Android向けFirefox 143でDoHを導入予定

2025年9月17日原文(blog.mozilla.org)

概要

Firefox は、 DNS-over-HTTPS (DoH) によるプライバシー保護をAndroidへ拡大
DoH 導入で暗号化されたDNS通信を実現、第三者からの盗聴防止
2025年には パフォーマンスの大幅向上 を達成、デスクトップと同等の速度へ
CIRA や Akamai との協力により、カナダ国内外での恩恵拡大
ユーザー選択・透明性・厳格なプライバシー基準 を重視

FirefoxのDNSプライバシー：高速化とAndroid対応

全てのウェブ閲覧 は、目的のサービスやウェブサイトの IPアドレス取得のためのDNSクエリ から始まる
従来、DNSクエリは 暗号化されず 送信、ネットワーク上の第三者（ISPや公衆WiFi提供者）が内容を傍受可能
DNS-over-HTTPS（DoH） はDNSメッセージを 暗号化 し、プライバシー漏洩を防止
2020年、 Firefox は米国で DoHをデフォルト有効化 した初のブラウザ
2023年には カナダ でも CIRA との提携で DoHデフォルト展開 を開始
2025年、 パフォーマンス改善 と Android対応 を実現し、より多くのFirefoxユーザーが恩恵を受ける環境を構築

Android版FirefoxでのDoH導入

デスクトップ向けDoH保護 を数百万ユーザーへ提供後、 Androidにも拡大
Firefox 143 for Android リリース以降、「 Increased Protection」のDoH設定で モバイル端末でもDoH有効化 が可能
現在、 パートナーとのパフォーマンステスト を実施中
期待通りの速度が確認でき次第、 特定地域でAndroid版もデフォルト有効化 を予定
それまでは設定から 任意で早期利用 が可能

2025年のDoHパフォーマンス革新

DNS解決速度 はユーザー体験に直結、複数DNSクエリが発生するページでは 速度差が蓄積
CIRA との連携で 信頼性・パフォーマンス測定 を継続
Akamai との技術協力により、 Firefox DoHの解決速度が前年比61%向上 （75パーセンタイル値）
DoH解決時間 が ネイティブDNSとほぼ同等 （1〜2ミリ秒差）に到達
カナダのFirefoxユーザー はプライバシーと速度を両立したDNS環境を享受
この取り組みは CIRAの他DNSユーザー（大学など）やAkamai利用の他事業者 にも波及
Firefoxユーザー以外にも恩恵 が広がる成果

強固なプライバシーとユーザー選択

Firefox は 透明性・ユーザー選択・強力なプライバシー保護 を重視
ユーザーはDoH設定のカスタマイズ が可能
- オプトアウト
- 独自リゾルバの選択
- DoH保護レベルの調整
DoHの挙動や重要性 を分かりやすく提示
Mozillaの厳格なTrusted Recursive Resolver（TRR）ポリシー に準拠し、 法的拘束力ある契約 を結んだ信頼できるDNSリゾルバのみ採用

プライバシーと速度の両立を目指して

DoHの進化 は プライバシー と パフォーマンス の両立が可能であることを証明
デスクトップとAndroid の両方で、 高速・信頼性・暗号化DNS を実現
オープンスタンダード と 説明責任 に基づくパートナーシップが、 Firefoxユーザーだけでなくインターネット全体に貢献
今後も「プライバシーがデフォルト」「速度に妥協なし」「誰もが使えるオープンなウェブ」 を推進
Firefoxの選択 は、 ユーザー本位 かつ より良いインターネット への意思表示

Firefoxで自分のインターネットをコントロール

Firefoxのダウンロード で、 プライバシーとパフォーマンスを両立したブラウジング体験 を実現

Hackerたちの意見

なんでこれをブラウザに組み込む必要があるのか、Androidが自分でDoHをやってるのに。理由があると思うんだけど、誰か知ってる？

└

プライバシー。

└

クエリ統計は売れる貴重なデータだよ。クライアントのDNSクエリは、検索クエリと似たようなもので、デフォルトの検索エンジン設定と合わせて最高入札者に売れるんだ。だからブラウザメーカーは、自分たちのDNSサーバーを持つ独自のリゾルバーを実装するインセンティブがある。自分たちでその統計を売りたいからか、もしくはユーザーをOSリゾルバーやISPリゾルバーの統計収集から守りたいから。

