Advanced security investigations on QUIC and HTTP/3: From vulnerability discovery to covert communication

Abstract

The transition of Internet services from legacy transport/application combinations toward QUIC and HTTP/3 has reshaped performance, deployment, and security assumptions at the same time. While this migration enables lower latency and improved robustness, it also introduces a rapidly evolving attack surface whose behavior cannot be reliably understood through protocol text alone. This doctoral thesis addresses that challenge through an integrated, publication-driven investigation that spans the full path from vulnerability discovery to covert communication. The dissertation is organized around five tightly linked research axes. The first axis builds a structured understanding of the QUIC/HTTP/3 security landscape on both offensive and defensive capabilities and clarifies attack transferability from HTTP/2. The second axis validates practical exploitability with hands-on experiments against real-life implementations. The third axis converts offensive findings into reproducible defensive assets, including dataset-oriented workflows and baseline evaluation. The fourth axis extends the analysis to post-exploitation command-and-control concealment through modern API/protocol ecosystems. The final axis focus on identifying and evaluating HTTP/3 protocol level attacks, expanding previous public literature on race condition attacks that can be escalate from the protocol. The first major contribution is a consolidated security map for QUIC/HTTP/3 and HTTP/2-to-HTTP/3 migration dynamics. The thesis demonstrates that transferability is selective and conditional: attack classes can preserve, degrade, or transform their feasibility depending on protocol mechanics, endpoint state handling, and implementation design choices. The second major contribution is empirical evidence that implementation level behavior is frequently decisive for exploitability. In several scenarios, protocol-level expectations are insufficient predictors of practical outcome. A third contribution is reproducibility: the thesis integrates attack experimentation with publicly shareable artifacts and dataset-driven baseline workflows (including the H23Q one) to support comparative defensive research. A fourth contribution is lifecycle coverage: beyond initial exploitation, the dissertation examines covert communication through C3-oriented mechanisms, highlighting how modern interfaces and protocols can support stealthy control paths that are difficult to detect with network-only visibility. The final contribution is related to race condition attacks that can capitalize HTTP/3, by classifying two novel attack classes, i.e., Temporal Hijacking and Server-Side Race Orchestration (SSRO). Overall, the dissertation contributes with concrete findings and a reusable methodology on both the offensive and defensive capabilities. Its central message is that QUIC/HTTP/3 security should be treated as a continuous empirical process that links standards interpretation, implementation-level validation, reproducible defensive evaluation, and post-compromise communication analysis. This integrated approach supports more reliable security conclusions for modern web protocol ecosystems and provides a robust basis for future protocol-transition studies.

Η παρούσα διδακτορική διατριβή εξετάζει την ασφάλεια των πρωτοκόλλων QUIC και HTTP/3 μέσα από μία ενοποιημένη ερευνητική πορεία που ξεκινά από την ανακάλυψη και τεκμηρίωση ευπαθειών και καταλήγει στη μελέτη κρυφών καναλιών επικοινωνίας (covert channels). Η ανάγκη για αυτήν την πορεία προκύπτει από τη ραγδαία μετάβαση του σύγχρονου Web σε νέα πρωτόκολλα μεταφοράς/εφαρμογής, όπου οι παραδοσιακές υποθέσεις ασφάλειας πλέον δεν επαρκούν. Συγκεκριμένα, παρότι η μετάβαση προς τα πρωτόκολλα QUIC & HTTP/3 προσφέρει σημαντικά οφέλη απόδοσης, εισάγει ταυτόχρονα νέο πεδίο επιθέσεων που επηρεάζεται έντονα από τις λεπτομέρειες της εκάστοτε υλοποίησης. Η διατριβή οργανώνεται σε πέντε αλληλένδετους άξονες. Ο πρώτος άξονας εστιάζει στο τοπίο απειλών και αναλύει τη μεταφερσιμότητα επιθέσεων από το πρωτόκολλο HTTP/2 στο HTTP/3. Ο δεύτερος άξονας επικεντρώνεται στην πρακτική επικύρωση επιθέσεων μέσω ελεγχόμενων πειραμάτων σε πραγματικές υλοποιήσεις. Ο τρίτος άξονας μετασχηματίζει τα επιθετικά ευρήματα σε αμυντικά, αναπαραγώγιμα παραδοτέα, δηλαδή εργαλεία, σύνολα δεδομένων, και βασικές ροές αξιολόγησης. Ο τέταρτος άξονας επεκτείνει την ανάλυση στις επικοινωνίες Command and Control (C2) με έμφαση στα κρυφά κανάλια. Ο τελευταίος άξονας εστιάζει σε νέες επιθέσεις που εκμεταλλέυονται το πρωτόκολλο HTTP/3, επεκτείνοντας την ήδη υπάρχουσα βιβλιογραφία σχετικά με τις επιθέσεις ανταγωνισμού (race condition). Η πρώτη συνεισφορά της διατριβής είναι η ενοποιημένη χαρτογράφηση απειλών για τα πρωτόκολλα QUIC & HTTP/3 καθώς και η αποτύπωση συνθηκών μεταφερσιμότητας γνωστώνεπιθέσεων από το πρωτόκολλο HTTP/2. Η δεύτερη συνεισφορά εστιάζει στην εμπειρική κατάδειξη ότι η εκμεταλλευσιμότητα εξαρτάται συχνά περισσότερο από παραμέτρους υλοποίησης και διαμόρφωσης παρά από γενικές, θεωρητικές υποθέσεις συμμόρφωσης στο πρότυπο. Η τρίτη συνεισφορά είναι η ενίσχυση της αναπαραγωγιμότητας μέσω δημόσιως προσβάσιμων συνόλων δεδομένων (datasets), συγκεκριμένα του H23Q για περαιτέρω πειραματικήαξιολόγηση από άλλους ερευνητές. Η τέταρτη συνεισφορά είναι η διεύρυνση της οπτικής από την αρχική παραβίαση στη μετέπειτα C2 επικοινωνία, αναδεικνύοντας τις προκλήσεις ανίχνευσης σε περιβάλλοντα όπου η κρυπτογράφηση στο επίπεδο μεταφοράς είναι προεπιλεγμένη. Η τελευταία συνεισφορά αφορά τις επιθέσεις τύπου race condition που αξιοποιούν το HTTP/3, προτείνοντας και αξιολογώντας δύο νέες κατηγορίες επιθέσεων τις Temporal Hijacking και Server-Side Race Orchestration (SSRO). Συνολικά, η διατριβή προσφέρει όχι μόνο επιμέρους τεχνικά αποτελέσματα αλλά και μία επαναχρησιμοποιήσιμη ερευνητική μεθοδολογία για την αξιολόγηση των χαρακτηριστικών ασφαλείας μοντέρνων πρωτοκόλλων του επιπέδου μεταφοράς και εφαρμογής. Το κύριο συμπέρασμα είναι ότι η ασφάλεια QUIC & HTTP/3 πρέπει να προσεγγίζεται ως συνεχής, εμπειρική διαδικασία που διασυνδέει τις επίσημες προδιαγραφές και πρότυπα, τις πρακτικές υλοποιήσης, την ανάλυση από την πλευρά του επιτιθέμενου, και την αναπαραγωγιμότητα των αποτελεσμάτων από την οπτική του αμυνόμενου.