喫茶店のWi-Fiで「偽の住所」を教えられたら？DNSスプーフィングの恐怖とVPNという防波堤
こんにちは！ネットワークの世界へようこそ。
皆さんは、お気に入りのカフェでコーヒーを飲みながらノートPCを開くことはありますか？美味しいコーヒーと落ち着いた空間、そして無料のWi-Fi。最高ですよね。
でも、その「当たり前の接続」の裏側で、あなたの通信が狙い撃ちにされている可能性があるとしたら……？今日は、私たちが普段意識することのない「住所案内役」が騙される、ちょっと怖いお話と、その対策について紐解いていきましょう。
—
1. インターネットの「住所案内人」、DNSの役割
私たちが普段、ブラウザに google.com や bank-example.co.jp と入力するとき、コンピュータは実際には「192.0.2.1」のような数字の羅列（IPアドレス）を使って相手を探しています。
この「名前」を「数字の住所」に変換してくれるのが、DNS（Domain Name System）です。例えるなら、電話帳のようなものですね。
1. あなた（ブラウザ）が「bank-example.co.jp ってどこにあるの？」とDNSサーバーに聞く。
2. DNSサーバーが「それは 93.184.216.34 だよ」と教えてくれる。
3. あなたのPCが、その住所へ手紙（通信）を送る。
これが正常な流れです。しかし、ここに「悪い郵便配達員」が紛れ込んでいたらどうなるでしょうか？
—
2. DNSスプーフィング：偽の住所を教える悪意の罠
「DNSスプーフィング」や「キャッシュポイズニング」は、この郵便配達の流れを悪用する攻撃です。
例えば、あなたがカフェのWi-Fiに接続しているとします。この時、Wi-Fiの機器（ルーター）が、「DNSサーバーはこの私がやってるよ！」と名乗り出たとします。すると、あなたのPCは迷わずそのルーターに住所を尋ねます。
あなたが「銀行のサイトの住所を教えて！」と聞くと、攻撃者はすかさず「その銀行の住所はこれだよ（実は攻撃者が用意した偽サイト）」と嘘の回答を返します。
すると、あなたのブラウザは意図せず偽物のサイトに到着してしまいます。そこでIDやパスワードを入力してしまったら……もうお分かりですよね。これが「フィッシング」の入り口です。
—
3. なぜVPNが「究極の防波堤」になるのか？
「じゃあ、カフェのWi-Fiなんて怖くて使えないじゃないか！」と思いますよね。そこで登場するのが VPN（Virtual Private Network） です。
VPNを一言で言えば、「カフェから自宅の安全な金庫まで、中身が見えないトンネルを掘って通信する」仕組みです。
なぜVPNがDNSを守れるの？
VPNに接続すると、あなたのPCはWi-Fiルーターが指定する「怪しいDNS」を使わず、VPNサービスが提供する「信頼できるDNSリゾルバ」を強制的に使うようになります。
VPNのトンネル内を通る通信はすべて暗号化されているため、カフェのルーター（あるいは途中の誰か）は、あなたがどこへアクセスしようとしているのか、どんな情報をやり取りしているのかを一切見ることができません。郵便物を封筒に入れて、さらに鉄の箱に入れて運んでいるような状態ですね。
—
4. エンジニアとして知っておきたい「身を守る設定」のヒント
もし皆さんが自宅でサーバーを構築したり、社内ネットワークを設計したりするなら、DNSの安全性を高めるための工夫を知っておくことは重要です。最近では、DNSの問い合わせ自体を暗号化する DoH (DNS over HTTPS) という技術も一般的になってきました。
例えば、Linux環境でDNSの問い合わせ先を確認・設定する際は、/etc/resolv.conf というファイルを確認しますが、現在は以下のように設定を工夫することが推奨されます。
# /etc/resolv.conf の例
# 信頼できるDNSサーバーを指定する
# 攻撃者が割り込めないよう、可能であれば DoH に対応したリゾルバを導入します
nameserver 1.1.1.1 # CloudflareのDNS（高速でプライバシー保護に強い）
nameserver 8.8.8.8 # GoogleのDNSまた、Pythonなどでネットワークツールを作る際も、ハードコードされたDNSではなく、OSの設定を正しく参照し、TLSで保護されたDNSクエリを投げるライブラリ（dnspython など）を活用するのが今の時代の「作法」です。
import dns.resolver
# 信頼できるリゾルバを指定してクエリを投げる例
resolver = dns.resolver.Resolver()
resolver.nameservers = ['1.1.1.1'] # 信頼済みのサーバーを指定
try:
answers = resolver.resolve('example.com', 'A')
for rdata in answers:
print(f'IPアドレスは: {rdata.address}')
except Exception as e:
print(f'名前解決に失敗しました: {e}')—
最後に：ネットワークは「信頼」の上に成り立っている
ネットワーク技術は、本質的に「相手を信頼する」ことで成り立っています。しかし、残念ながらインターネットの世界は「性悪説」で動いています。
「便利だから」といって無防備にWi-Fiに繋ぐのではなく、VPNのような「守りの技術」を賢く使いこなすこと。それが、これからの時代にエンジニアとして、そして一人のインターネットユーザーとして生き抜くための大切なスキルです。
皆さんも、次にカフェでWi-Fiに繋ぐときは、スマホやPCの「VPN接続」ボタンをポチッと押してみてください。その一手間が、あなたのデジタルライフを守る最強の盾になるはずですよ！
それでは、また次回の記事でお会いしましょう！
コメント