Analysis of DNS Dependencies and their Security Implications in Australia: A Comparative Study of General and Indigenous Populations
本文对比分析了澳大利亚政府域名在一般人群与原住民社区的DNS依赖及中心化程度，通过构建依赖图、IP定位和攻击者模型，揭示了不同人群的安全漏洞及DNS设置对数字鸿沟的影响。
2024-08-23 cs.CR cs.NI
Collusion Resistant DNS With Private Information Retrieval
针对 DoH/ODoH 依赖解析器与代理不合谋假设的问题，本文提出利用单服务器 PIR 的 DNS 扩展 PDNS，并通过原型与轨迹驱动实验证明其可提供强隐私且性能可接受。
2025-07-28 cs.CR cs.NI
Understanding User Awareness and Behaviors Concerning Encrypted DNS Settings
加密域名系统（DNS）的最新发展已导致主要浏览器和操作系统供应商部署加密的DNS功能，通常默认启用各种配置和设置。在许多情况下，默认的加密DNS设置会影响性能和隐私;例如，Firefox的默认DNS设置会将用户的所有DNS查询发送到Cloudflare，这可能会引入新的隐私漏洞。在本文中，我们确认大多数用户都不知道这些发展-关于这些新技术的推出，默认设置的更改以及自定义加密DNS配置以平衡隐私和性能之间的用户偏好的能力。我们的研究结果表明，在浏览器和操作系统中的加密DNS功能的接口的设计者的几个重要的影响，以帮助提高用户对这些设置的认识，并确保用户保留的选择，使他们能够平衡DNS隐私和性能的权衡能力。
2023-02-21 cs.CR cs.HC cs.NI
Padding Ain't Enough: Assessing the Privacy Guarantees of Encrypted DNS
DNS over TLS（DoT）和DNS over HTTPS（DoH）加密DNS，通过向被动攻击者隐藏DNS解析来保护用户隐私。然而，过去的攻击表明，加密的DNS仍然对流量分析敏感。因此，RFC 8467建议在加密之前填充消息，这大大降低了加密流量的特性。在本文中，我们表明，填充单独是不足以对抗DNS流量分析。我们提出了一种新的流量分析方法，结合大小和时间信息来推断用户访问的网站纯粹基于加密和填充的DNS跟踪。为此，我们对DNS序列进行建模，以捕捉通常触发数十个DNS解析而不仅仅是单个DNS事务的网站的复杂性。一项基于Alexa前10 k网站的封闭世界评估显示，攻击者可以在80.2%的网站中对至少一半的测试跟踪进行去匿名化，甚至可以正确标记32.0%的网站的所有跟踪。我们的研究结果破坏了DoT/DoH中最先进的消息填充策略的隐私目标。我们的结论表明，成功的缓解这种攻击必须删除查询响应之间的到达时间间隔的熵。
2019-07-02 cs.CR
Towards Plugging Privacy Leaks in Domain Name System
隐私泄露是一个不幸的和当前互联网域名解析的一个组成部分。用户生成的每个DNS查询向一个或多个DNS服务器揭示该查询的来源和目标。随着时间的推移，用户的浏览行为可能会暴露给几乎不信任或不信任的实体。目前的DNS隐私泄露源于基本的DNS功能，并且不容易通过简单的补丁修复。此外，DNS安全工作（即DNSSEC）忽视了隐私问题，因此可能会传播到未来版本的DNS中。针对当前DNS存在的隐私问题，提出了一种隐私保护域名系统（PPDNS），该系统在域名解析过程中维护隐私。PPDNS基于分布式哈希表（DHT）（一种替代命名基础结构）和计算私有信息检索（cPIR）（一种高级加密构造）。PPDNS利用DHT的索引结构来提高名称解析查询的隐私性，同时利用cPIR来减少带宽敏感客户端的通信开销。我们的分析表明，PPDNS是一个可行的方法，获得更高程度的隐私名称解析查询。PPDNS也是将先进的系统技术与加密技术相结合的示范。
2010-06-19 cs.CR
Analysis of Robust and Secure DNS Protocols for IoT Devices
针对资源受限物联网设备DNS协议鲁棒性选择不明确的问题，本文通过边缘DNS解析器（VNF实现）研究不同DNS安全方法（DNSSec、DoT等）的性能，给出缓存/非缓存响应结果及安全收益，为相关方提供协议选择与实施依据。
2025-02-13 cs.CR cs.NI cs.PF
DNS in the Time of Curiosity: A Tale of Collaborative User Privacy Protection
针对公共DNS解析器可窥探用户活动且加密、政策与中继方案均存在局限的问题，本文提出用户驱动的协同隐私保护方法，在低延迟与低资源开销下减少DNS服务暴露。
2025-09-29 cs.CR
Holes in the Geofence: Privacy Vulnerabilities in "Smart" DNS Services
