요약

  • Martine Sophie Lenders와 공동 저자들은 자원이 제한된 IoT 시나리오에서 분류기가 암호화된 DNS 프레임과 애플리케이션 데이터 프레임을 구분할 수 있는지 시험했다.
  • CoAP 블록 전송과 SCHC 헤더 압축을 적용하자 Random Forest 정확도는 형식에 따라 77%–86%로 낮아졌다. 길이를 맞추지 않은 마지막 블록에는 여전히 단서가 남았다.

암호화는 DNS 질의 내용을 가릴 수 있다. 하지만 네트워크를 지나가는 패킷의 윤곽까지 지우지는 않는다. 패킷 길이와 남아 있는 헤더만으로도 관찰자는 어떤 프레임이 DNS를 실었는지 알아낼 수 있다. 메모리와 전력, 링크 용량이 모두 빠듯한 IoT 기기에서는 그 윤곽을 감추는 일이 공짜가 아니다. 바이트를 더 채우면 분할이 늘고, 전송 부담도 커질 수 있다.

Martine Sophie Lenders는 바로 그 경계를 연구한다. TU Dresden 공식 프로필은 그녀를 Freie Universität Berlin의 박사과정 연구자이자 TU Dresden Distributed and Networked Systems의 연구원으로 소개한다. Thomas C. Schmidt, Matthias Wählisch와 함께 낸 2026년 논문은 질문을 바꿨다. “DNS가 암호화됐나?”가 아니라 “질의를 읽지 않고도 DNS 트래픽임을 알아낼 수 있나?”라는 질문이다.

이 문제에는 이미 표준으로 정리된 전송 방식이 있다. Lenders가 첫 저자로 등재된 RFC 9953은 자원이 제한된 기기를 위해 DNS over CoAP를 정의하고, CoAP 메시지를 TLS, DTLS 또는 OSCORE로 보호할 수 있게 한다. 메시지의 기밀성과 패킷이 바깥에서 어떤 모양으로 보이는지는 별개의 설계 문제다.

연구팀은 58,768개의 데이터 객체를 바탕으로 여러 네트워크와 프로토콜 설정을 조합한 296개의 이름 해석 시나리오를 만들었다. 여섯 가지 분류기를 비교한 뒤 헤더 분석에는 Random Forest를 선택했고, 5겹 교차 검증으로 평가했다. 분류 대상은 DNS 프레임인지 데이터 프레임인지였다. 질의 내용이나 요청한 도메인, 개별 기기의 정체를 알아내는 실험은 아니었다.

대책은 흔적을 줄였지만 없애지는 못했다. CoAP 블록 전송에 통신 상대별 SCHC 헤더 압축 규칙을 더하자 DNS 형식과 데이터 형식에 따라 분류 정확도는 77%–86%가 됐다. 마지막 블록의 길이를 맞추지 않아 그곳에 단서가 남았다.

Lenders와 공동 저자들은 기기의 제약을 프라이버시 도구로 돌려 쓴다. CoAP는 데이터를 일정 크기의 블록으로 나눌 수 있고, SCHC는 패킷에 관한 정보를 드러내는 헤더 필드를 생략하거나 압축할 수 있다. 마지막 블록은 따로 다뤄야 한다. 논문은 블록 크기까지 채우는 방식을 검토하면서, 무분별한 패딩이 저전력 링크에서 패킷을 키우고 분할을 부를 수 있다고 설명한다.

그래서 “암호화 완료”라는 표시는 프라이버시 설계의 끝이 아니다. 어떤 헤더를 남길지, 블록을 어떻게 마무리할지, 압축 규칙을 누가 관리할지를 누군가는 정해야 한다. Lenders의 연구는 그 결정을 프로토콜 설계자와 기기 운영자의 몫으로 다시 가져온다.

실제 운영 환경에 대한 결론을 내리려면 DNS over CoAP가 배치된 곳의 패킷 기록이 필요하다고 논문은 제시한다. 출처: TU Dresden 논문 페이지, 논문 원문, RFC 9953, TU Dresden의 Lenders 프로필.