Resumo

  • Martine Sophie Lenders e coautores testaram se um classificador conseguiria separar quadros DNS criptografados de quadros de dados de aplicação em cenários de IoT restrita.
  • Com transferência em blocos do CoAP e compressão de cabeçalhos SCHC, a precisão do Random Forest caiu para 77%–86%, conforme os formatos; o último bloco ainda carregava uma pista.

A criptografia pode esconder o conteúdo de uma consulta DNS e deixar o pacote reconhecível no caminho. Para um sensor pequeno, esconder também o formato tem preço: mais bytes, fragmentação e consumo de energia disputam espaço com uma ligação curta e lenta.

Martine Sophie Lenders pesquisa esse limite. O perfil oficial da TU Dresden a identifica como pesquisadora associada na área de Distributed and Networked Systems e doutoranda na Freie Universität Berlin. Em um artigo de 2026 com Thomas C. Schmidt e Matthias Wählisch, ela troca a pergunta mais comum — “o DNS está criptografado?” — por outra mais precisa: dá para reconhecer o tráfego DNS sem ler a consulta?

O RFC 9953, com Lenders como primeira autora, define DNS over CoAP para dispositivos restritos e permite proteger mensagens CoAP com TLS, DTLS ou OSCORE. O padrão organiza uma troca criptografada. A forma externa do pacote ainda pode contar se ele leva DNS ou dados de aplicação.

Para medir essa diferença, a equipe montou um corpus com 58.768 objetos de dados e modelou 296 cenários de resolução, combinando configurações de rede e protocolo. Comparou seis classificadores, escolheu Random Forest para analisar cabeçalhos e avaliou os resultados com validação cruzada em cinco partes. O alvo era classificar um quadro como DNS ou dados — não recuperar a consulta, o domínio pedido ou a identidade do dispositivo.

A combinação de transferência em blocos do CoAP com compressão de cabeçalhos SCHC por par reduziu a precisão de classificação para uma faixa de 77%–86%, dependendo dos formatos de DNS e dos dados. O bloco final continuava revelador porque seu comprimento não era igualado.

Lenders e seus coautores transformam uma limitação de hardware em ferramenta de privacidade. O CoAP pode enviar mensagens em blocos de tamanho fixo; o SCHC pode omitir ou comprimir campos que expõem demais o pacote. O último bloco continua pedindo atenção. O estudo considera preenchê-lo até o tamanho completo, mas aponta o custo de aumentar pacotes e provocar fragmentação em enlaces de baixa potência.

Por isso, “criptografado” não encerra o trabalho. Alguém decide quais cabeçalhos ficam, onde os blocos terminam e quem mantém as regras de compressão. O resultado de Lenders devolve essas escolhas ao desenho do protocolo e à operação dos dispositivos.

Para sair dos cenários construídos e chegar a uma conclusão operacional, faltam capturas de pacotes de implantações reais de DNS over CoAP; os autores apontam esse próximo passo. Fontes: a publicação da TU Dresden, o artigo original, RFC 9953 e o perfil de Lenders na TU Dresden.