智能DNS（SDNS）服务会通告对“地理围栏”内容（通常是Netflix或Hulu等视频流媒体网站）的访问，除非客户端位于指定的地理区域内，否则通常无法访问这些内容。SDNS使用简单，无需安装软件。相反，它只要求用户修改其DNS设置以指向SDNS解析器。SDNS解析器“智能地”识别地理围栏域，并且代替其适当的DNS解析，返回位于地理围栏内的代理服务器的IP地址。然后，这些服务器透明地代理用户与其预期目的地之间的流量，允许绕过这些地理限制。本文首次对SDNS服务进行了理论研究。我们确定了一些严重和普遍的隐私漏洞，暴露这些系统的用户信息。其中包括使内容提供方能够识别哪些请求客户端使用SDNS的体系结构弱点。更糟糕的是，我们发现一些SDNS服务的设计中存在缺陷，允许{ \em any}任意第三方（通过IP地址）枚举这些服务的用户，即使所述用户当前离线。我们目前的缓解策略，这些攻击已通过至少一个SDNS提供商在回应我们的调查结果。
2020-12-14 cs.CR cs.NI
Short Paper: On Deployment of DNS-based Security Enhancements
虽然域名系统（DNS）被设计为命名系统，但其特性使得重新利用它来部署新系统变得很有吸引力。这类系统的一个重要类别是加强安全，这项工作有助于了解其部署情况。我们展示了这些解决方案的特点，并在这些应用程序中测量DNS的可靠性。我们调查了这些解决方案与Tor网络的兼容性，信号必要的变化，并报告了Tor DNS解析中令人惊讶的缺点。
2017-02-17 cs.CR
K-resolver: Towards Decentralizing Encrypted DNS Resolution
HTTPS/TLS（DoH/DoT）解析的集中式DNS已开始由主要托管提供商和Web浏览器部署，由于几个隐私问题，引发了互联网活动家和隐私倡导者的争议。此设计决策会导致所有DNS解析的跟踪暴露给第三方解析器，而不是用户访问网络指定的解析器。在这项工作中，我们提出了K-解析器，一个DNS解析机制，分散DNS查询多个DoH解析器，减少暴露给每个单独的解析器的用户的浏览活动的信息量。因此，没有一个解析器可以学习用户的整个Web浏览历史。我们已经实现了一个原型的Mozilla Firefox的方法，并使用它来评估网页加载时间的性能相比，默认的集中式DoH的方法。虽然我们的K-解析器机制对DNS解析时间和网页加载时间有一定的影响，但我们表明，这主要是由于所选DoH服务器的地理位置。当更多配置良好的任播服务器可用时，我们的方法在提高用户隐私的同时产生的开销可以忽略不计。
2020-02-18 cs.CR cs.NI
Security of the DNS Protocol - Implementation and Weaknesses Analyses of DNSSEC
今天，互联网提供了许多关键的应用。因此，对于互联网服务提供商来说，确保操作的可追溯性和安全的数据交换变得非常重要。由于所有这些通信都基于使用域名系统（DNS）协议，因此有必要考虑通过提出该协议的安全版本来增强和保护它，该协议可以纠正DNS协议的全部或部分弱点和漏洞。在这种情况下，DNSsec由IETF创建，以确保DNS数据的完整性和对此类数据源的身份验证。DNSsec是基于公钥密码技术提供不同的安全服务。在本文中，我们将首先介绍DNS协议及其弱点。之后，我们将有兴趣研究DNSsec的实现和数据交换，并对其弱点进行深入分析。
2012-07-30 cs.CR
Mutualized oblivious DNS ($μ$ODNS): Hiding a tree in the wild forest
本文提出一种基于多中继的互化 oblivious DNS（$μ$ODNS）方案，通过用户相互共享可信中继并随机选择后续中继，有效防止中继与解析器串通导致用户身份泄露，在保护隐私的同时保持与现有方案相当的性能。
2021-06-07 cs.CR cs.NI
Security of Patched DNS
尽管DNSSEC的可用性，它可以防止缓存中毒，甚至由MitM攻击者，许多缓存DNS解析器仍然依赖于他们的安全性，以防止中毒，仅仅验证DNS响应包含一些“不可预测的”值，从请求复制。这些值包括16位标识符字段和其他字段，由DNS的不同“补丁”随机化和验证。我们调查了突出的补丁，并展示了攻击者如何规避所有这些补丁，即：-我们展示了攻击者如何规避源端口随机化，在（常见）的情况下，解析器通过不同的NAT设备连接到互联网。- 我们展示了攻击者如何使用一些（符合标准的）解析器来规避IP地址随机化。- 我们展示了攻击者如何规避查询随机化，包括通过预先添加随机现时值和案例随机化（0x20编码）来进行随机化。我们提出了防止攻击的对策;但是，我们相信我们的攻击为采用DNSSEC（或其他MitM安全防御）提供了额外的动机。
2012-05-23 cs.CR
Overcoming DNSSEC Islands of Security: A TLS and IP-Based Certificate Solution
