[論文レビュー] Encrypted DNS --> Privacy? A Traffic Analysis Perspective.

Sandra Siby, Marc Juárez+3 more|arXiv (Cornell University)|Jun 24, 2019

Internet Traffic Analysis and Secure E-voting参考文献 50被引用数 26

ひとこと要約

この論文は、暗号化DNS（DoH/DoT）がトラフィック分析攻撃からユーザーのプライバシーを完全に保護しないことを示している。DNSのバースト的でチャットが多い特性に特化した、新たなローカルトラフィック特徴量を導入することで、HTTPS攻撃に比べて124倍少ないデータ量で高精度なウェブサイトフォグプロイニングを達成した。これは、暗号化DNSトラフィックであっても、検閲と監視が依然として可能であることを示している。

ABSTRACT

Virtually every connection to an Internet service is preceded by a DNS lookup which is performed without any traffic-level protection, thus enabling manipulation, redirection, surveillance, and censorship. To address these issues, large organizations such as Google and Cloudflare are deploying recently standardized protocols that encrypt DNS traffic between end users and recursive resolvers such as DNS-over-TLS (DoT) and DNS-over-HTTPS (DoH). In this paper, we examine whether encrypting DNS traffic can protect users from traffic analysis-based monitoring and censoring. We propose a novel feature set to perform the attacks, as those used to attack HTTPS or Tor traffic are not suitable for DNS' characteristics. We show that traffic analysis enables the identification of domains with high accuracy in closed and open world settings, using 124 times less data than attacks on HTTPS flows. We find that factors such as location, resolver, platform, or client do mitigate the attacks performance but they are far from completely stopping them. Our results indicate that DNS-based censorship is still possible on encrypted DNS traffic. In fact, we demonstrate that the standardized padding schemes are not effective. Yet, Tor -- which does not effectively mitigate traffic analysis attacks on web traffic -- is a good defense against DoH traffic analysis.

研究の動機と目的

• 暗号化DNSプロトコル（例：DoH, DoT）が、トラフィック分析攻撃からユーザーのプライバシーを真に保護するかどうかを調査すること。
• EDNS0パディングやTorなどの既存のトラフィック分析防御の限界を、暗号化DNSに対して特定すること。
• 特に最初のDoHクエリをブロックすることによるDNSベースの検閲の実現可能性を評価すること。
• DNSのウェブトラフィックとは異なる特徴を考慮し、暗号化DNSトラフィックからのウェブサイトフォグプロイニングに効果的な新しい特徴量セットを構築すること。
• 環境要因（例：クライアント、プラットフォーム、リゾルバ、場所）が攻撃性能に与える影響を評価し、緩和戦略を検討すること。

提案手法

• DNSトラフィックのバースト的でチャット的な性質に特化した、パケット間隔、サイズ、シーケンスパターンなどのローカルでフロー単位の特徴量に焦点を当てた、新たなトラフィック特徴量セットを設計すること。
• 多様なクライアント、プラットフォーム、リゾルバ、地理的場所から収集した暗号化DNSトレースを用いて、機械学習モデル（例：ランダムフォレスト）を訓練し、要求されたドメインを特定すること。
• クローズドワールド（既知の環境）およびオープンワールド（未知の環境）の両設定において攻撃性能を評価し、クロス環境推論を含む。
• 標準的な防御の有効性を測定する：CloudflareおよびGoogleで実装されたEDNS0パディングと、トランスポート層としてのTor。
• DNSベースの検閲における副作用損傷を定量化する。特に、最初のDoHクエリをブロックした場合、ブラックリストにないドメインに与える影響を分析する。
• 公開リゾルバ（例：Cloudflare, Google）からの実世界のDoHトレースと、合成ワークロードを用いて、さまざまな構成での攻撃をシミュレートおよび検証する。

実験結果

リサーチクエスチョン

• RQ1 暗号化DoHトラフィックであっても、トラフィック分析攻撃がウェブサイトを正確に特定できるか？
• RQ2 暗号化DNSにおけるトラフィック分析攻撃の性能は、HTTPSにおけるものと比べてどうか。データ効率の向上はどの程度か？
• RQ3 クライアントタイプ、プラットフォーム、リゾルバ、地理的場所といった環境要因が、攻撃成功率にどの程度影響を与えるか？
• RQ4 EDNS0のような標準化されたパディング機構は、暗号化DNSにおけるトラフィック分析攻撃を効果的に緩和できるか？
• RQ5 Torやその他の定常的パケット化技術は、DoHトラフィック分析に対して効果的な防御となり得るか。従来の防御と比較してどうか？

主な発見

• 提案された特徴量セットにより、最新のHTTPSトラフィック分析攻撃に比べて124倍少ないデータ量で、暗号化DoHトラフィックからのウェブサイトフォグプロイニングが可能となった。
• トラフィック分析攻撃は、攻撃者がクライアント環境を事前に知らない状況でも、高精度（一部の設定では90％以上）で要求されたウェブサイトを特定できた。
• 環境の不一致（例：あるクライアントで学習し、別のクライアントで攻撃する）により攻撃性能が低下するが、提案された特徴量は攻撃者がこれらの差異を推定・適応可能にし、高い精度を維持した。
• 標準化されたEDNS0パディングは、パディングのオーバーヘッドが非常に大きい場合を除き、トラフィック分析攻撃を防ぐのに効果がなかった。これは実世界の展開では現実的ではなかった。
• TorはDoHトラフィック分析に対して強く保護を提供し、EDNS0パディングや他の防御を上回ったが、ウェブトラフィックフォグプロイニングに対する保護は限定的であった。
• ドメインの最初のDoHクエリをブロックすることは、上位100万サイトのうち最大8.6％のサイトに副作用損傷を引き起こし、国ごとにブロック対象サイトの中央順位に顕著な差が見られた。これは、このような検閲戦略が効果的である一方で、コストも伴うことを示している。