[논문 리뷰] Encrypted DNS --> Privacy? A Traffic Analysis Perspective.

Sandra Siby, Marc Juárez외 3명|arXiv (Cornell University)|2019. 06. 24.

Internet Traffic Analysis and Secure E-voting참고 문헌 50인용 수 26

한 줄 요약

이 논문은 암호화된 DNS(DoH/DoT)가 트래픽 분석 공격으로부터 사용자 프라이버시를 완전히 보호하지 못함을 입증한다. DNS의 돌발적이고 빈번한 특성에 맞춰 설계된 새로운 로컬 트래픽 특징을 도입함으로써, HTTPS 공격에 비해 124배 적은 데이터로도 높은 정확도의 웹사이트 지문 분석이 가능함을 보여주며, 암호화된 DNS 트래픽에서도 검열 및 감시가 여전히 가능함을 시사한다.

ABSTRACT

Virtually every connection to an Internet service is preceded by a DNS lookup which is performed without any traffic-level protection, thus enabling manipulation, redirection, surveillance, and censorship. To address these issues, large organizations such as Google and Cloudflare are deploying recently standardized protocols that encrypt DNS traffic between end users and recursive resolvers such as DNS-over-TLS (DoT) and DNS-over-HTTPS (DoH). In this paper, we examine whether encrypting DNS traffic can protect users from traffic analysis-based monitoring and censoring. We propose a novel feature set to perform the attacks, as those used to attack HTTPS or Tor traffic are not suitable for DNS' characteristics. We show that traffic analysis enables the identification of domains with high accuracy in closed and open world settings, using 124 times less data than attacks on HTTPS flows. We find that factors such as location, resolver, platform, or client do mitigate the attacks performance but they are far from completely stopping them. Our results indicate that DNS-based censorship is still possible on encrypted DNS traffic. In fact, we demonstrate that the standardized padding schemes are not effective. Yet, Tor -- which does not effectively mitigate traffic analysis attacks on web traffic -- is a good defense against DoH traffic analysis.

연구 동기 및 목표

• 암호화된 DNS 프로토콜인 DoH 및 DoT이 트래픽 분석 공격으로부터 사용자 프라이버시를 진정으로 보호하는지 조사하기.
• EDNS0 패딩 및 Tor와 같은 기존 트래픽 분석 방어 기법의 암호화된 DNS에 대한 한계를 규명하기.
• 특히 첫 번째 DoH 쿼리를 차단하는 방식으로 암호화된 트래픽에서 DNS 기반 검열의 가능성을 평가하기.
• 웹 트래픽과는 달리 DNS가 지닌 고유한 특성에 맞춰, 암호화된 DNS 트래픽에서 웹사이트 지문 분석에 효과적인 새로운 특징 집합을 개발하기.
• 환경적 요인(예: 클라이언트, 플랫폼, 레졸버, 위치)이 공격 성능에 미치는 영향을 평가하고, 이를 해결하기 위한 대응 전략을 탐색하기.

제안 방법

• DNS 트래픽의 돌발적이고 빈번한 특성에 특화된 로컬 트래픽 특징(예: 패킷 간 도착 간격, 크기, 순서 패턴 등)을 중심으로 한 새로운 특징 집합을 설계한다.
• 다양한 클라이언트, 플랫폼, 레졸버 및 지리적 위치에서 수집한 암호화된 DNS 트레이스를 기반으로 기계학습 모델(예: 랜덤 포레스트)을 훈련시켜 요청된 도메인을 식별한다.
• 폐쇄형 환경(알려진 환경)과 개방형 환경(미지의 환경) 설정 모두에서 공격 성능을 평가하며, 이는 교차 환경 추론도 포함된다.
• 표준 방어 기법의 효과를 측정한다: Cloudflare 및 Google에서 구현한 EDNS0 패딩과 Tor을 통한 전송 계층 방식.
• 첫 번째 DoH 쿼리를 차단할 경우 비블랙리스트 도메인에 미치는 부작용을 분석함으로써 DNS 기반 검열의 부작용을 정량화한다.
• 실제 공용 레졸버(예: Cloudflare, Google)에서 수집한 DoH 트레이스와 시뮬레이션 워크로드를 활용해 다양한 구성에서 공격를 시뮬레이션하고 검증한다.

실험 결과

연구 질문

• RQ1 암호화된 DoH 트래픽에서조차 트래픽 분석 공격이 요청된 웹사이트를 정확하게 식별할 수 있는가?
• RQ2 암호화된 DNS에서의 트래픽 분석 공격 성능은 HTTPS 공격과 비교해 어떻게 되며, 데이터 효율성 향상은 어느 정도인가?
• RQ3 클라이언트 유형, 플랫폼, 레졸버 또는 지리적 위치와 같은 환경적 요인이 공격 성공률에 어느 정도 영향을 미치는가?
• RQ4 EDNS0와 같은 표준화된 패딩 메커니즘이 암호화된 DNS에서 트래픽 분석 공격을 효과적으로 완화하는가?
• RQ5 Tor나 기타 일정한 크기의 패킷화 기법은 DoH 트래픽 분석에 효과적으로 대응할 수 있으며, 전통적 방어 기법과 비교해 어떤가?

주요 결과

• 제안된 특징 집합은 최첨단 HTTPS 트래픽 분석 공격에 비해 124배 적은 데이터로도 암호화된 DoH 트래픽에서 웹사이트 지문 분석을 가능하게 한다.
• 트래픽 분석 공격은 공격자가 클라이언트 환경을 사전에 알지 못하더라도 요청된 웹사이트를 식별하는 데 높은 정확도(일부 설정에서 90% 이상)를 달성한다.
• 환경 불일치(예: 다른 클라이언트에서 훈련한 모델을 다른 클라이언트에서 공격)는 공격 성능을 저하시키지만, 제안된 특징은 이러한 차이를 추론하고 적응함으로써 높은 정확도를 유지할 수 있다.
• 표준화된 EDNS0 패딩은 패딩 오버헤드가 매우 클 경우를 제외하고는 트래픽 분석 공격을 방지하는 데 효과적이지 않으며, 실세계 구현에서는 비현실적이다.
• Tor는 DoH 트래픽 분석에 대해 강력한 보호를 제공하며, EDNS0 패딩 및 기타 방어 기법보다 뛰어난 성능을 보이지만, 웹 트래픽 지문 분석에선 제한된 보호 기능을 제공한다.
• 한 도메인의 첫 번째 DoH 쿼리를 차단할 경우, 상위 100만 개 웹사이트 중 최대 8.6%에 영향을 미치며, 차단된 사이트의 중앙 순위는 국가에 따라 크게 달라져, 이러한 검열 전략이 효과적이면서도 비용이 크다는 점을 시사한다.