中國(guó)聯(lián)合網(wǎng)絡(luò)通信有限公司濱州市分公司 薛 益

1 引言

如今，互聯(lián)網(wǎng)上幾乎所有的通信都是從域名系統(tǒng)(DNS)查找開始的。無論運(yùn)營(yíng)商是互聯(lián)網(wǎng)服務(wù)提供商(ISP)還是第三方，能夠觀察和保留這些敏感信息都會(huì)令人擔(dān)憂隱私泄露，因此，本文研究了一種解決此問題的基于無關(guān)DNS的通信隱私保護(hù)技術(shù)，即ODNS。

通常，DNS遞歸解析過程中DNS查詢和響應(yīng)都是明文的，因此，它們可以揭示用戶或設(shè)備正在與之通信的Internet目的地的重要信息[1]。遞歸DNS解析器——可以方便地關(guān)聯(lián)和跟蹤客戶端標(biāo)識(shí)，以及關(guān)于他們的DNS查詢的信息，這實(shí)際上是一個(gè)的隱私風(fēng)險(xiǎn)隱患[2][3]。

用戶的Internet服務(wù)提供商(ISP)通常操作用戶的默認(rèn)遞歸DNS解析器，使ISP能夠非常方便地訪問DNS查詢信息。為了降低這種風(fēng)險(xiǎn)，包一些服務(wù)商都在“開放”遞歸DNS解析服務(wù)，任何人都可以使用這些服務(wù)作為其ISP遞歸解析器的替代。然而，當(dāng)用戶切換到這樣一個(gè)備用的DNS遞歸解析器時(shí)，并沒有解決隱私泄露風(fēng)險(xiǎn)問題;相反，用戶必須信任“開放”遞歸查詢，而不是其ISP。

2 ODNS簡(jiǎn)介

無關(guān)DNS(ODNS)為了避免用戶信息的泄露而在今年中提出的一個(gè)新的方法，該技術(shù)采取了不同的策略: (1)不只是將信任錨從ISP轉(zhuǎn)移到其他第三方，而是試圖防止遞歸DNS解析器與IP地址之間的查詢產(chǎn)生沖突。為此，它一方面模糊了遞歸解析器從發(fā)出DNS查詢的客戶端看到的查詢；(2)從DNS層次的上層模糊客戶端IP地址，最終解析查詢。ODNS在現(xiàn)有DNS協(xié)議的上下文中運(yùn)行，允許現(xiàn)有部署的基礎(chǔ)設(shè)施保持不變。通過利用全局DNS系統(tǒng)，ODNS將客戶端標(biāo)識(shí)與查詢分離開來：客戶端向遞歸解析器發(fā)送加密查詢，遞歸解析器將查詢轉(zhuǎn)發(fā)到可以解析ODNS查詢的權(quán)威DNS服務(wù)器。遞歸解析器永遠(yuǎn)不會(huì)看到客戶端查詢的DNS域，而ODNS權(quán)威服務(wù)器永遠(yuǎn)不會(huì)看到客戶機(jī)的IP地址。

ODNS可以立即部署到現(xiàn)有的DNS基礎(chǔ)設(shè)施。ODNS需要對(duì)客戶機(jī)的存根解析器以及權(quán)威的DNS服務(wù)器進(jìn)行小的更改。存根解析器接受一個(gè)現(xiàn)有的DNS查詢，對(duì)其進(jìn)行加密，并附加一個(gè)特定于ODNS的域，以確保被轉(zhuǎn)發(fā)到權(quán)威的DNS服務(wù)器。權(quán)威DNS服務(wù)器對(duì)查詢進(jìn)行解密，并且還必須充當(dāng)遞歸DNS解析器——及時(shí)檢索對(duì)應(yīng)于客戶端初始查詢的DNS記錄。ODNS的隱私增強(qiáng)是以性能為代價(jià)的。跟蹤驅(qū)動(dòng)的評(píng)估顯示，任何單個(gè)的未緩存的DNS查找速度都較慢是由于以下兩個(gè)因素：1)加密操作將查找時(shí)間增加了大約2毫秒；2)為每個(gè)查找添加客戶端和權(quán)威服務(wù)器之間的往返時(shí)間。通過設(shè)計(jì)使用任意類型的ODNS來減輕往返時(shí)間延遲的影響。最后，評(píng)估表明web頁(yè)面加載時(shí)間上的性能開銷是可以忽略的。此外，通過在存根解析器上實(shí)現(xiàn)緩存來減少現(xiàn)有遞歸解析器上的交通負(fù)擔(dān)。

