[논문 리뷰] Measurement and characterization of DNS over HTTPS traffic

Kamil Jeřábek, Ondřej Ryšavý외 1명|arXiv (Cornell University)|2022. 04. 08.

IPv6, Mobility, Handover, Networks, Security인용 수 7

한 줄 요약

이 논문은 DNS over HTTPS (DoH) 트래픽의 측정 및 특성 분석을 통해 그 개인정보 보호 기능과 성능 오버헤드를 평가한다. 웹 브라우저 내 DoH 구현체를 평가하고 트래픽 패턴을 분석하며, 페이로드 및 헤더 특성에 기반해 DoH 트래픽가 일반 HTTPS 트래픽과 구별될 수 있음을 입증한다. HTTP/2는 오버헤드를 줄이고, 헤더가 데이터 볼륨에 상당한 기여를 한다.

ABSTRACT

Domain name system communication may provide sensitive information on users' Internet activity. DNS-over-TLS and DNS-over-HTTPS are proposals aiming at increasing the privacy of Internet end users. In this paper we present an overview of the current state in the deployment of DNS-over-HTTPS (DoH) implementations complemented by measurements of DoH traffic in terms of the incurred overhead and the possibility of the DoH detection based on the inherent characteristics of the communication patterns.

연구 동기 및 목표

• 기존 DNS와 DoT 대비 DNS over HTTPS (DoH)의 성능 및 오버헤드를 평가하기 위해
• DoH 트래픽 패턴을 특성화하고 일반 HTTPS 트래픽과의 차이점을 규명하기 위해
• 실세계 브라우저 환경에서 웹 페이지 로드 시간에 대한 DoH의 영향을 평가하기 위해
• DoH 응답의 HTTP 헤더를 분석하고 트래픽 볼륨에 기여하는 바를 정량화하기 위해
• DoH 트래픽을 식별하고 서로 다른 DoH 서버 구현체를 구분할 수 있는 방법을 개발하기 위해

제안 방법

• 제어된 환경과 실세계 브라우저 환경에서 커스터마이징된 패킷 캡처 도구를 사용해 대규모 DoH 트래픽 데이터셋을 수집함.
• 인터넷 상에 배포된 DoH 서버를 탐지하고 테스트하기 위한 신규 도구를 구현하여 프로토콜 기능 및 설정을 식별함.
• 클라우드플레어 서버에서 DNS, DoH POST, DoH GET, JSON 인코딩을 적용한 DoH 간의 성능을 비교하기 위해 고립된 성능 테스트를 실시함.
• 실제 브라우저 세션에서 다양한 DNS 해석 방법을 사용해 엔드 투 엔드 웹 페이지 로드 시간을 측정함.
• 페이로드 크기 대 패킷 수 비율 및 헤더 크기 분포 등의 지표를 사용해 트래픽 특성 분석을 수행함.
• HTTP/1.1 및 HTTP/2 DoH 서버 응답을 비교하여 헤더 오버헤드와 프로토콜 효율성 분석함.

실험 결과

연구 질문

• RQ1 고립 및 실세계 환경에서 기존 DNS 및 DoT 대비 DoH의 성능 오버헤드는 어떠한가?
• RQ2 패킷 구조 및 페이로드 특성 측면에서 DoH 트래픽는 일반 HTTPS 트래픽과 어떻게 다를까?
• RQ3 HTTP 헤더는 DoH 통신의 전체 데이터 볼륨에 얼마나 기여하는가?
• RQ4 네트워크 수준의 특성에 기반해 DoH 트래픽를 신뢰성 있게 탐지하고 분류할 수 있는가?
• RQ5 다양한 DoH 서버 구현체(예: Nginx, Cloudflare, h2o/dnsdist)는 트래픽 패턴과 헤더 사용에 어떤 영향을 미치는가?

주요 결과

• 실제 브라우저 환경에서 DoH POST는 기존 DNS보다 略적으로 더 좋은 성능을 보이며, 실질적으로 더 빠른 해석이 가능할 수 있음을 시사한다.
• HTTP/2는 HTTP/1.1 대비 프로토콜 오버헤드를 줄였고, HTTP/2를 사용하는 DoH 트래픽는 더 효율적인 패킷 사용을 보였다.
• 약 4.3%의 DoH 서버는 여전히 HTTP/1.1을 사용하며, HPACK 압축이 없어 더 높은 헤더 오버헤드를 유발한다.
• DoH 서버의 상당수(50% 이상)는 응답 헤더 크기가 200바이트 미만이지만, 일부는 1,000바이트를 초과하는 헤더를 생성하여 트래픽 볼륨에 상당한 기여를 한다.
• 페이로드 크기 대 패킷 수 비율 및 헤더 패턴에 기반해 DoH 트래픽는 일반 HTTPS 트래픽과 구별될 수 있다.
• 헤더를 통한 서버 식별(예: server, x-powered-by) 결과, 34개 서버는 Nginx를, 12개는 Cloudflare CDN을, 11개는 h2o/dnsdist를 사용함을 확인하여 소프트웨어 구현체 식별이 가능함.