Resumen

  • Martine Sophie Lenders y sus coautores probaron si un clasificador podía separar tramas DNS cifradas de tramas de datos de aplicación en escenarios de IoT limitado.
  • Con transferencia por bloques de CoAP y compresión de cabeceras SCHC, la precisión de Random Forest bajó al 77 %–86 % según los formatos; el último bloque aún dejaba una pista.

El cifrado puede cerrar el contenido de una consulta DNS. No borra la silueta del paquete que la transporta. En un sensor pequeño, borrar esa silueta cuesta bytes, energía y capacidad de enlace; rellenar cada hueco puede terminar en más fragmentación.

Martine Sophie Lenders investiga justo ese margen. TU Dresden la identifica como investigadora asociada en su cátedra de Distributed and Networked Systems y doctoranda en Freie Universität Berlin. En un artículo de 2026 con Thomas C. Schmidt y Matthias Wählisch, cambió la pregunta habitual: no si alguien podía leer una consulta cifrada, sino si podía reconocer que una trama transportaba DNS mirando su estructura.

La diferencia importa porque el RFC 9953, con Lenders como primera autora, define DNS over CoAP para dispositivos limitados y permite proteger los mensajes con TLS, DTLS u OSCORE. El protocolo protege el mensaje. La longitud y ciertos campos del paquete todavía pueden contar otra historia.

El equipo armó un corpus con 58.768 objetos de datos y simuló 296 escenarios de resolución con distintas combinaciones de redes y protocolos. Comparó seis clasificadores, eligió Random Forest para estudiar los encabezados y aplicó validación cruzada de cinco particiones. La etiqueta que intentaba predecir era «trama DNS» o «trama de datos»: no el texto consultado, el dominio pedido ni la identidad de un dispositivo.

La mitigación mejora el resultado, pero no borra la señal. Al combinar la transferencia por bloques de CoAP con reglas SCHC específicas para cada par, la precisión de clasificación quedó entre el 77 % y el 86 %, según el formato DNS y el formato de datos. El último bloque seguía delatando su clase porque su longitud no se igualaba.

Lenders y sus coautores convierten una limitación de hardware en una herramienta de privacidad. CoAP puede ordenar el tráfico en bloques de tamaño fijo; SCHC puede omitir o comprimir campos que revelan demasiado sobre el paquete. Pero el último bloque exige una decisión. El artículo estudia rellenarlo hasta completar el tamaño del bloque y advierte que el relleno indiscriminado aumenta los paquetes y puede provocar fragmentación en enlaces de baja potencia.

Por eso, «cifrado» no es la casilla final. Alguien decide qué cabeceras quedan visibles, cómo terminan los bloques y dónde se guardan las reglas de compresión. El trabajo de Lenders devuelve esas decisiones al diseño del protocolo y a quien opera los dispositivos.

El dato que falta para pasar del diseño al funcionamiento cotidiano son capturas de tráfico de despliegues reales de DNS over CoAP; los autores las señalan como trabajo futuro. Fuentes: la publicación de TU Dresden, el artículo original, el RFC 9953 y el perfil de Lenders en TU Dresden.