3 ODNS分析

ODNS防止對(duì)方將每個(gè)DNS查詢與發(fā)出查詢的IP地址相關(guān)聯(lián)。我們假設(shè)一個(gè)對(duì)手服務(wù)器可以：(1)竊聽客戶端和遞歸解析器之間的通信，以及遞歸解析器和非優(yōu)化名稱服務(wù)器之間的通信；(2)向任何數(shù)量的DNS運(yùn)營(yíng)商請(qǐng)求數(shù)據(jù)(使用傳票或搜查令)；(3)訪問任何DNS服務(wù)器上的數(shù)據(jù)和日志(如查詢?nèi)罩?。

ODNS的操作與傳統(tǒng)的DNS類似，但改變了兩個(gè)組件：(1)每個(gè)客戶端運(yùn)行一個(gè)修改后的存根解析器；(2) ODNS運(yùn)行一個(gè)權(quán)威的名稱服務(wù)器，它還充當(dāng)原始DNS查詢的遞歸DNS解析器:客戶端請(qǐng)求的存根解析器混淆域(通過對(duì)稱加密)，結(jié)果在遞歸解析器中不知道重新查詢域。

遞歸解析器將客戶端標(biāo)識(shí)與被轉(zhuǎn)發(fā)到ODNS權(quán)威服務(wù)器的混淆請(qǐng)求分離開來。ODNS的權(quán)威名稱服務(wù)器對(duì)查詢進(jìn)行解密，無法了解誰(shuí)在請(qǐng)求特定的域。遞歸DNS解析器的操作人員可以看到單個(gè)IP廣播和域名查詢。如果遞歸使用DNS的擴(kuò)展(如EDNS0客戶端子網(wǎng))，權(quán)威解析器的操作人員也可以了解客戶端信息。EDNS0可以向更高的DNS層次(不僅僅是遞歸的DNS解析器)的權(quán)威DNS服務(wù)器顯示用戶的IP地址或子網(wǎng)信息。ODNS向DNS層次結(jié)構(gòu)的不同級(jí)別的授權(quán)名稱服務(wù)器隱藏客戶端的IP地址。遞歸DNS解析器可以學(xué)習(xí)客戶端IP地址，但它永遠(yuǎn)看不到查詢的域。ODNS要求客戶端使用自定義本地存根解析器，它從遞歸解析器中隱藏所請(qǐng)求的域。在客戶端運(yùn)行的ODNS存根解析器，在將特定于ODNS的域(例如. ODNS)附加到查詢之前對(duì)原始DNS查詢和用于加密的密鑰進(jìn)行加密，這會(huì)導(dǎo)致遞歸解析器將加密的do- main名稱轉(zhuǎn)發(fā)到ODNS權(quán)威服務(wù)器上。

當(dāng)ODNS權(quán)威DNS服務(wù)器接收到DNS查詢時(shí)，它將進(jìn)行以下兩各操作步驟：1)解密用于加密域的對(duì)稱密鑰；2)用對(duì)稱密鑰解密；3)作為傳統(tǒng)的去隱域遞歸解析器。一旦獲得結(jié)果，ODNS權(quán)威服務(wù)器將對(duì)響應(yīng)進(jìn)行加密，并將其放置到響應(yīng)的另一個(gè)資源記錄(也稱為OPT)中。權(quán)威服務(wù)器返回解析器的響應(yīng)，并將響應(yīng)發(fā)送到客戶機(jī)。正如使用會(huì)話密鑰所解釋的，解析器盡管能夠了解客戶端是誰(shuí)，但仍不能了解客戶端請(qǐng)求的域。

4 結(jié)語(yǔ)

DNS查詢可以顯示個(gè)人信息，如IP地址和設(shè)備類型等信息，并允許DNS解析器將這些信息與客戶端IP廣播關(guān)聯(lián)起來，而且需要用戶信任他們的遞歸DNS解析器。在這篇文章中，我們介紹了ODNS，一種將客戶端IP地址與DNS查詢分離的系統(tǒng)，ODNS被設(shè)計(jì)成與現(xiàn)有的DNS基礎(chǔ)設(shè)施完全兼容，只需要很少的更改，因此，基于成本方面的考慮，ODNS非常容易為現(xiàn)有DNS服務(wù)提供商所接受。