイズニングによる改ざんや盗聴によるプライバシー漏洩の脅威が問題となっている。これらの脅威を緩和するために、DNSトラフィックの暗号化が有効である。現在、IETFによって、クライアントとDNSフルサービスリゾルバ間で暗号化通信を行うために、DNS over HTTPS (DoH)の標準化が行われ、いくつかのPublic DNSやISPなどでDoHサービスの提供が始まっている。しかし、DNSフルサービスリゾルバと権威ネームサーバ間は現在もUDPで通信されており、DNSキャッシュポイズニングとプライバシーの保護への対策が十分とは言えない。本研究では、DNSの通信経路を全てDoHで暗号化を行う「完全DoH化DNSアーキテクチャ」の手法を提案する。この手法より、クライアントからDNSフルサービスリゾルバ、そしてDNSフルサービスリゾルバから権威ネームサーバ、どちらの区間もDoHによるDNSキャッシュポイズニング防止とプライバシー保護が可能となる。Conventional DNS communication uses non-encrypted UDP protocol so that DNS cache poisoning attacks and privacy leakage have become critical cyber threats nowadays. To protect private information from falsification and eavesdropping during DNS communication, the IETF has standardized DNS over HTTPS (DoH) protocol and some service providers have started DoH based domain name resolution service. However, the current DoH protocol only supports the DNS communication between client and DNS full-service resolver due to the conventional DNS architecture. Thus, the DNS communication between full-service resolver and DNS authoritative server is still unencrypted, and accordingly the risks of DNS cache poisoning attack and privacy leakage still exist. In this research, we propose a novel DNS authoritative server architecture using DoH(DoH-exclusive DNS architecture), which enhances DoH communication to between DNS full-service resolver and DNS authoritative server. Consequently, we expect to mitigate the risks of DNS cache poisoning attacks and privacy leakage during the whole name resolution process