こんにちは！ネットワークの世界へようこそ。インフラエンジニアの私と一緒に、日頃何気なく使っているインターネットの裏側を覗いてみませんか？
私たちが普段見ているウェブサイトは、ブラウザとサーバーの間で「HTTP」という共通言語を使ってデータをやり取りしています。昔から使われてきた「HTTP/1.1」や、一世代前の「HTTP/2」は、いわば「TCP」という高速道路の上を走るトラックのようなものでした。
しかし、現代のインターネットはさらに進化しています。それが、次世代の通信プロトコル「HTTP/3」、そしてその土台を支える「QUIC（クイック）」です！
「UDPをベースにしていて速いらしい」「パケットロスに強いらしい」という噂は聞いたことがあるかもしれませんが、実際に中身はどうなっているのでしょうか？今回は、ネットワークエンジニアの必須ツール「Wireshark」を使って、暗号化されたQUICのパケットを丸裸にし、その中身を覗き見る方法を優しく紐解いていきましょう。
難しい用語が出てきても大丈夫。一歩ずつ、身近な例えを交えながら解説していきますね！
—
1. なぜQUICの解析は「難しい」のか？
まず、私たちが直面する最初の壁についてお話しさせてください。
従来のTCP通信なら、Wiresharkを起動してパケットキャプチャを始めれば、HTTPの中身（「GET /index.html」のような文字列）がすんなり見えたりしましたよね（HTTPSであっても鍵があれば見られます）。
しかし、QUICは最初から最後まで完全に暗号化されています。
さらに、現代のセキュリティの要であるTLS 1.3がプロトコルの中にガッチリと組み込まれているため、Wiresharkでキャプチャボタンを押しただけでは、中身はただの「意味不明な暗号の羅列（ゴミデータ）」にしか見えません。
郵便配達の例えで考えてみましょう
想像してみてください。
QUICのパケットは、頑丈な鍵付きのジュラルミンケースに入れて運ばれているようなものです。
- 外側の宛名（IPアドレスやUDPのポート番号）: 誰から誰へ送るものかは外から見えます。
- 中身（HTTPのリクエストやレスポンス）: 鍵が掛かっているので、配達員（Wireshark）には開けられません。
「じゃあ、中身を見るのは無理なの？」いいえ、そんなことはありません！
このジュラルミンケースの「合鍵（復号キー）」をブラウザからこっそりWiresharkに教えてあげれば、中身をパカッと開けて読めるようになるのです。その魔法のような手順をこれから見ていきましょう。
—
2. 準備編：ブラウザから「合鍵」を取り出そう
QUIC（正確にはTLS 1.3）の暗号を解くためには、通信の最中に生成される「セッションキー」が必要です。ありがたいことに、Google Chromeなどのモダンブラウザには、「通信に使った鍵をテキストファイルに書き出す機能」が備わっています。
まずは、この合鍵ファイルを作成する準備をしましょう。
手順1: 環境変数の設定
お使いのOS（Windowsならシステム環境変数、Mac/Linuxなら`.bashrc`や`.zshrc`など）に、以下の環境変数を設定します。
WindowsのコマンドプロンプトやPowerShellの例
set SSLKEYLOGFILE=C:\path\to\your\wireshark_keys.txt
Mac / Linux (Terminal) の例
export SSLKEYLOGFILE=”$HOME/Desktop/wireshark_keys.txt”
この設定をしておくと、ブラウザが通信を行うたびに、こっそりそのセッション専用の「合鍵」を指定したテキストファイル（例: `wireshark_keys.txt`）に書き出してくれるようになります。
手順2: ブラウザを起動してアクセス
環境変数を設定した状態で、ブラウザ（ChromeやFirefox）を一度完全に終了させてから再起動します。そして、HTTP/3（QUIC）に対応しているお好みのウェブサイトにアクセスしてみましょう。
デスクトップなど指定した場所に `wireshark_keys.txt` というファイルが生成され、中身に以下のような文字列がズラリと並んでいれば準備完了です！
ブラウザが出力した合鍵ファイルのイメージ（SSLKEYLOGFILE）
CLIENT_RANDOM 5d4a… [長い16進数の文字列] …a1f2
SERVER_HANDSHAKE_TRAFFIC_SECRET 5d4a… [長い16進数の文字列] …b3c4
CLIENT_HANDSHAKE_TRAFFIC_SECRET 5d4a… [長い16進数の文字列] …d5e6