└

Androidのプライバシーツールは漏れやすいんだよね（プライバシーツールなのに、漏れたらまずいよね！）。OSレベルのVPNツールは、キルスイッチの設定をちゃんと守らないことで有名だし[0]。これだけでも、ネイティブブラウザの実装の方がOS版よりも良い解決策になるよ。[0]: https://mullvad.net/en/blog/dns-traffic-can-leak-outside-the... これはGoogleで見つけた一例なんだけど（この場合、C関数のgetaddrinfoを使うとトンネルを完全にバイパスしちゃうんだ。特にChromeはDNSクエリにこれを使ってるからね - Android APIの呼び出しだけがトンネルを尊重する）、こういう話は数年ごとに聞くよ。その投稿では、接続チェックやNTPの更新が、キルスイッチが有効でもVPNを使っていなかった過去の事例にもリンクしてたしね。これらの問題は、執筆時点ではまだ修正されてないし（Googleは、VPNトンネルの外で発生するconncheck/NTP呼び出しをバグとは見なしていないからね）。

└

AndroidってDNS over TLSしかサポートしてないと思ってたけど、これで選択肢が増えるね。

└

まず、すべてのAndroidバージョンがそれをサポートしてるわけじゃないし、すべてのメーカーが実装してるわけでもない。最新バージョンを使ってる人やGoogle Pixelを持ってる人ばかりじゃないからね。それに、OSを通すのはセキュリティ的にあまり良くない。Googleやデバイスのメーカー、VPNアプリなど、いろんな人がそのクエリにアクセスできる可能性があるから。実際、ルートがない場合は、ADAwayみたいな広告ブロックアプリがVPN機能を使ってDNSクエリを傍受することもあるし。結局、安全を考えるなら、最初からOSを通さない方がいいよ。

└

Androidは、再帰的なDNSがDoHをサポートしていると判断した場合、同プロバイダーの自動アップグレードを行うよ（最後に確認した時は、Googleのリストに載ってる場合ね）。でも、これって自分でリゾルバーを設定しない限り、ネットワークをコントロールしている人が自分のリゾルバーに置き換えることができるってことだ。Firefoxは、信頼された再帰リゾルバーのセットを使っているから、この攻撃に対しては少し強いんだ。「少し強い」と言うのは、デフォルトでは失敗した時にシステムDNSに戻るからだけど、ハードフェイルに設定することもできる。これがより良い設計だと思うかどうかは人それぞれだけど（私はFirefoxがこういう風にやることに関わってたから、そう思う）、この違いを説明できたらいいな。詳しくはここを見てね: https://educatedguesswork.org/posts/dns-security-dox/

└

FirefoxのDoHは、いつ有効にするか無効にするか、どのDNSプロバイダーを選ぶかを選べるコントロールを提供してるけど、Androidはそんな選択肢すらないし、DoHが使われてるかどうかもユーザーに知らせないんだよね。それに、Firefoxは最も強力なプライバシー保証のために法的に拘束力のある契約を結んでいるDNSプロバイダーとだけ提携してるよ。詳しくはここを見てね：https://wiki.mozilla.org/Security/doh-resolver-policy。

└

確かAndroidはDoHじゃなくてDoTをやってるはずだよ。少なくとも「プライベートDNS」設定ではDoTエンドポイントしか設定できないから。

今のおすすめのDoHプロバイダーってどこ？クラウドフレアは中央集権的な面でちょっと問題がある気がする。

└

Mullvadはプライバシー重視のDoHサービスを運営してて、VPNサービスを使ってなくても無料で使えるよ。 https://mullvad.net/en/help/dns-over-https-and-dns-over-tls

└

quad9が好き。

Hacker Newsで議論の続きを見る

ハクソク