[論文レビュー] Measurement and characterization of DNS over HTTPS traffic

Kamil Jeřábek, Ondřej Ryšavý+1 more|arXiv (Cornell University)|Apr 8, 2022

IPv6, Mobility, Handover, Networks, Security被引用数 7

ひとこと要約

本稿では、DNS over HTTPS (DoH) トラフィックの測定と特徴付けを通じて、そのプライバシー上の利点とパフォーマンス上のオーバーヘッドを評価する。ウェブブラウザに実装されたDoHの動作を評価し、トラフィックパターンを分析し、ペイロードおよびヘッダー特性を用いてDoHトラフィックを通常のHTTPSトラフィックと区別できることを示している。HTTP/2はオーバーヘッドを低減し、ヘッダーがデータ量に顕著に寄与していることが判明した。

ABSTRACT

Domain name system communication may provide sensitive information on users' Internet activity. DNS-over-TLS and DNS-over-HTTPS are proposals aiming at increasing the privacy of Internet end users. In this paper we present an overview of the current state in the deployment of DNS-over-HTTPS (DoH) implementations complemented by measurements of DoH traffic in terms of the incurred overhead and the possibility of the DoH detection based on the inherent characteristics of the communication patterns.

研究の動機と目的

• 従来のDNSおよびDoTと比較して、DNS over HTTPS (DoH) のパフォーマンスとオーバーヘッドを評価すること。
• DoHトラフィックのパターンを特徴付け、通常のHTTPSトラフィックと区別できる特徴を同定すること。
• 実世界のブラウザ環境におけるウェブページのロード時間に及ぼすDoHの影響を評価すること。
• DoHレスポンスのHTTPヘッダーを分析し、トラフィック量に与える寄与度を定量化すること。
• DoHトラフィックを識別し、DoHサーバー実装の違いを区別する手法を開発すること。

提案手法

• 制御環境および実世界のブラウザ環境で、カスタムパケットキャプチャツールを用いて大規模なDoHトラフィックデータセットを収集した。
• インターネット上に展開されたDoHサーバーを検出・テストするための新規ツールを実装し、プロトコルの特徴と構成を同定した。
• Cloudflareのサーバーを用いて、DNS、DoH POST、DoH GET、およびJSONエンコード付きDoHのパフォーマンスを分離して比較するテストを実施した。
• 実際のブラウザセッションを用いて、さまざまなDNS解決方法がウェブページのエンドツーエンドロード時間に与える影響を測定した。
• ペイロードサイズ対パケット数比やヘッダーのサイズ分布といった指標を用いて、トラフィック特性を分析した。
• HTTP/1.1およびHTTP/2のDoHサーバーのレスポンスを比較し、ヘッダーのオーバーヘッドとプロトコルの効率性を評価した。

実験結果

リサーチクエスチョン

• RQ1 孤立した環境および実世界の設定において、DoHは従来のDNSおよびDoTと比較して、どの程度のパフォーマンスオーバーヘッドを有するか？
• RQ2 パケット構造およびペイロード特性の観点から、DoHトラフィックは通常のHTTPSトラフィックとどのように異なるか？
• RQ3 HTTPヘッダーは、DoH通信における全体のデータ量にどの程度寄与しているか？
• RQ4 ネットワークレベルの特徴に基づいて、DoHトラフィックを信頼性高く検出・分類できるか？
• RQ5 Nginx、Cloudflare、h2o/dnsdistなどの異なるDoHサーバー実装（例：Nginx、Cloudflare、h2o/dnsdist）は、トラフィックパターンおよびヘッダー使用にどのような影響を与えるか？

主な発見

• 実際のブラウザ環境において、DoH POSTは従来のDNSよりもわずかにパフォーマンスが優れており、実際の環境で解決が速くなる可能性を示している。
• HTTP/2はHTTP/1.1と比較してプロトコルオーバーヘッドを低減し、HTTP/2上のDoHトラフィックはより効率的なパケット使用を示している。
• 約4.3%のDoHサーバーはまだHTTP/1.1を使用しており、HPACK圧縮が利用できないため、より高いヘッダーのオーバーヘッドを生じさせている。
• DoHサーバーの顕著な割合（半数以上）はレスポンスヘッダーに200バイト未満のサイズを使用しているが、一部のサーバーは1,000バイトを超えるヘッダーを生成しており、これはトラフィック量に顕著に寄与している。
• ペイロードサイズ対パケット数比およびヘッダーのパターンに基づいて、DoHトラフィックは通常のHTTPSトラフィックと区別可能である。
• ヘッダー（例：server、x-powered-by）によるサーバー識別により、34のサーバーがNginx、12がCloudflare CDN、11がh2o/dnsdistを使用していることが判明し、ソフトウェア実装の検出が可能になった。