DNS-OARC 35 会议展示了如何利用 DNS 响应中的 TTL 字段，在不控制递归解析器的前提下推断设备是否运行跟踪软件。结论是：TTL 的递减行为形成可被旁路观测的侧信道，使第三方能够间接发现隐蔽的命令‑控制流量。
TTL 侧信道原理：
递归解析器在首次从权威服务器获取记录时，会将原始 TTL 存入本地缓存并原样返回。随后在 TTL 有效期内再次收到同一域名查询，解析器直接使用缓存条目，但返回的 TTL 值会按已过秒数递减。任何能够向同一解析器发起查询的观测者，只需比较两次响应的 TTL 差值，即可判断该域名近期是否被解析过，从而推断目标设备是否发起了相关 DNS 请求。原文示例中 www.potaroo.net 的初始 TTL 为 6400 秒，展示了这一递减过程。
Trufflehunter 演示与跟踪软件检测：
会议上的 “Trufflehunter” 演示指出，跟踪软件常借用 DNS 作为隐蔽的命令‑控制通道，混入海量正常查询中。由于 DNS 查询总量极大，原文未给出具体数据，但演示表明：即使观测者不是解析器运营方，只要能向同一递归解析器发送探测查询，便可通过 TTL 变化捕捉到跟踪软件的活动痕迹。这种方法不依赖于流量镜像或日志获取，降低了检测门槛。
局限与运维启示：
TTL 侧信道的有效性取决于观测者能否访问同一递归解析器，且受原始 TTL 设置、缓存刷新策略、EDNS Client Subnet 等因素影响。原文未给出检测准确率或误报数据。运维人员应意识到 TTL 会泄露缓存命中信息，考虑在权威服务器设置较短或随机化 TTL、启用 DNS over HTTPS/TLS 等加密传输，以减少旁路观测面。
对网络工程师而言，理解 TTL 递减带来的信息泄露有助于评估 DNS 隐私风险，指导在解析器配置、监控策略和加密部署上做出更具针对性的防护决策。
原文: APNIC Blog（2021-05-25）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog