暗号化DNSの有効化

暗号化DNSの有効化

App内でWebにアクセスする場合は、そのプライバシーが非常に重要になります。当社のプラットフォーム全体で暗号化DNSを活用することによってその情報を守り、App内でプライベートかつ安全な接続性を提供しましょう。システムのDNS設定を使用して暗号化サーバに接続する、または標準的なネットワークAPIを使用してApp内で暗号化DNSを有効化する方法をご紹介します。暗号化DNSの有効化は、Appで顧客のプライバシーを保護し、より安全で好ましいエクスペリエンスを提供するためのもう1つの方法でもあります。

リソース
- - HDビデオ
  - SDビデオ
関連ビデオ

WWDC23
- プライバシーの新機能
WWDC22
- AppとサーバのDNSセキュリティの改善
WWDC20
- プライバシーの強化で信頼を築く
- 最新のネットワーキングによるパフォーマンスとセキュリティの向上
ようこそWWDCへ “暗号化DNSの有効化” トミー･パウリですプライバシー保護にDNS暗号化は必須です Appleプラットフォームでは― デベロッパ向けにこの機能がネイティブサポートされていますパブリックDNSサービス提供のために暗号化したサーバーを使用しアプリや構成プロファイルが作成できます
アプリ内の特定接続に DNS暗号化のオプトインも可能です DNS暗号化の使用説明に入る前に DNSとプライバシーの重要性を話します DNSとはドメインネームシステムサファリのWebページアドレスを IPアドレスに変換するシステムですインターネットを使用する度に使用していますアプリ起動時にシステムがクエリという質問をしアドレス名に置き換えます質問はローカルネットワークの DNSサーバーに送られますではプライバシーとの関係性は？通常 DNSの質問と回答は未暗号化のUDPで送受信されるので検索ページがネットワーク上の外部デバイスに知られる可能性があります偽装すら可能なのですローカルネットワークのDNSリゾルバーの信頼性が低いことも問題で公共のWi-Fiにアクセスした場合追跡やブロックされる可能性もあります DNSを暗号化すればどうでしょう？
暗号を使い DNSの質問と回答を保護するのです
ネットワークを信頼できなければ信頼性の高いDNSサーバーに質問することもできます
今年 Appleプラットフォームは DNS暗号化のサポートを開始しました保護用のプロトコルは２つで DoTと呼ばれるDNS over TLSと DoHと呼ばれるDNS over HTTPSです両者ともTLSを使用し DNSメッセージを暗号化しますさらに DoHはHTTPを使用しパフォーマンスを改善します DNS暗号化には２通りの方法がありますデフォルトのリゾルバーとしてすべてのアプリに 1つのDNSサーバーを選択しますそうすればパブリックDNSサーバーの提供のためシステムを設定する NetworkExtensionアプリを作成できます
もし MDMを使ってデバイス上のエンタープライズ設定を行うのであればプロファイルをプッシュダウンしネットワークに対し暗号化を設定できますもう１つはアプリから直接オプトインする方法ですアプリに対してだけでも暗号化を望むなら特定のサーバーを選択し選んだアプリの接続に使用できます
システム全体のDNS設定を説明します NEDNSSettingsManagerを使用する NetworkExtensionアプリか DNSSettingsペイロードを含む MDMプロファイルで設定します
どちらでも同じ内容を指定することができます
サーバーとプロトコルを特定する DNSサーバーコンフィグレーションと設定のタイミングをカスタマイズするネットワークルールのセットです
NetworkExtensionでサーバーコンフィグレーションを指定しましょう
NEDNSSettingsManagerオブジェクトで既存のコンフィグレーションでロードします
そうすれば DoHかDoTサーバーのいずれかの設定を定義することができますここではDoHを使用しますオプションのサーバーのIPアドレスと必須のサーバーURLを提供できますこれを“dnsSettings”プロパティ内に設定し
saveToPreferencesをコールしコンフィグレーションをシステムに適用しますこれでユーザーはDNSサーバーを設定アプリ内で有効にできます
次はコンフィグレーションのネットワークルールに移りましょうネットワークルールの指定により別のネットワークとの互換性を保証します暗号化はプライバシー保護に最適ですがパブリックDNSサーバはローカルネットワーク上だけのプライベートネームを解決しませんつまりエンタープライズWi-Fiネットワーク上の DNSサーバーのみが従業員がアクセスするプライベートネームを解決します互換性の中には自動的に処理されるものもありネットワークルールを指定する必要はありませんカフェなどのキャプティブネットワークは自動的に例外として検出されます同様にVPNがアクティブだと VPNトンネル内での解決に VPNのDNS設定が使用されますシステム全体の設定ではありません
ただしエンタープライズWi-Fiネットワーク上のプライベートネームを処理するにはネットワークルールの設定が必要ですネットワークルールは Wi-Fiやセルラー特定のWi-Fi SSIDのようなネットワークタイプの挙動を定義します適合済みのネットワークでは DNS設定を完全に無効にするか特定のプライベートドメインに対してのみ例外を与えられますこれはアプリ内でネットワークルールを設定する方法でユーザーはこれらのルール設定が可能となります
社内ネットワークの例外作成のため特定SSIDでWi-Fiのルールを定義し接続ルールの一覧がドメイン今回はenterprise.example.netを定義します DNS設定を使ってはいけません
DNS設定はプライベートエンタープライズドメインを除いてすべてに対し社内Wi-Fiネットワークで使用可能です
また Disconnectルールでネットワークのカテゴリー全体で設定を無効にできますここではセルラーネットワーク上での DNS設定を無効にしています
そして常にキャッチオールである必要がありますここで Connectルールを使って設定がデフォルトでオンである確認し
ネットワークルールを順序付きリストとして保存してからコンフィグレーションも保存します
DNS設定アプリの作動を確認する準備が完了しました
これはシステム全体のDNS設定を設定する事例プロジェクトですアプリ内でNEDNSSettingsManagerを使いますここでサーバーコンフィグレーションが定義でき
ユーザープリファレンスに基づいてネットワークルールの設定もできますこのアプリはセルラーとWi-Fi上で有効と無効の両方をサポートします
アプリ実行前にXcodeで DNS設定機能が有効か確認します確認のためプロジェクト設定の―
Signing and Capabilitiesに行きます
DNS設定機能は NetworkExtension機能の１つですシステムがサポートするプロトコルを設定するので拡張ポイントを実行する必要はなくアプリをビルドするだけです
アプリを実行しましょう
コンフィグレーションがインストールされますが即座にアクティブにはなりません
Wi-Fiやセルラーで設定を有効か無効にできて設定アプリ内でコンフィグレーション全体を有効にします
“設定”に行きます
“一般”に行き―
“VPN接続”を確認しますここがDNSのセクションですインストールが完了するとアプリが表示され
設定を選択するとシステム全体に自動的に適用されますアプリに戻るとコンフィグレーションがアクティブになっていますこの時点で DNS設定はシステム上のすべてのアプリに適用されますネットワークによってはポリシーで暗号化サーバーをブロックするものもありクエリを見てトラフィックをフィルタリングする可能性がありますこれが発生すると Wi-Fiネットワークにプライバシー警告が付きますプライバシー侵害の前にアプリの接続が失敗となりますシステム全体ではなくアプリ内でDNS暗号化を使いたい場合はアプリ全体や特定の接続に対して有効にできますこの方法はどのAPIでも機能します URLSessionタスクや Networkフレームワーク接続それにgetaddrinfoのような POSIX APIsでも機能します Networkフレームワークで DNS暗号化を有効にします PrivacyContextでオプションを選択し DNS設定を共有する接続ごとに 1つのPrivacyContextを作成します
フォールバックを使用するために DNSサーバーコンフィグレーションを提供しますシステム全体のDNSコンフィグレーションが優先されますそうでなければアプリのフォールバックがキックインします DoHサーバーのURLを使用し
接続のパラメーターの作成に以前作成したPrivacyContextを設定します
接続を開始するとDNS暗号化が使われます
また適正な接続が使われたか確認できます
接続できたら EstablishmentReportをリクエストすると
解決ステップの一覧があります使用したプロトコルを確認できます HTTPSやTLSやUDPまたはTCPですキャッシュからの回答にはプロトコルのセットが入っていない場合もありますアプリ全体を通して使用したいならデフォルトのPrivacyContextを設定できますアプリで開始されたDNSの解決にコンフィグレーションが適用されます
それはURLSessionタスクか
getaddrinfoのような下層APIを使用する場合です
DNS暗号化を試す準備はできましたパブリックDNSサービスを提供するのであれば NEDNSSettingsManagerでアプリを書いて設定を供給してください
エンタープライズMDMソリューションがあるならプロファイルを使い有効にしてくださいアプリからオプトインする場合 Network フレームワークでPrivacyContextsを選択詳細な情報は次のセッションURLをご確認くださいではさようなら

// Create a DNS configuration

import NetworkExtension

NEDNSSettingsManager.shared().loadFromPreferences { loadError in
    if let loadError = loadError {
        // ...handle error...
        return
    }
    let dohSettings = NEDNSOverHTTPSSettings(servers: [ "2001:db8::2" ])
    dohSettings.serverURL = URL(string: "https://dnsserver.example.net/dns-query")
    NEDNSSettingsManager.shared().dnsSettings = dohSettings
    NEDNSSettingsManager.shared().saveToPreferences { saveError in
        if let saveError = saveError {
            // ...handle error...
            return
        }
    }
}

6:40 - Apply network rules

// Apply network rules

let workWiFi = NEOnDemandRuleEvaluateConnection()
workWiFi.interfaceTypeMatch = .wiFi
workWiFi.ssidMatch = ["MyWorkWiFi"]
workWiFi.connectionRules =
    [ NEEvaluateConnectionRule(matchDomains: ["enterprise.example.net"],
                               andAction: .neverConnect) ]

let disableOnCell = NEOnDemandRuleDisconnect()
disableOnCell.interfaceTypeMatch = .cellular

let enableByDefault = NEOnDemandRuleConnect()

NEDNSSettingsManager.shared().onDemandRules = [
    workWiFi,
    disableOnCell,
    enableByDefault
]

10:47 - Use encrypted DNS with NWConnection

// Use encrypted DNS with NWConnection

import Network

let privacyContext = NWParameters.PrivacyContext(description: "EncryptedDNS")
if let url = URL(string: "https://dnsserver.example.net/dns-query") {
    let address = NWEndpoint.hostPort(host: "2001:db8::2", port: 443)
    privacyContext.requireEncryptedNameResolution(true,
        fallbackResolver: .https(url, serverAddresses: [ address ]))
}

let tlsParams = NWParameters.tls
tlsParams.setPrivacyContext(privacyContext)

let conn = NWConnection(host: "www.example.com", port: 443, using: tlsParams)
conn.start(queue: .main)

11:35 - Validate which DNS protocol was used

// Validate which DNS protocol was used

import Network

conn.requestEstablishmentReport(queue: .main) { report in
    if let report = report {
        for resolution in report.resolutions {
            switch resolution.dnsProtocol {
            case .https, .tls:
                print("Used encrypted DNS!”)
            case .udp, .tcp:
                print("Used unencrypted DNS")
            default:
                // Ignore unknown protocols
       }
    }
}

12:07 - Use encrypted DNS for other APIs

// Use encrypted DNS for other APIs

import Network

if let url = URL(string: "https://dnsserver.example.net/dns-query") {
    let address = NWEndpoint.hostPort(host: "2001:db8::2", port: 443)
    NWParameters.PrivacyContext.default.requireEncryptedNameResolution(true,
        fallbackResolver: .https(url, serverAddresses: [ address ]))
}

let task = URLSession.shared.dataTask(with: ...)
task.resume()

getaddrinfo(...)

リソース

関連ビデオ

WWDC23

WWDC22

WWDC20