Indian Institute of Technology, Dharwad（印度理工学院达尔瓦德分校）；Singapore Institute of Technology（新加坡理工大学）
本文提出基于TLS和IP的证书方案，解决DNSSEC信任链断裂导致的安全孤岛问题，提升DNS安全性并简化部署。
2025-12-08 cs.CR
Privacy Preserving Passive DNS
创建域名系统（DNS）是为了将Web服务器的IP地址解析为易于记忆的名称。当它最初创建时，安全性并不是一个主要问题;现在，这种固有的安全性和信任的缺乏已经使全球DNS基础设施暴露给恶意行为者。被动DNS数据汇集过程创建包含各种DNS数据元素的数据库，其中一些是个人的，需要加以保护以保护最终用户的隐私。为此，我们建议使用分布式账本技术。我们使用Hyperledger Fabric来创建一个只有授权实体才能访问的许可区块链。所提出的解决方案支持从区块链分类账中存储和检索数据的查询，允许使用被动DNS数据库进行进一步分析，例如用于识别恶意域名。此外，它有效地保护DNS个人数据免受未经授权的实体（包括可能充当潜在恶意内部人员的管理员）的攻击，并仅允许数据所有者对这些数据执行查询。我们通过创建一个概念验证实验设置来评估我们提出的解决方案，该实验设置从网络被动收集DNS数据，然后使用分布式账本技术将数据存储在不可变的账本中，从而提供所有记录的完整历史概述。
2020-08-14 cs.CR
DNS Query Forgery: A Client-Side Defense Against Mobile App Traffic Profiling
针对加密场景下DNS查询泄露用户行为模式、易被流量画像攻击的问题，提出基于查询伪造的客户端隐私框架，经实验验证可在低开销下有效提升隐私保护效果。
2025-05-14 cs.CR cs.NI
Proving DNSSEC Correctness: A Formal Approach to Secure Domain Name Resolution
Palo Alto Networks（帕洛阿尔托网络）；University of California, Irvine（加州大学尔湾分校）；Purdue University（普渡大学）；The University of Texas at Dallas（德克萨斯大学达拉斯分校）
本文提出DNSSECVerif框架，通过形式化方法验证DNSSEC协议的安全性，揭示关键漏洞并验证实际影响。
2025-12-12 cs.CR cs.FL cs.NI
Encrypted DNS --> Privacy? A Traffic Analysis Perspective
实际上，每一个与互联网服务的连接都是在没有任何流量级保护的情况下进行DNS查找，从而实现操纵、重定向、监视和审查。为了解决这些问题，Google和Cloudflare等大型组织正在部署最近标准化的协议，这些协议可以加密最终用户和递归解析器（如DNS-over-TLS（DoT）和DNS-over-HTTPS（DoH））之间的DNS流量。在本文中，我们研究加密DNS流量是否可以保护用户免受基于流量分析的监控和审查。我们提出了一个新的功能集来执行攻击，因为那些用于攻击HTTPS或Tor流量不适合DNS的特性。我们表明，流量分析可以在封闭和开放世界设置中高精度地识别域，使用的数据比HTTPS流攻击少124倍。我们发现，位置、解析器、平台或客户端等因素确实会降低攻击性能，但它们远不能完全阻止攻击。我们的研究结果表明，基于DNS的审查仍然是可能的加密DNS流量。事实上，我们证明了标准化的填充方案是无效的。然而，Tor --它不能有效地减轻对Web流量的流量分析攻击--是对DoH流量分析的一个很好的防御。
2019-10-06 cs.CR
Recent Trends on Privacy-Preserving Technologies under Standardization at the IETF
本文综述了IETF正在标准化的IP层及以上的隐私保护技术，涵盖加密DNS、隐私通行证协议、通行密钥、私有中继与MASQUE，帮助相关人员了解隐私设计选项。
2023-06-18 cs.CR cs.NI
Authenticated and Secure Automotive Service Discovery with DNSSEC and DANE
汽车软件化正在取得进展，未来的汽车预计将在多用途计算单元上运行面向服务的架构，这些计算单元通过高速以太网骨干网互连。AUTOSAR体系结构预见了一个称为SOME/IP的通用中间件，它在以太网和IP之上提供服务原语、接口和应用协议。SOME/IP缺乏强大的安全架构，尽管安全性是未来互联网连接车辆的关键。本文提出了一种基于DNSSEC和DANE的认证和证书管理方案，增强了SOME/IP服务发现。我们认为，部署经过充分验证，广泛测试的标准协议应该作为汽车中强大而可靠的安全基础设施的适当基础。我们的解决方案能够在离线场景中实现按需服务身份验证，轻松在线更新，并且不会发生证明冲突。我们评估了我们对通用vsomeip堆栈的扩展，并找到了完全符合汽车操作的性能值。
