在2019年4月，域名系统（DNS）的流量达到了创纪录的5000亿次DNS事务，其中大部分都是明文传输。这种情况下，互联网服务提供商（ISPs）、自治系统（AS）或国家级机构可以执行用户跟踪、大规模监控和审查。这种普遍监控的风险及其后果促使互联网治理组织、行业行为者和标准化机构推动隐私保护。特别是，这些机构已经标准化了两个协议：DNS-over-TLS（DoT）和DNS-over-HTTPS（DoH）。DoT和DoH都加密了客户端和递归解析器之间的通信，以防止网络监听者检查域名。然而，即使通信加密，对流量特征（如流量量和时间）的分析也可以揭示其内容信息。因此，标准化机构也在考虑保护机制，以限制从加密DNS通信的流量元数据中推断私人信息。尽管现有的DoH实现评估主要关注性能，但苏黎世联邦理工学院、鲁汶大学和IMDEA网络研究所的研究人员调查了加密DNS流量是否可以保护用户免受基于流量分析的监控和审查，以及现有的针对流量分析的防护机制是否有效。
研究背景与目标
我们的研究是基于场景的，评估了一个位于客户端和解析器之间的对手，其目的是通过检查用户的DoH流量来识别用户访问的网页。攻击背后的原理是，对访问页面的一级域名及其嵌入页面中的资源的后续解析（我们称之为DoH跟踪）可以作为一个识别的指纹。由于DoT和DoH没有隐藏这些域的大小，对手可以从加密流量中提取这些指纹。原文未给出具体数据。
研究结果与建议
我们发现，对手可以通过分析DoH流量识别大约70%的用户访问的黑名单网页。即使在DNS加密的情况下，审查也是可行的。基于我们的发现，包括Cloudflare在内的CDN已经默认启用了其DoH解析器的填充——这是我们建议所有解析器都应做的事情。然而，当前的基于EDNS0的填充措施并不充分。DNS-over-Tor有潜力成为对抗DoH流量分析的有效对策。DNS基于指纹的流量比Web流量更频繁：与典型的Web流量相比，DNS请求和响应较短，大小变化不大。
实际意义
对于运维和网络工程师来说，这一研究结果意味着即使使用了加密DNS，用户隐私仍然可能受到威胁。了解这些风险对于设计有效的网络安全策略至关重要。网络工程师需要考虑实施额外的安全措施，如DNS-over-Tor，以增强用户隐私保护。同时，CDN和其他DNS解析器服务提供商应考虑增强其填充措施，以减少基于DNS流量的分析风险。
总结来说，尽管DoH和DoT提供了对DNS通信的加密，但它们并不能完全防止基于流量分析的监控和审查。网络工程师和运维人员需要意识到这一点，并采取适当的措施来保护用户隐私。
原文: APNIC Blog（2019-10-22）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog