أخفت الحزمة طولها الدقيق وبقي الإيقاع ناطقاً: EDNS Padding وحدود خصوصية DNS

الخلاصة

• يتيح الخيار 12 في EDNS(0) إضافة حشو متغير الطول إلى رسالة DNS مشفرة. وهو يوحّد الحاوية على السلك، لا نتيجة الخصوصية؛ أما كتلة 128 ثمانية للاستعلام و468 للجواب فهي سياسة تجريبية في RFC 8467.
• تصنع الحماية عدة جهات: يختار العميل حشو السؤال، ويختار الخادم حشو الجواب، ويضيف TLS أو HTTP أو QUIC إطاراً ظاهراً، ويفرض المسار كلفة وحدود تجزئة. يبقى التوقيت والعنوان وعدد المبادلات مرئياً.

قد يعلن محللان يعملان عبر DoT أن الحشو مفعّل. يقرّب الأول كل سؤال إلى مضاعف 128 وكل جواب إلى مضاعف 468. ويضيف الثاني 16 بايتاً ثابتاً. كلاهما يرسل خياراً صحيحاً، لكن الثاني يبقي الفروق الأصلية كما هي؛ يستطيع الراصد طرح العدد المعروف واستعادة البصمة.

يحمي التشفير محتوى الوصلة بين العميل والخادم، ولا يحجب تلقائياً طول النص المشفر. تنتج بعض الأسماء وأنواع السجلات ومجموعات الأجوبة أزواج أحجام مميزة. ويمكن لمن جمع أمثلة معروفة أن يحاول مطابقتها من دون فك الاسم.

يقدم RFC 7830 أداة ضيقة عمداً. يحمل سجل OPT الزائف في EDNS الخيار ذي الرمز 12. لا يظهر أكثر من مرة في الرسالة. يحدد حقل الطول عدد ثمانيات الحشو؛ ويجوز أن يكون صفراً رغم أن رأس الخيار نفسه يستهلك أربع ثمانيات. ينبغي أن يرسل المنشئ أصفاراً عادة، لكن على المستقبل قبول قيم أخرى. لا تحمل هذه البايتات معنى DNS.

لم تحدد المواصفة كمية الحشو. وبذلك فصلت اللغة المشتركة عن قرار التشغيل. قارن RFC 8467 لاحقاً بين السياسات واقترح تجريبياً التقريب إلى مضاعفات 128 للأسئلة و468 للأجوبة. تجمع الكتل أطوالاً أصلية كثيرة في فئات مرئية أقل.

لا تمحو الفئة كل معلومة. إذا كان حجم الكتلة معروفاً، تكشف رسالة طولها 256 نطاقاً محصوراً لطولها السابق. ولا يتغير موعد الإرسال ولا الفاصل ولا الاتجاه ولا عدد الأسئلة والأجوبة. قد يبقى التدفق معروفاً بصفته DNS حتى مع التشفير والحشو. أما المرور الوهمي أو إرباك التوقيت فيعالج قنوات أخرى بكلفة أخرى.

ولا يمنح السؤال أمراً بلا حدود. إذا تضمن Padding وجب على المجيب حشو الرد، إلا إذا تجاوز ذلك حجم UDP المسموح. ويمكنه الحشو من تلقاء نفسه عندما يعلن السائل دعم EDNS، لكنه لا يستطيع إضافته لمن لم يعلن ذلك. الإذن مقيد بالسعة، ولا يفرض سياسة جواب مفيدة.

يحوّل المسار الخصوصية إلى مسألة إيصال. يطبق Padding بعد بقية خيارات EDNS لأنه يستهلك المساحة الباقية. ولا تدخل بادئة الطول ذات الثمانيتين في DNS فوق TCP في الحساب، حتى لا يكشف تبديل النقل فئة أخرى لمجرد اختلاف الإطار. قرب MTU قد تسبب الكتل الكبيرة تجزئة غير ضرورية، وفوقه تفرض التجزئة في UDP. ويحظر RFC 7830 الحشو في DNS المكشوف ويحذر من زيادة قابلية التضخيم.

يعيد DoH وDoQ توزيع التحكم. يحمل DoH الحشو داخل قناة HTTPS موثقة، لكن الرؤوس وملفات الارتباط واستمرار الاتصال والتوقيت تترك روابط أخرى. ويمكن لـDoQ حشو رسالة DNS، أو محاذاة حزمة QUIC كاملة إلى أحجام قليلة إذا أتاحت المكتبة ذلك، فتدخل إقرارات الاستلام والتحكم في التدفق في الحساب.

لا يملك طرف واحد النتيجة. يتحكم العميل بالسؤال والمحلل، والخادم بالجواب، ومكتبة النقل بالغلاف الأخير، والشبكة بالحجم الذي يصل بثبات. يثبت تسجيل IANA أن هناك مفردة مشتركة، لا أن التنفيذ موجود أو مفعّل أو ناجح.

اختبار الشيفرة العاملة توزيع لا مربع اختيار. تقارن العمليات الأحجام قبل الحشو وبعده، وعدد الأشكال التي اجتمعت في كل كتلة، ونسبة الأجوبة غير المحشوة، والبايتات المضافة، والقطع والفقد وإعادة المحاولة والتراجع. عندئذ فقط يمكن القول إن مجموعة الإخفاء اتسعت.