デバイスが暗号化 DNS を自動発見する仕組み―DDR の実装と限界

要約

DDR (Discovery of Designated Resolvers) は、デバイスが既に使用している DNS リゾルバーに対して、暗号化 DNS エンドポイントの詳細 (ホスト名・ポート・プロトコル) を問い合わせ、自動で発見する仕組みである。デバイスが _dns.resolver.arpa への問い合わせを送ると、リゾルバーは DoH / DoT / DoQ などの暗号化エンドポイントを優先度付きで応答し、デバイスはそれに従い接続を暗号化に切り替える。Windows 11 と Apple デバイスはネットワーク参加時に自動で問い合わせを送信する。一方、平文 DNS からの升格は中間者による改ざんを検知できないため、デバイスはこの経路を「試行可能」とみなし、失敗時は平文に継続する。設定画面で直接指定するか、ルーターで一括設定する方が確実な暗号化を保証する。