南加州大学研究团队利用 2019 年 1 月一周 B-Root 权威服务器数据，分析 66 家大学、政府机构及航空公司等大型机构的 DNS 查询，发现运行自建递归解析器并拥有自有 AS 编号的机构最易遭受隐私泄露。现有前缀保留 IP 匿名化手段无法有效缓解风险，邮件交换（MX）查询与 DNSBL 反垃圾邮件查询成为推断机构通信关系的两大主要来源。
机制：递归解析器聚合流量仍泄露机构身份
递归解析器虽聚合内部终端查询，但观测者只需识别查询来源解析器所属机构，即可在广域网或权威服务器端捕获该机构整体 DNS 流量。无需追踪至具体终端用户，仅凭解析器 IP 归属即可关联机构身份。研究证实，权威服务器端同样存在机构级隐私风险：通过分析查询模式，可判断两家公司是否往来，或员工是否访问机构视为敏感的站点。这种聚合层面的信息泄露打破了“权威服务器隐私风险极低”的既有假设。
数据：B-Root 一周数据揭示 66 机构邮件查询模式
测量使用 2019 年 1 月一周匿名化 B-Root 数据，覆盖 66 家跨行业大型机构。重点分析两类邮件相关查询：邮件服务器发起的 MX 记录查询，以及反垃圾邮件服务发起的 DNSBL 查询。两类查询均可暴露机构间通信模式。原文未给出具体查询量、命中率或机构名单等细节数据，但确认风险在所测机构中普遍存在。
取舍：前缀保留匿名化失效，MX 与 DNSBL 成主要泄露源
当前 DNS 数据共享常用的前缀保留 IP 匿名化（如将 /24 前缀保留）不足以消除机构识别风险。因机构通常拥有固定前缀并从自有 AS 路由流量，攻击者可结合 AS 编号与路由信息反推机构身份。MX 查询直接暴露邮件服务器域名，DNSBL 查询则泄露发件方 IP 信誉检查行为，二者结合可重建机构通信图谱。研究指出需重新评估数据共享匿名化标准，并考虑在递归层面部署加密与混淆机制。
对运维与网络工程师而言，若机构自建递归解析器并宣告自有 AS，应认知其 DNS 流量在权威侧可被关联至机构身份。建议评估是否必须自建递归、考虑启用 DoH/DoT 加密上游查询、在数据对外共享前采用更强匿名化方案，并监控 MX 与 DNSBL 查询异常模式以防敏感通信关系外泄。
原文: APNIC Blog（2021-10-04）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog