Кратко

  • Martine Sophie Lenders и соавторы проверили, способен ли классификатор отличить зашифрованные DNS-кадры от кадров с данными приложений в сценариях ограниченного IoT.
  • Блочная передача CoAP и сжатие заголовков SCHC снизили точность Random Forest до 77%–86% в зависимости от форматов; длина последнего блока всё ещё выдавала его тип.

Шифрование может закрыть содержимое DNS-запроса, но не стирает очертания пакета в сети. Наблюдатель может не прочесть вопрос, зато длина и оставшиеся заголовки подскажут, какие кадры несут DNS. Для маленького IoT-устройства скрыть и эту форму — не косметическая настройка: дополнительные байты конкурируют за память, энергию и узкий радиоканал.

Martine Sophie Lenders исследует именно эту границу. По официальному профилю TU Dresden, она работает в области Distributed and Networked Systems и учится в докторантуре Freie Universität Berlin. В статье 2026 года с Thomas C. Schmidt и Matthias Wählisch она задаёт более точный вопрос, чем «зашифрован ли DNS?»: может ли классификатор распознать DNS-трафик, не читая запрос?

Стандарт уже определяет подходящий транспорт. RFC 9953, где Lenders указана первой среди авторов, описывает DNS over CoAP для ограниченных устройств. Сообщения CoAP можно защищать с помощью TLS, DTLS или OSCORE. Содержимое закрыто шифрованием, но внешний вид пакета не превращается автоматически в неразличимые данные приложения.

Чтобы измерить этот разрыв, исследователи собрали набор из 58 768 объектов данных и смоделировали 296 вариантов разрешения имён с разными настройками сети и протоколов. Они сравнили шесть классификаторов, выбрали Random Forest для подробного анализа заголовков и применили пятикратную перекрёстную проверку. Целью была классификация кадра как DNS или данных, а не чтение запроса, определение запрошенного домена или идентификация устройства.

Меры защиты ослабили сигнал, но не убрали его. При сочетании блочной передачи CoAP и правил сжатия заголовков SCHC для каждой пары точность классификации составляла от 77% до 86% — в зависимости от форматов DNS и данных. Последний блок часто оставался заметным, потому что его длину не выравнивали.

Lenders и соавторы превращают ограниченность устройства в инструмент приватности. CoAP может передавать сообщения блоками фиксированного размера; SCHC — убирать или сжимать поля, которые раскрывают лишнее о пакете. Последний блок требует отдельного решения. Авторы рассматривают заполнение до полного размера блока и одновременно отмечают, что лишние байты могут вызвать фрагментацию в сетях с низким энергопотреблением.

Поэтому словом «зашифровано» работа не заканчивается. Кто-то всё равно выбирает видимые заголовки, форму блоков и место хранения правил сжатия. Исследование Lenders возвращает эту ответственность разработчикам протоколов и операторам устройств.

Чтобы перейти от смоделированного результата к выводу об эксплуатации, нужны записи пакетов из реальных развёртываний DNS over CoAP; авторы называют их следующим шагом. Источники: публикация TU Dresden, оригинальная статья, RFC 9953 и профиль Lenders на сайте TU Dresden.