※この文字列が、まさに暗号の箱を開ける「合鍵」そのものになります。
—
3. 実践編：WiresharkでQUICパケットを復号する
さあ、いよいよ本番です。Wiresharkを起動して、パケットのキャプチャを始めましょう。
手順1: Wiresharkに合鍵ファイルを教える
Wiresharkを起動したら、メニューバーから設定を行います。
1. メニューの [編集 (Edit)] ＞ [設定 (Preferences)] を開きます。
2. 左側のツリーから [Protocols] ＞ [TLS] を選択します。
3. 「(Pre)-Master-Secret log filename」 という項目があるので、先ほどブラウザが出力したファイル（`wireshark_keys.txt`）のパスを指定します。
4. 「OK」を押して設定を保存します。
たったこれだけです！この瞬間から、Wiresharkはキャプチャしたパケットの中に合鍵に一致するものがないか探し、見つかれば自動的に復号してくれるようになります。
手順2: フィルタを使ってQUICパケットを探す
大量のパケットの中からQUICを見つけるために、Wiresharkの上部にあるフィルターバーに魔法の呪文を入力しましょう。
UDPでかつ、QUICプロトコルであるもの、または特定のポートに絞り込む場合
quic
画面に表示されたパケットの中に、見覚えのある通信が現れましたか？
プロトコル欄に `QUIC` と表示されているはずです。それでは、いよいよその中身を覗いてみましょう！
—
4. 解析編：ストリームとフレームの世界を覗く
パケットをクリックして、下部の詳細ウィンドウ（パケット詳細ペイン）を見てみましょう。ここからがネットワークエンジニアとしての腕の見せ所です。
QUICの構造を「郵便システム」に例えてみる
従来のTCPは「1つの大きなトラックに荷物を積み込んで、渋滞（パケットロス）に巻き込まれると後ろの荷物も全部ストップする」という構造でした。
一方、QUICは全く違います。
- QUICコネクション: ブラウザとサーバーを結ぶ「大通り（道路網）」のようなものです。
- QUICストリーム: その大通りの中を走る、独立した「複数の専用レーン（または個別の郵便配達員）」です。
例えば、1つのウェブページを表示するために、HTML、画像A、画像B、スタイルシートという4つのファイルが必要だとします。QUICでは、これらが別々のストリーム（レーン）に割り振られて同時に流れます。
もし画像Aのデータが途中で消えてしまっても（パケットロス）、画像BやHTMLのストリームは全く影響を受けずにスイスイと先に目的地へ届きます。これがQUICの爆速の秘密です！
Wiresharkで見える化されたフレームたち
Wiresharkでパケットを展開していくと、以下のような「フレーム」と呼ばれる細かい荷物の単位を確認できます。
- Initial / Handshake パケット: 通信の最初に「お互い握手しましょう（鍵の交換）」を行うためのパケットです。
- Crypto フレーム: 暗号化通信を確立するためのデータが詰まっています。
- Stream フレーム: これが本命です！先ほど私たちがブラウザでアクセスした実際のデータ（HTTP/3のヘッダーやボディ）がこの中に流れています。
Wiresharkの画面下部で `Stream ID` や `Offset` といった項目を確認してみてください。「あ、今このストリーム番号0番でHTMLのテキストが流れているんだな」「あっちのストリーム番号2番では画像データが流れているな」というのが、手に取るように分かります。
暗号化が正しく解除されていれば、パケット詳細の下の方に `HTTP/3` や `QPACK`（HTTP/3のヘッダー圧縮技術）といった文字が現れ、リクエストされたパス（例: `/index.html`）などが綺麗に読めるようになっているはずです。感動の瞬間ですね！
—
ジルバッと響くような高速な通信も、こうしてWiresharkでパケットを分解して一つひとつ眺めてみると、「今、サーバーとブラウザの間でこんな会話をしているんだな」というリアリティがグッと湧いてきますよね。
最初は難しく見える暗号化されたQUIC通信も、「ブラウザから合鍵（SSLKEYLOGFILE）をもらってWiresharkに渡す」という一手間さえ知っていれば、誰でも中身を解き明かすことができます。
ぜひご自身の環境でも試して、次世代プロトコルの鼓動を肌で感じてみてください。
それでは、また次回の技術探訪でお会いしましょう！ネットワークエンジニアの旅はまだまだ続きます！
コメント