QUIC Hunter: Identifying QUIC Deployments and Server Libraries Across the Internet

Core Concepts

異なるQUIC実装の特定と分析により、インターネット上のQUIC展開とサーバーライブラリを特定する。

Abstract

この研究は、異なるQUIC実装の特定と分析に焦点を当てています。著者らは新しいZMapスキャンアプローチを使用して以前に見られなかった展開を検出できることを示しました。さらに、エラーメッセージとトランスポートパラメータの順序に基づいた効果的なアプローチを開発し、インターネット上で18種類の異なるライブラリが使用されていることが明らかになりました。8,000万以上のIPv4アドレスおよび2,500万以上のIPv6アドレスで使用されているライブラリを特定することができます。
Introduction

QUIC implementations pose challenges for analysis due to differences in performance, functionality, and security.
Knowledge about QUIC libraries on the internet is essential for connection analysis.
Methodology

Improved QUIC scans using ZMap approach.
Identified 18 QUIC libraries with deployment data.
Scanning Approach

Two-step process: stateless scan to identify targets and stateful scan to evaluate capabilities.
Used DNS resolutions and stateful QUIC scans for analysis.
Library Identification

Developed an effective approach based on error messages and transport parameters.
Identified 18 different libraries used on the internet.
Impact on Research

Diversity of seen QUIC implementations increases complexity in network research.
Library identification can extend studies on performance and security.

Stats

Internet-wide scans conducted during October 2023 identified:

8.0 million IPv4 addresses with library identification based on Error Messages.
2.5 million IPv6 addresses with library identification based on Transport Parameters.

Quotes

"Properly selecting a QUIC probe during ZMap scans can drastically influence the number of identified deployments."
"Scanning with or without SNI drastically influences results."

Key Insights Distilled From

QUIC Hunter

by Johannes Zir... at arxiv.org 03-20-2024

https://arxiv.org/pdf/2308.15841.pdf

Deeper Inquiries

どのように異なるQUIC実装がパフォーマンスやセキュリティに影響を与える可能性がありますか？

異なるQUIC実装は同じ標準仕様に従っていても、パフォーマンスやセキュリティに影響を与える可能性があります。例えば、異なるライブラリ間での通信時の振る舞いの違いが問題となり得ます。これは、特定の機能や最適化されたアルゴリズムの有無、バグや脆弱性の存在などが原因として挙げられます。そのため、異なる実装ごとに接続速度や安全性面で差異が生じる可能性があることを考慮する必要があります。
この研究では、さまざまなQUICライブラリを特定し分析する手法を提供しています。それぞれのライブラリごとに発見されたデプロイメント数および利用頻度から競合するQUICライブラリ群全体像を明らかにしています。これは将来的なネットワーク設計やセキュリティ対策上で重要な示唆を提供します。

この研究結果は、将来的なネットワークセキュリティへの影響や対策についてどのような示唆を与えますか？

本研究結果から得られた情報は将来的なネットワークセキュリティ上で重要です。特定のQUIC実装ごとに異なる動作特性やエラーメッセージ等から個々のデプロイメントおよび使用されているライブラリを識別する手法は、脆弱性解析や攻撃防止策立案等で有益です。また、各種攻撃手法（例：偽造サーバーアタック）へ対処する際も役立ちます。
さらに今後も新しいQUICフィーチャーやアップデート次第では既存システム・インフラスト
ルチャー内部でも変更点・課題点等発生しえます。

他 の 研 究 で は HTTP サーバーヘッダー値 も 利用しています が,この 情 報 は

本 研 究結 果 と 関連していますか？

HTTPサーバーヘッダー値も一部同じ情報源（例：Google Quiche）だったり関連した情報（例：LiteSpeed）だったりします。
しかしHTTPサーバーヘッダー値自体では正確さ及び完全さ不足し，成功した握手後しか取得出来ません。
その点，当該研究方法論(エントロピー) を使って行われました．
【Table6】参考: Google Quiche の場合、「gvs」また「gws」というServer Header Value (SHV) を追加表示されました．
これ以外，LSQUCI 「LiteSpeed」, quiche 「cloudflare」, nginx 「GreyWS」, quicly 「Varnish」という SHV 値も確認出来ました．
以上