2023-03-27 cs.CR cs.NI
Domain Name System Security and Privacy: Old Problems and New Challenges
域名系统（DNS）是当今互联网操作中的重要协议，并且是域名（易于人类阅读、理解和记忆的名称）与互联网资源的IP地址之间的标准命名约定。关于DNS的大量研究活动，特别是关于安全和隐私的研究活动表明，这一领域的所有问题都得到了解决。然而，现实情况是，尽管有大量关于DNS各个方面的文献，但仍有许多挑战需要解决。在本文中，我们回顾了研究界在DNS操作，安全和隐私方面的各种活动，并概述了需要解决的各种挑战和开放的研究方向。
2016-06-22 cs.CR
Don't Get Hijacked: Prevalence, Mitigation, and Impact of Non-Secure DNS Dynamic Updates
本文研究了非安全 DNS 动态更新导致的区域投毒等安全风险，通过分析超 3.53 亿域名发现大量漏洞，并联合 CSIRTs 进行通知修复，最终使 98% 的脆弱域名得到有效且持久的缓解。
2024-05-30 cs.CR cs.NI
Evaluating the Security of a DNS Query Obfuscation Scheme for Private Web Surfing
域名系统（DNS）不提供查询隐私。查询混淆方案已被提出来克服这一限制，但到目前为止，他们还没有在现实的环境中进行评估。在本文中，我们评估的安全性随机设置范围查询方案在现实世界中的网络冲浪的情况下。我们证明，该计划没有充分混淆的特征查询模式，它可以被对手用来确定访问过的网站。我们还说明了如何挫败攻击，并讨论实际的挑战。我们的研究结果表明，以前公布的范围查询的评估可能会给一个错误的感觉，可达到的安全性，因为他们不考虑查询之间的任何相互依赖性。
2016-03-21 cs.CR
LLUAD: Low-Latency User-Anonymized DNS
KTH Royal Institute of Technology（皇家理工学院）
针对DNS隐私威胁，提出LLUAD方案，通过本地存储隐私保护的流行度列表、新颖投票混合网络匿名化用户投票，实现低延迟的用户匿名化DNS。
2026-08-11 cs.CR
ss2DNS: A Secure DNS Scheme in Stage 2
提出ss2DNS方案，利用分层信任模型和短期委派副本，在保持单次往返效率的同时缓解DNS解析过程的安全与隐私漏洞，无需复制长期私钥，性能优于DNS-over-TLS。
2025-06-26 cs.CR
ODoQ: Oblivious DNS-over-QUIC
Indian Institute of Technology (IIT) Dharwad（印度理工学院达瓦德分校）；Singapore Institute of Technology（新加坡理工学院）
ODoQ通过结合QUIC协议和中间代理服务器，在保护用户隐私和降低解析延迟之间取得平衡。
2025-12-08 cs.CR
PDoT: Private DNS-over-TLS with TEE Support
互联网域名系统（DNS）的安全和隐私一直是人们长期关注的问题。最近，有一种趋势是使用传输层安全性（TLS）来保护DNS流量。然而，至少还有两个主要问题：（1）客户端如何以可伸缩和可扩展的方式对DNS-over-TLS端点进行身份验证;以及（2）客户端如何信任端点按预期行事？在本文中，我们提出了一种新的私有DNS-over-TLS（PDoT）架构。PDoT包括在可信执行环境（TEE）内操作的DNS递归解析器（RecRes）。使用远程证明，DNS客户端可以进行身份验证，并获得PDoT RecRes可信度的强有力保证。我们提供了PDoT的开源概念验证实现，并使用它来实验证明其延迟和吞吐量与流行的Unbound DNS-over-TLS解析器相匹配。
2019-09-25 cs.CR
The Availability and Security Implications of Glue in the Domain Name System
域名系统（DNS）是互联网最基本的组成部分之一。虽然胶水被广泛使用，并在DNS操作中严重依赖，但很少考虑这种流行配置的必要性，复杂性和可靠性。这项工作是第一个提供广泛和系统的分析DNS胶水。它讨论了胶水的可用性影响，并提出了在可用性方面的最低胶水记录。它还确定了胶水的安全漏洞以及当前对策的局限性。测量结果表明，胶水冗余和胶水漏洞的广泛发生。
2016-05-04 cs.CR
Assessing the Privacy Benefits of Domain Name Encryption
