Abstract-DNS över TLS (DoT) och DNS över HTTPS (DoH) kryptera DNS för att skydda användarens integritet genom att dölja DNS-upplösningar från passiva motståndare. Men tidigare attacker har visat att krypterad DNS fortfarande är känslig för trafikanalys. Som en följd av detta föreslår RFC 8467 att pad meddelanden före kryptering, vilket kraftigt minskar egenskaperna hos krypterad trafik. I detta dokument visar vi att enbart stoppning är otillräckligt för att motverka DNS trafikanalys. Vi föreslår en ny trafikanalysmetod som kombinerar storlek och timing information för att härleda webbplatser en användare besöker enbart baserat på krypterade och vadderade DNS spår. I detta syfte modellerar vi DNS-sekvenser som fångar komplexiteten hos webbplatser som vanligtvis utlöser dussintals DNS-resolutioner istället för bara en enda DNS-transaktion. En sluten värld utvärdering baserad på Alexa topp-10k webbplatser visar att angripare kan deanonymisera minst hälften av testspår i 80,2 % av alla webbplatser, och även korrekt märka alla spår för 32,0 % av webbplatserna. Våra resultat undergräver integritetsmålen för toppmoderna strategier för meddelandeutfyllnad i DoT/DoH. Vi avslutar med att visa att framgångsrika begränsningar av sådana attacker måste ta bort entropi av interarrival timing mellan frågesvar.
Bushart m.fl. REF finner att även med kryptering, DNS-trafik fortfarande är mottaglig för trafik fingeravtryck attacker baserade på paketlängd och räkna.
Padding Ain't Enough: Assessing the Privacy Guarantees of Encrypted DNS
{'venue': 'ArXiv', 'journal': 'ArXiv', 'mag_field_of_study': ['Computer Science']}