DNS is a vital component for almost every networked application. Originally it was designed as an unencrypted protocol, making user security a concern. DNS-over-HTTPS (DoH) is the latest proposal to make name resolution more secure. In this paper we study the current DNS-over-HTTPS ecosystem, especially the cost of the additional security. We start by surveying the current DoH landscape by assessing standard compliance and supported features of public DoH servers. We then compare different transports for secure DNS, to highlight the improvements DoH makes over its predecessor, DNS-over-TLS (DoT). These improvements explain in part the significantly larger take-up of DoH in comparison to DoT. Finally, we quantify the overhead incurred by the additional layers of the DoH transport and their impact on web page load times. We find that these overheads only have limited impact on page load times, suggesting that it is possible to obtain the improved security of DoH with only marginal performance impact.
Oblivious DNS over HTTPS (ODoH): A Practical Privacy Enhancement to DNS
域名系统（DNS）是人类可用的互联网的基础，响应客户端对具有相应IP地址和记录的主机名的查询。传统DNS也是未加密的，会将用户信息泄露给网络运营商。最近使用DNS over TLS（DoT）和DNS over HTTPS（DoH）来保护DNS的努力已经获得了越来越多的关注，表面上保护了流量并隐藏了旁观者的内容。然而，对DoT和DoH的批评之一是由于少量的大规模部署（例如，Comcast，Google，Cloudflare）：DNS解析器可以将查询内容与IP地址形式的客户端身份相关联。不经意DNS over HTTPS（ODoH）可防止此问题。在本文中，我们问什么将采取使ODoH实用？我们描述ODoH，一个实用的DNS协议，旨在解决这个问题，保护客户端的内容和身份。我们实现和部署协议，并进行测量，以表明ODoH具有与DoH和DoT等协议相当的性能，这些协议正在获得广泛采用，同时提高客户端隐私，使ODoH成为DNS使用的实用隐私增强替代品。
One to Rule them All? A First Look at DNS over QUIC
DNS是互联网最重要的部分之一。由于最初的DNS规范将UDP和TCP定义为底层传输协议，因此DNS查询本质上是未加密的，这使得它们容易受到窃听和路径上的操纵。因此，近年来对DNS隐私的关注引起了人们的关注，这导致了加密协议DNS over TLS（DoT）和DNS over HTTPS（DoH）的引入。尽管这些协议解决了向DNS添加隐私的关键问题，但是它们固有地受到其底层传输协议的限制，这些传输协议与例如IP碎片或多RTT握手-QUIC解决的挑战。因此，最近增加的DNS over QUIC（DoQ）承诺改进已建立的DNS协议。然而，到目前为止，还没有针对DoQ、DoQ的采用或DoQ的响应时间的研究--这是我们研究的一个空白。我们的主动测量显示，DoQ的采用率缓慢但稳定地增长，并显示每周的波动很大，这反映了正在进行的开发过程：由于DoQ仍处于标准化阶段，实施和服务经历了快速的变化。分析DoQ的响应时间，我们发现大约40%的测量结果显示出比预期高得多的握手时间，这可以追溯到流量放大限制的实施，尽管成功验证了客户端的地址。然而，DoQ已经优于DoT和DoH，这使其成为迄今为止加密DNS的最佳选择。
Large Scale Measurement on the Adoption of Encrypted DNS
自2016年以来，已经提出了几个DNS加密提案，但尚未对其采用进行全面研究。这项研究测量了DoH（DNS over HTTPS），DoT（DNS over TLS）和DoQ（DNS over QUIC）在2021年初的五个月内的采用情况，这些组织覆盖全球。通过比较总价值、每个用户的请求量以及流量的季节性，可以获得当前的采用趋势。此外，我们积极扫描互联网上仍然未知的工作DoH服务器，并将它们与一个新颖的知名DoH服务器列表进行比较。我们的结论是，尽管2020年有所增长，但在2021年的前五个月，有统计学显著证据表明DoH，DoT和DoQ的平均互联网流量保持稳定。然而，我们发现，DoH服务器的数量增长了4倍，这仍然是未知的。这些测量结果表明，即使加密DNS的数量目前没有增长，可能很快就会有更多的连接到这些未知的DoH服务器，用于良性和恶意目的。
Domain Name Encryption Is Not Enough: Privacy Leakage via IP-based Website Fingerprinting
虽然域名加密技术（如DNS over TLS（DoT）、DNS over HTTPS（DoH）和加密客户端Hello（ECH））的安全优势是显而易见的，但它们对用户隐私的积极影响却被仍然暴露的IP地址信息所削弱。然而，内容分发网络、基于DNS的负载均衡、不同网站在同一服务器上的共同托管以及IP地址流失都导致域-IP映射不稳定，并阻止直接的基于IP的浏览跟踪。在本文中，我们表明，这种不稳定性是不是一个障碍（假设一个通用的DoT/DoH和ECH部署），通过引入基于IP的网站指纹技术，允许网络级的观察员，以确定在规模的网站用户访问。我们的技术利用了大多数网站的复杂结构，这些网站除了主要的网站之外，还从多个域加载资源。使用超过20万个网站的指纹，我们可以成功地识别84%的网站。对于热门网站，准确率提高到92%，对于热门和敏感网站，准确率提高到95%。我们还评估了生成的指纹随着时间的推移的鲁棒性，并证明它们在两个月后仍然可以有效地成功识别约70%的测试网站。最后，我们讨论了网站所有者和托管服务提供商的策略，以阻止基于IP的网站指纹识别，并最大限度地提高DoT/DoH和ECH提供的隐私优势。