随着互联网用户越来越了解他们的互联网通信被观察的可能性，网络流量加密技术的使用（例如，HTTPS/TLS）正在崛起。但是，即使启用了加密，用户也会通过DNS查询和TLS的服务器名称指示（SNI）扩展泄漏有关其访问的域的信息。最近有两个改善这个问题的提案是DNS over HTTPS/TLS（DoH/DoT）和加密SNI（ESNI）。在本文中，我们的目标是评估这些建议的隐私利益，考虑主机名和IP地址之间的关系，后者仍然暴露。我们从全球九个有利位置进行DNS查询，以描述这种关系。我们量化了ESNI为不同的托管和CDN提供商提供的隐私增益，使用两个不同的指标，由于共同托管和IP地址变化的动态的k-匿名程度。我们发现，20%的域研究将不会获得任何隐私的好处，因为他们有一个一对一的映射之间的主机名和IP地址。另一方面，30%的域名将在k值大于100的情况下获得显著的隐私优势，因为这些域名与100多个其他域名共同托管。访问者隐私将得到有意义改善的域名远不受欢迎，而对于受欢迎的域名，好处并不显著。分析长期域名的IP地址动态，我们发现只有7.7%的域名每天都会更改其托管IP地址。最后，我们讨论了网站所有者和托管/CDN提供商的潜在方法，以最大限度地提高ESNI的隐私优势。
2020-07-08 cs.CR cs.NI
Domain Name Encryption Is Not Enough: Privacy Leakage via IP-based Website Fingerprinting
虽然域名加密技术（如DNS over TLS（DoT）、DNS over HTTPS（DoH）和加密客户端Hello（ECH））的安全优势是显而易见的，但它们对用户隐私的积极影响却被仍然暴露的IP地址信息所削弱。然而，内容分发网络、基于DNS的负载均衡、不同网站在同一服务器上的共同托管以及IP地址流失都导致域-IP映射不稳定，并阻止直接的基于IP的浏览跟踪。在本文中，我们表明，这种不稳定性是不是一个障碍（假设一个通用的DoT/DoH和ECH部署），通过引入基于IP的网站指纹技术，允许网络级的观察员，以确定在规模的网站用户访问。我们的技术利用了大多数网站的复杂结构，这些网站除了主要的网站之外，还从多个域加载资源。使用超过20万个网站的指纹，我们可以成功地识别84%的网站。对于热门网站，准确率提高到92%，对于热门和敏感网站，准确率提高到95%。我们还评估了生成的指纹随着时间的推移的鲁棒性，并证明它们在两个月后仍然可以有效地成功识别约70%的测试网站。最后，我们讨论了网站所有者和托管服务提供商的策略，以阻止基于IP的网站指纹识别，并最大限度地提高DoT/DoH和ECH提供的隐私优势。
2021-06-16 cs.CR cs.NI
Quantum-Resistant Domain Name System: A Comprehensive System-Level Study
本文提出PQC-DNS统一框架，通过集成OQS库将后量子密码原语应用于DNSSEC、DoT和DoH，系统评估了后量子算法对DNS性能与安全的影响，为部署抗量子DNS提供了实用指导。
2025-06-24 cs.CR cs.NI cs.PF
Off-Path Hacking: The Illusion of Challenge-Response Authentication
每个人都关心互联网安全，但大多数流量都没有加密保护。通常的理由是，大多数攻击者只是偏离路径，无法拦截流量;因此，挑战-响应机制足以确保真实性。通常，挑战会重用现有的“不可预测”报头字段来保护广泛部署的协议，如TCP和DNS。我们认为，这种做法往往只会给人一种安全的错觉。我们介绍了最近的离线TCP注入和DNS中毒攻击，使攻击者能够规避现有的挑战响应防御。TCP和DNS攻击都是不平凡的，但非常有效和实用。这些攻击挫败了广泛部署的安全机制，如同源策略，并允许广泛的利用，例如，恶意对象和脚本的长期缓存。我们希望这篇文章能够促进加密机制（如SSL/TLS、SSL和DNSSEC）以及正确、安全的挑战-响应机制的采用。
2013-05-03 cs.CR
Injection Attacks Reloaded: Tunnelling Malicious Payloads over DNS
传统的互联网协议设计原则是：“发送时严格，接收时宽容”[RFC 1958]，DNS也不例外。DNS在处理DNS记录方面的透明度，也是专门针对DNS [RFC 3597]标准化的，是使其成为如此受欢迎的平台的关键特征之一，从而促进了不断增加的新应用程序。应用程序只需创建一个新的DNS记录，并可以立即开始通过DNS分发它，而无需对DNS服务器和平台进行任何更改。我们在互联网范围内的研究证实，超过130万（96%的测试）的开放DNS解析器符合标准，并透明地处理DNS记录。在这项工作中，我们表明，这种“透明度”在互联网上引入了一个严重的漏洞：我们展示了一种新的方法来启动字符串注入攻击编码到DNS记录的恶意有效载荷。我们将展示如何将这些DNS记录作为武器来攻击流行的应用程序。例如，我们应用字符串注入来发起一种新型的DNS缓存中毒攻击，我们对开放解析器进行了评估，发现105K是脆弱的。这种缓存中毒无法通过DNSSEC的常见设置来防止。我们的攻击适用于内部和公共服务，例如，我们发现所有eduroam服务都容易受到我们的注入攻击，使我们能够发起从未经授权访问eduroam网络到资源匮乏的漏洞利用。根据应用程序的不同，我们的攻击会导致系统崩溃、数据损坏和泄漏、安全性降低，并可能引入远程代码执行和任意错误。在我们对互联网攻击的评估中，我们发现我们测试的所有符合标准的开放DNS解析器都允许我们对网络上的…
