Zusammenfassung

  • Martine Sophie Lenders und ihre Mitautoren prüften, ob ein Klassifikator verschlüsselte DNS-Frames von Anwendungsdaten in ressourcenarmen IoT-Szenarien unterscheiden kann.
  • CoAP-Blockübertragung und SCHC-Header-Kompression senkten die Random-Forest-Genauigkeit je nach Format auf 77%–86%; die Länge des letzten Blocks blieb ein Hinweis.

Verschlüsselung macht eine DNS-Anfrage unlesbar. Sie nimmt dem Paket nicht seine Silhouette. Wer den Funkverkehr beobachtet, kann an Längen und verbliebenen Headern noch erkennen, welche Frames DNS transportieren. Bei einem kleinen IoT-Gerät ist das Verbergen dieser Kontur kein Gratis-Update: zusätzliche Bytes konkurrieren mit Speicher, Energie und knapper Funkkapazität.

Martine Sophie Lenders untersucht genau diese Lücke. TU Dresden führt sie als wissenschaftliche Mitarbeiterin im Bereich Distributed and Networked Systems und als Doktorandin an der Freie Universität Berlin. In ihrer Arbeit von 2026 mit Thomas C. Schmidt und Matthias Wählisch lautet die Frage nicht, ob die Anfrage verschlüsselt ist. Sie lautet: Kann ein Klassifikator DNS-Verkehr erkennen, ohne die Anfrage zu lesen?

Der RFC 9953, bei dem Lenders an erster Stelle steht, definiert DNS over CoAP für beschränkte Geräte und erlaubt den Schutz von CoAP-Nachrichten durch TLS, DTLS oder OSCORE. Das Protokoll schützt den Nachrichtenaustausch. Die äußere Paketform kann weiterhin verraten, ob DNS oder Anwendungsdaten unterwegs sind.

Für die Messung bauten die Forschenden einen Korpus aus 58.768 Datenobjekten und modellierten 296 Varianten der Namensauflösung mit unterschiedlichen Netzwerk- und Protokolleinstellungen. Sie verglichen sechs Klassifikatoren, wählten Random Forest für die detaillierte Headeranalyse und prüften die Leistung mit fünffacher Kreuzvalidierung. Das Ziel war die Einordnung „DNS-Frame“ oder „Daten-Frame“ – nicht der Anfrageinhalt, der gesuchte Domainname oder die Identität eines einzelnen Geräts.

Die Gegenmaßnahmen drücken das Signal, löschen es aber nicht. Mit CoAP-Blockübertragung und paarbezogenen SCHC-Regeln zur Header-Kompression lag die Klassifikationsgenauigkeit je nach DNS- und Datenformat zwischen 77% und 86%. Der letzte Block blieb oft erkennbar, weil seine Länge nicht angeglichen war.

Lenders und ihre Mitautoren machen aus knapper Hardware einen Hebel für mehr Privatsphäre. CoAP kann Nachrichten in Blöcken fester Größe übertragen; SCHC kann aufschlussreiche Headerfelder weglassen oder komprimieren. Der letzte Block braucht eine eigene Entscheidung. Die Arbeit untersucht, ihn auf volle Blocklänge aufzufüllen, weist aber auch darauf hin, dass mehr Bytes in stromsparenden Netzen Fragmentierung auslösen können.

Damit endet die Privatsphäre nicht beim Wort „verschlüsselt“. Jemand entscheidet, welche Header bleiben, wie Blöcke enden und wo die Kompressionsregeln liegen. Lenders' Forschung rückt diese Entscheidungen zurück in die Hände der Protokolldesigner und Gerätebetreiber.

Für den Schritt vom modellierten Entwurf zum Betrieb fehlen Paketmitschnitte aus realen DNS-over-CoAP-Installationen; die Autoren nennen sie als nächsten Forschungsbedarf. Quellen: TU Dresdens Publikationsseite, die Originalarbeit, RFC 9953 und Lenders' Profil an der TU Dresden.