一種基于無關DNS的通信隱私保護技術研究

中國聯合網絡通信有限公司濱州市分公司 薛 益

1 引言

如今，互聯網上幾乎所有的通信都是從域名系統(DNS)查找開始的。無論運營商是互聯網服務提供商(ISP)還是第三方，能夠觀察和保留這些敏感信息都會令人擔憂隱私泄露，因此，本文研究了一種解決此問題的基于無關DNS的通信隱私保護技術，即ODNS。

通常，DNS遞歸解析過程中DNS查詢和響應都是明文的，因此，它們可以揭示用戶或設備正在與之通信的Internet目的地的重要信息[1]。遞歸DNS解析器——可以方便地關聯和跟蹤客戶端標識，以及關于他們的DNS查詢的信息，這實際上是一個的隱私風險隱患[2][3]。

用戶的Internet服務提供商(ISP)通常操作用戶的默認遞歸DNS解析器，使ISP能夠非常方便地訪問DNS查詢信息。為了降低這種風險，包一些服務商都在“開放”遞歸DNS解析服務，任何人都可以使用這些服務作為其ISP遞歸解析器的替代。然而，當用戶切換到這樣一個備用的DNS遞歸解析器時，并沒有解決隱私泄露風險問題;相反，用戶必須信任“開放”遞歸查詢，而不是其ISP。

2 ODNS簡介

無關DNS(ODNS)為了避免用戶信息的泄露而在今年中提出的一個新的方法，該技術采取了不同的策略: (1)不只是將信任錨從ISP轉移到其他第三方，而是試圖防止遞歸DNS解析器與IP地址之間的查詢產生沖突。為此，它一方面模糊了遞歸解析器從發出DNS查詢的客戶端看到的查詢；(2)從DNS層次的上層模糊客戶端IP地址，最終解析查詢。ODNS在現有DNS協議的上下文中運行，允許現有部署的基礎設施保持不變。通過利用全局DNS系統，ODNS將客戶端標識與查詢分離開來：客戶端向遞歸解析器發送加密查詢，遞歸解析器將查詢轉發到可以解析ODNS查詢的權威DNS服務器。遞歸解析器永遠不會看到客戶端查詢的DNS域，而ODNS權威服務器永遠不會看到客戶機的IP地址。

ODNS可以立即部署到現有的DNS基礎設施。ODNS需要對客戶機的存根解析器以及權威的DNS服務器進行小的更改。存根解析器接受一個現有的DNS查詢，對其進行加密，并附加一個特定于ODNS的域，以確保被轉發到權威的DNS服務器。權威DNS服務器對查詢進行解密，并且還必須充當遞歸DNS解析器——及時檢索對應于客戶端初始查詢的DNS記錄。ODNS的隱私增強是以性能為代價的。跟蹤驅動的評估顯示，任何單個的未緩存的DNS查找速度都較慢是由于以下兩個因素：1)加密操作將查找時間增加了大約2毫秒；2)為每個查找添加客戶端和權威服務器之間的往返時間。通過設計使用任意類型的ODNS來減輕往返時間延遲的影響。最后，評估表明web頁面加載時間上的性能開銷是可以忽略的。此外，通過在存根解析器上實現緩存來減少現有遞歸解析器上的交通負擔。

3 ODNS分析

ODNS防止對方將每個DNS查詢與發出查詢的IP地址相關聯。我們假設一個對手服務器可以：(1)竊聽客戶端和遞歸解析器之間的通信，以及遞歸解析器和非優化名稱服務器之間的通信；(2)向任何數量的DNS運營商請求數據(使用傳票或搜查令)；(3)訪問任何DNS服務器上的數據和日志(如查詢日志)。

ODNS的操作與傳統的DNS類似，但改變了兩個組件：(1)每個客戶端運行一個修改后的存根解析器；(2) ODNS運行一個權威的名稱服務器，它還充當原始DNS查詢的遞歸DNS解析器:客戶端請求的存根解析器混淆域(通過對稱加密)，結果在遞歸解析器中不知道重新查詢域。

遞歸解析器將客戶端標識與被轉發到ODNS權威服務器的混淆請求分離開來。ODNS的權威名稱服務器對查詢進行解密，無法了解誰在請求特定的域。遞歸DNS解析器的操作人員可以看到單個IP廣播和域名查詢。如果遞歸使用DNS的擴展(如EDNS0客戶端子網)，權威解析器的操作人員也可以了解客戶端信息。EDNS0可以向更高的DNS層次(不僅僅是遞歸的DNS解析器)的權威DNS服務器顯示用戶的IP地址或子網信息。ODNS向DNS層次結構的不同級別的授權名稱服務器隱藏客戶端的IP地址。遞歸DNS解析器可以學習客戶端IP地址，但它永遠看不到查詢的域。ODNS要求客戶端使用自定義本地存根解析器，它從遞歸解析器中隱藏所請求的域。在客戶端運行的ODNS存根解析器，在將特定于ODNS的域(例如. ODNS)附加到查詢之前對原始DNS查詢和用于加密的密鑰進行加密，這會導致遞歸解析器將加密的do- main名稱轉發到ODNS權威服務器上。

當ODNS權威DNS服務器接收到DNS查詢時，它將進行以下兩各操作步驟：1)解密用于加密域的對稱密鑰；2)用對稱密鑰解密；3)作為傳統的去隱域遞歸解析器。一旦獲得結果，ODNS權威服務器將對響應進行加密，并將其放置到響應的另一個資源記錄(也稱為OPT)中。權威服務器返回解析器的響應，并將響應發送到客戶機。正如使用會話密鑰所解釋的，解析器盡管能夠了解客戶端是誰，但仍不能了解客戶端請求的域。

4 結語

DNS查詢可以顯示個人信息，如IP地址和設備類型等信息，并允許DNS解析器將這些信息與客戶端IP廣播關聯起來，而且需要用戶信任他們的遞歸DNS解析器。在這篇文章中，我們介紹了ODNS，一種將客戶端IP地址與DNS查詢分離的系統，ODNS被設計成與現有的DNS基礎設施完全兼容，只需要很少的更改，因此，基于成本方面的考慮，ODNS非常容易為現有DNS服務提供商所接受。