2022-05-11 cs.CR cs.NI
Detecting Malicious Domains Using Statistical Internationalized Domain Name Features in Top Level Domains
域名系统（DNS）是将域名转换为IP地址的核心Internet服务。它是一个分布式数据库和协议，有许多已知的弱点，受到无数的攻击，包括欺骗攻击，僵尸网络和域名注册。尽管如此，安全和隐私之间的争论仍在继续，即DNS over TLS或HTTP，以及缺乏采用DNS安全扩展，使用户处于危险之中。因此，域名的安全性和恶意网站的特征正在成为优先事项。分析了恶意域名与正常域名的区别，并利用Python语言提取了各种恶意域名的识别特征。此外，本文还提供了支持国际化域名的两类功能，并使用五种工具扫描域名系统，对其进行评级。随机森林分类器的总体准确率为95.6%。
2022-11-15 cs.CR
Understanding the Utilization of Cryptocurrency in the Metaverse and Security Implications
本研究分析了集成加密货币的元宇宙平台的安全行为，通过收集顶级元宇宙代币、域名及whois注册信息，结合virustotal.com的恶意检测数据，揭示了元宇宙网站存在的恶意活动及相关安全风险指标。
2023-11-26 cs.CR
DSTC: DNS-based Strict TLS Configurations
大多数TLS客户端（如现代Web浏览器）强制执行粗粒度的TLS安全配置。它们支持具有已知设计弱点的协议的遗留版本，以及提供较少安全保证的弱密码套件（例如，非前向保密），主要是为了提供向后兼容性。这为降级攻击打开了大门，就像POODLE攻击[18]一样，它利用客户端的静默回退来降级协议版本，以利用遗留版本的缺陷。为了在安全性和向后兼容性之间实现更好的平衡，我们提出了一种基于DNS的机制，该机制使TLS服务器能够宣传其对最新版本协议和强密码套件（同时提供前向保密和身份验证加密）的支持。这使客户端能够考虑有关服务器的TLS配置的先验知识，以实施细粒度的TLS配置策略。也就是说，客户端对去往广告服务器的连接强制执行严格的TLS配置，而对其余连接强制执行默认配置。我们实现和评估所提出的机制，并表明它是可行的，并产生最小的开销。此外，我们对全球访问量最大的10，000个网站进行了TLS扫描，并显示大多数网站都可以从我们的机制中受益。
2018-09-15 cs.CR
Smart Home Survey on Security and Privacy
灵巧家庭是物联网（IoT）范例的一个特殊用例。安全性和隐私性是灵巧家庭网络中的两个主要问题。易受威胁的灵巧家庭可以揭示居住者的生活方式和行为，这可能是一个重要的问题。本文介绍了灵巧家庭的安全需求和威胁，并重点介绍了隐私保护安全模型。我们分类灵巧家庭服务的基础上的空间和时间属性的底层设备到设备和所有者到云的交互。我们提出了一些方法来适应现有的安全解决方案，如距离绑定协议，ISO-KE，SIGMA，TLS，Schnorr，冈本识别计划（IS），彼得森承诺计划，以实现安全和隐私的云辅助家庭区域网络。
2019-05-03 cs.CR cs.NI
From IP to transport and beyond: cross-layer attacks against applications
我们执行的第一次分析的方法启动DNS缓存中毒：操纵在IP层，劫持域间路由和探测开放端口通过侧通道。我们评估这些方法对DNS解析器在互联网上，并比较它们的有效性，适用性和隐形。我们的研究表明，DNS缓存中毒是一个实际和普遍的威胁。然后，我们展示了跨层攻击，利用DNS缓存中毒攻击流行的系统，从安全机制，如RPKI，应用程序，如VoIP。除了更传统的对抗性目标，最显着的模仿和拒绝服务，我们第一次表明，DNS缓存中毒甚至可以使对手绕过加密防御：我们演示了DNS缓存中毒如何促进BGP前缀劫持的网络保护与RPKI，即使所有其他网络应用路由起源验证过滤无效的BGP公告。我们的研究表明，DNS在互联网安全中发挥着比以前想象的更重要的作用。我们建议采取缓解措施来保护应用程序并防止缓存中毒。
2022-05-12 cs.CR
A Lightweight Adaptable DNS Channel for Covert Data Transmission
由于安全在在线通信中的重要作用，以及攻击者正在开发他们的工具这一事实，现代化的安全工具是必不可少的。加密系统的效率已经被证明了多年，但是人们可能需要在不引起注意的情况下进行秘密通信，特别是在传输密钥等秘密数据时。隐通道是利用隐写术的原理来隐藏通信终端以外的数据的合适工具。他们可以在隐蔽的情况下进行安全的通信。工作隐形和提供一个可接受的吞吐量是设计隐蔽通道的问题。DNS协议的属性，如其运行应用程序的必要性和可用性，可以体面地提供上述问题。本文提出了一种利用DNS协议作为数据传输媒介的存储隐蔽通道。其关键特性包括连接建立、对网络环境的适应性、轻量级的混淆方法和满足机密性和完整性的HMAC。实验结果表明，所提出的信道统计是很好地适应正常业务。该信道具有每个分组2.65字节数据的平均容量。
