[论文解读] Measurement and characterization of DNS over HTTPS traffic

Kamil Jeřábek, Ondřej Ryšavý+1 more|arXiv (Cornell University)|Apr 8, 2022

IPv6, Mobility, Handover, Networks, Security被引用 7

一句话总结

本文测量并表征了DNS over HTTPS（DoH）流量，以评估其隐私优势和性能开销。研究评估了网页浏览器中的DoH实现，分析了流量模式，并表明可通过有效载荷和报头特征将DoH与常规HTTPS流量区分开来，其中HTTP/2降低了开销，报头对数据量的贡献显著。

ABSTRACT

Domain name system communication may provide sensitive information on users' Internet activity. DNS-over-TLS and DNS-over-HTTPS are proposals aiming at increasing the privacy of Internet end users. In this paper we present an overview of the current state in the deployment of DNS-over-HTTPS (DoH) implementations complemented by measurements of DoH traffic in terms of the incurred overhead and the possibility of the DoH detection based on the inherent characteristics of the communication patterns.

研究动机与目标

• 评估DNS over HTTPS（DoH）与传统DNS和DoT相比的性能和开销。
• 表征DoH流量模式，并识别其与常规HTTPS流量的区分特征。
• 评估DoH在真实浏览器场景中对网页加载时间的影响。
• 分析DoH响应中的HTTP报头，并量化其对流量体积的贡献。
• 开发一种识别DoH流量并区分不同DoH服务器实现方法的技术。

提出的方法

• 使用自定义数据包捕获工具在受控和真实浏览器环境中收集大规模DoH流量数据集。
• 实现一种新型工具，用于检测和测试互联网上部署的DoH服务器，识别协议特征和配置。
• 在Cloudflare服务器上对DNS、DoH POST、DoH GET和使用JSON编码的DoH进行隔离性能测试。
• 在真实浏览器会话中，使用不同的DNS解析方法测量端到端网页加载时间。
• 使用有效载荷大小与数据包数量之比和报头大小分布等指标分析流量特征。
• 使用HTTP/1.1和HTTP/2的DoH服务器响应，比较报头开销和协议效率。

实验结果

研究问题

• RQ1 在隔离和真实世界环境中，DoH与传统DNS和DoT相比的性能开销如何？
• RQ2 在数据包结构和有效载荷特征方面，DoH流量与常规HTTPS流量有何不同？
• RQ3 HTTP报头在DoH通信整体数据量中占多大比例？
• RQ4 能否基于网络层特征可靠地检测和分类DoH流量？
• RQ5 不同DoH服务器实现（例如Nginx、Cloudflare、h2o/dnsdist）如何影响流量模式和报头使用？

主要发现

• 在真实浏览器场景中，DoH POST的性能略优于传统DNS，表明在实际应用中可能实现更快的解析速度。
• 与HTTP/1.1相比，HTTP/2降低了协议开销，HTTP/2上的DoH流量表现出更高效的包使用效率。
• 约4.3%的DoH服务器仍使用HTTP/1.1，由于缺乏HPACK压缩，导致更高的报头开销。
• 相当一部分DoH服务器（超过一半）使用小于200字节的响应报头，但部分服务器生成的报头超过1,000字节，显著增加了流量体积。
• 基于有效载荷大小与数据包数量之比和报头模式，DoH流量可与常规HTTPS流量区分开来。
• 通过报头（如server、x-powered-by）识别服务器，发现34台服务器使用Nginx，12台使用Cloudflare CDN，11台使用h2o/dnsdist，从而实现对软件实现的检测。