[논문 리뷰] Waiting for QUIC: Passive Measurements to Understand QUIC Deployments

Jonas Mücke, Marcin Nawrocki외 7명|arXiv (Cornell University)|2022. 09. 02.

Energy Harvesting in Wireless Networks인용 수 5

한 줄 요약

이 논문은 악성 QUIC 스캔으로부터 발생하는 인터넷 배경 방사선(IBR)을 활용해 초거대 기업의 QUIC 배포 구성 정보를 역설계하는 수동 측정 방법을 제안한다. CAIDA 네트워크 텔레스코프에서 수집한 백산터 트래픽을 분석함으로써, 재전송 타임아웃, 연결 ID 구조, 로드 밸런서 유형 등 다양한 QUIC 구성 요소를 식별한다. 그 결과, Google는 CID 기반 로드 밸런싱을 사용하는 반면, Facebook는 CID 인식 기능이 없는 로드 밸런서를 사용하며 서버 토폴로지 정보를 CID에 포함시킴을 밝혀냈다.

ABSTRACT

QUIC experiences a rapid adoption since its standardization in 2021, and hypergiants configure their infrastructure to optimize for QUIC performance. In this paper, we introduce a passive measurement method to study both the progressive rollout and individual hypergiant configurations during the last five years. By analyzing backscatter traffic of the UCSD network telescope, we are able to make the following observations. First, Meta, Google, and Cloudflare configure significantly different maximal retransmission numbers and timeouts. Second, we can identify different off-net deployments of hypergiants, using packet features, such as QUIC connection IDs, packet coalescence, and packet lengths. Third, we observe changing hypergiant deployment configurations during our different measurement periods. Fourth, connection IDs can allow further insights into load balancer deployments, such as the number of servers. We bolster our results using two orthogonal measurements: passive recording of QUIC flows and active probing.

연구 동기 및 목표

• 비활성 탐색을 통해 초거대 기업의 대규모 QUIC 배포를 이해하기 위해, 불필요한 QUIC 트래픽의 수동 측정을 활용한다.
• QUIC 헤더 메타데이터에서 로드 밸런서 아키텍처 및 QUIC 스택 구성과 같은 숨겨진 인프라 세부 정보를 밝혀내기 위해 노력한다.
• QUIC 연결 ID(CID)가 서버 배포의 구조적 정보를 인코딩하고 있음을 입증함으로써, 초거대 서비스의 지문 추출이 가능하다는 것을 보여준다.
• 통제된 활성 스캐닝 캠페인을 통해 수동 관찰 결과를 검증함으로써, 로드 밸런싱 행동 및 구성 차이를 확인한다.
• 수동 QUIC 측정이 장기적으로 비침습적인 방법으로 프rotocol 배포 추세를 모니터링하는 데 실현 가능하고 확장 가능하다는 점을 평가한다.

제안 방법

• CAIDA 네트워크 텔레스코프에서 수신한 /9 범위의 백산터 트래픽을 1개월간 수동으로 수집하고 분석함으로써, 악성 QUIC 패킷을 수신하는 배경 방사선을 분석한다.
• 원격 연결 ID(SCID), 패킷 결합 패턴, 패킷 길이 등의 QUIC 패킷 특징을 추출하고 분석하여 서버 측 구성 요소를 유추한다.
• 재전송 타임아웃(RTO)과 재전송 횟수의 통계 분석을 통해 QUIC 구현의 로컬 스택 구성 요소를 유추한다.
• 관측된 SCID 패턴을 알려진 배포 특성(예: 로드 밸런서 유형)과 연관지어 분석하고, VIP에 대한 통제된 활성 스캐닝을 통해 결과를 검증한다.
• QUIC의 장헤더가 암호화되지 않아 TLS 복호화 없이도 SCID와 DCID를 수동으로 검사할 수 있다는 점을 활용한다.
• CID 구조 분석을 통해 CID가 정보를 포함하는지(예: 호스트 또는 워커 ID) 또는 순수하게 무작위인지 식별함으로써, 구조적과 비구조적 CID 사용 방식을 구분한다.

실험 결과

연구 질문

• RQ1 수동 QUIC 백산터 트래픽 측정을 통해 초거대 기업의 QUIC 배포 간 상세한 구성 차이를 드러낼 수 있는가?
• RQ2 QUIC 연결 ID(CID)가 로드 밸런서 토폴로지나 서버 인스턴스 식별자와 같은 서버 인프라의 구조적 정보를 어느 정도 포함하고 있는가?
• RQ3 Facebook, Google, Cloudflare와 같은 주요 초거대 기업 간 재전송 타임아웃과 최대 재전송 횟수는 어떻게 다를까?
• RQ4 수동 분석을 통해 실사용 QUIC 배포에서 CID 기반과 비-CID 기반 로드 밸런싱을 구분할 수 있는가?
• RQ5 스캔 소스에 기인한 잠재적 편향이 존재하더라도, 수동 백산터 데이터는 광범위한 QUIC 배포 추세 이해에 얼마나 대표적인가?

주요 결과

• Facebook는 호스트 및 워커 식별자를 포함하는 구조적 소스 연결 ID(SCID)를 사용하며, 이는 CID 기반 내용을 기반으로 라우팅하는 CID 비인식 로드 밸런서임을 시사한다.
• Google는 CID 기반 로드 밸런싱을 사용하며, 동일한 서버 인스턴스가 다양한 5-튜플에 비록 다수의 핸드셰이크에서도 일관되게 도달됨을 확인함. 이는 240초 재전송 타임아웃으로 확인됨.
• Facebook의 재전송 타임아웃은 0.4초이며 재전송 횟수는 7~9회인 반면, Google는 0.3초와 3~6회 재전송을 사용하여, 서로 다른 QUIC 스택 구성 요소를 나타낸다.
• Cloudflare는 패킷 결합과 서버가 선택한 CID를 사용하지만, SCID에 구조적 정보를 포함시키지 않아 다른 로드 밸런싱 전략을 사용하고 있음을 시사한다.
• Facebook의 포인트 오브 프레즌스(POD)당 레이어 7 로드 밸런서 수는 CID 다양성과 재전송 패턴을 기반으로 12~16개로 추정됨.
• 2021년에서 2022년 사이에 QUIC 백산터 트래픽이 440% 증가하여, 수동 QUIC 측정이 장기적인 프로토콜 모니터링에 점점 더 실현 가능해질 것임을 시사한다.