2020-03-31 cs.CR
Secure Consensus Generation with Distributed DoH
许多应用程序和协议依赖于生成服务器池的能力来进行基于多数的共识机制，通常这是通过执行普通DNS查询来完成的。最近针对NTP和使用Chronos [2]进行安全增强的NTP的偏离路径攻击[1]表明，依赖DNS来生成NTP服务器池会引入一个薄弱环节。在这项工作中，我们提出了一个安全的，向后兼容的地址池生成方法，使用分布式DNS的HTTPS（DoH）解析器，旨在防止这种攻击对服务器池生成。
2020-10-19 cs.CR cs.NI
Security, Privacy, and Access Control in Information-Centric Networking: A Survey
以信息为中心的联网（ICN）是一种新的联网范例，其取代了通信网络中广泛使用的以主机为中心的联网范例（例如，互联网、移动自组织网络），其具有以信息为中心的范例，该范例优先传送命名内容，而不考虑内容的来源。内容和客户端安全性在ICN范式中更内在，而当前以主机为中心的范式则是事后才考虑的。通过设计，ICN范式固有地支持几个安全和隐私功能，例如出处和身份隐私，这些功能在以主机为中心的范式中仍然不能有效地使用。然而，鉴于其新生，ICN范式有几个开放的安全和隐私问题，一些存在于旧范式中，一些是新的和独特的。在这篇文章中，我们调查现有的文献中的安全和隐私的研究子空间在ICN。更具体地说，我们探讨了三个广泛的领域：安全威胁，隐私风险和访问控制执行机制。我们提出了现有工作的基本原理，讨论了所提出的方法的缺点，并探讨了潜在的未来研究方向。在广泛的安全领域，我们回顾了攻击场景，如拒绝服务，缓存污染和内容中毒。在广泛的隐私领域，我们讨论了用户隐私和匿名，姓名和签名隐私以及内容隐私。ICN无处不在的缓存特性为访问控制的实施带来了一个需要特别关注的重大挑战。在这个广泛的领域，我们回顾现有的访问控制机制，包括基于防御，基于属性，基于会话，和代理重新加密的访问控制方案。我们总结了调查的经验教训和未来工作的范围。
2017-06-01 cs.CR cs.NI
A survey of security and privacy issues in the Internet of Things from the layered context
物联网（IoT）是一种新颖的范例，其不仅便于大量设备通过互联网无处不在地连接，而且还提供了远程控制这些设备的机制。物联网无处不在，几乎是我们日常生活中不可或缺的一部分。随着设备的连接越来越紧密，隐私和安全问题变得越来越重要，这些问题需要紧急解决。物联网实施和设备非常容易受到威胁，这些威胁可能会危及消费者的安全和隐私，从而影响其实际部署。最近，已经进行了一些研究来保护物联网设备，旨在减轻用户的安全担忧。本文的目的是强调物联网系统中的安全和隐私问题。为此，本文研究了物联网协议栈中每一层的安全问题，确定了潜在的挑战和关键的安全要求，并简要概述了现有的安全解决方案，以保护物联网免受分层环境的影响。
2020-02-25 cs.CR cs.NI
Enhancing Data Privacy In Wireless Sensor Networks: Investigating Techniques And Protocols To Protect Privacy Of Data Transmitted Over Wireless Sensor Networks In Critical Applications Of Healthcare And National Security
本文研究医疗与国家安全关键应用中WSNs的数据隐私保护，梳理相关技术、挑战与影响因素，引入创新扩散理论分析隐私技术采纳，并结合实证研究验证安全方案有效性。
2024-04-17 cs.CR cs.NI
Analyzing Enterprise DNS Traffic to Classify Assets and Track Cyber-Health
本文提出被动分析实时 DNS 流量的无监督聚类方法，用于识别和分类企业 DNS 资产并持续监测其健康，在两个大型组织中验证可发现百余个资产及多类攻击和配置问题。
2022-01-18 cs.CR cs.NI
Entropy-based Prediction of Network Protocols in the Forensic Analysis of DNS Tunnels
DNS隧道技术通常用于恶意目的，但网络安全机制一直在努力检测这些。因此，网络取证分析已经被使用，但已被证明是缓慢的和工作密集的，因为网络取证分析工具难以处理未记录的或新的网络隧道技术。在本文中，我们提出了一种方法，以协助法医分析，通过自动推理的协议隧道内DNS隧道技术。我们分析了DNS隧道技术的内部数据包结构，并描述了不同网络协议及其DNS隧道等效协议的信息熵。由此，我们提出了我们的协议预测方法，使用熵分布平均。最后，我们在一个数据集上应用我们的方法来衡量它的性能，并表明它的预测准确率为75%。我们的方法也保护隐私，因为它不解析实际的隧道内容，而是只计算信息熵。
2017-09-19 cs.CR
Security and Privacy in Future Internet Architectures - Benefits and Challenges of Content Centric Networks
随着我们当前互联网的缺点变得越来越明显，研究人员已经开始为未来的互联网创造替代方法。他们的设计目标主要是面向内容、安全性、对移动性和云计算的支持。可能最流行的架构被称为内容中心网络。每个通信都被视为内容的分发，并在网络中使用缓存来提高效率。虽然以内容为中心的网络的性能增益是肯定的，但存在关于安全性，特别是隐私性的问题，因为它不是其主要设计原则之一。在这项工作中，我们比较了内容为中心的网络方法与当前的互联网方面的安全和隐私。我们分析已经做出的改进和尚未解决的新问题。未来的互联网可能是以内容为导向的，因此必须尽早识别架构固有的潜在安全和隐私问题。
2016-01-13 cs.CR cs.NI
SoK: Evaluating 5G Protocols Against Legacy and Emerging Privacy and Security Attacks
本文提出蜂窝网络隐私与安全攻击研究框架，系统梳理5G前攻击、5G至Release 19的缓解机制及新型5G攻击，并指出开放问题与未来方向。
2024-09-10 cs.CR cs.NI
How BlockChain Can Help Enhance The Security And Privacy in Edge Computing?
为了解决集中式云服务的安全和隐私问题，引入了边缘计算网络，将计算和存储资源分布到网络边缘。然而，原生边缘计算受制于边缘设备性能的限制，这在数据授权、数据加密、用户隐私等领域带来了挑战。区块链是目前分布式网络最热门的技术。它解决了分布式数据的一致性问题，并用于许多领域，如加密货币，智能电网和物联网。我们的工作讨论了边缘计算网络的安全和隐私挑战。从数据授权、加密、用户隐私等角度，分析区块链技术为边缘计算网络带来的解决方案。在这项工作中，我们深入展示了边缘计算网络与区块链技术融合的好处，有效控制了边缘网络的数据授权和数据加密，在确保安全和隐私的前提下增强了架构的可扩展性。最后，我们调查的存储，工作负载和延迟在这一领域的未来研究的挑战。
2021-10-31 cs.CR cs.NI
POPS: From History to Mitigation of DNS Cache Poisoning Attacks
提出DNS缓存投毒预防系统POPS，集成于入侵防御系统，通过三规则检测模块和TC标志缓解模块，可抵御统计型投毒攻击，攻击成功率仅0.0076%，且检测效率优于现有工具。
2025-01-23 cs.CR cs.NI
Security and privacy for 6G: A survey on prospective technologies and challenges
第六代移动通信网络将面临空-空-地一体化网络环境、新技术和可访问用户信息爆炸等多种威胁。然而，就目前而言，6 G的安全和隐私问题在很大程度上仍停留在概念上。该调查基于6 G在物理、连接和服务层的未来技术，以及从现有安全架构和最先进防御的失败中吸取的经验教训，对安全和隐私问题进行了系统概述。两个主要经验教训如下。首先，除了继承前几代的漏洞外，6 G还具有来自新无线电技术的新威胁向量，例如太赫兹频段超大规模MIMO系统中无线电条纹的暴露位置以及对普适智能的攻击。其次，物理层保护、深度网络切片、量子安全通信、人工智能（AI）安全、平台无关安全、实时自适应安全以及分布式账本和差分隐私等新型数据保护机制是最有前途的技术，可以大幅减轻攻击规模和个人数据泄露。
2021-09-01 cs.CR cs.NI
A Metapolicy Framework for Enhancing Domain Expressiveness on the Internet
域名系统（DNS）域成为实体（如公司、组织或个人）在Internet上托管服务和共享资源的Internet级标识符。域可以指定一组安全策略（例如电子邮件和信任安全策略），客户端在访问它们所代表的资源或服务时应遵循这些策略。不幸的是，在当前的互联网中，策略规范和执行是分散的，不全面的，不安全的，并且难以管理。在本文中，我们提出了一个全面的和安全的元政策框架，以提高在互联网上的域的表现力。建议的框架允许域所有者指定，管理和发布他们的域级别的安全策略在现有的DNS基础设施。该框架还利用现有的信任基础设施（即，TLS和DNSSEC）来提供安全性。通过重用现有的基础设施，我们的框架需要最小的变化和采用的要求。我们还讨论了测量的初步结果，以评估当前互联网的哪一部分可以从部署我们的框架中获益。此外，对部署拟议框架的间接费用进行了量化和讨论。
2018-04-12 cs.CR
Ensemble-based Feature Selection and Classification Model for DNS Typo-squatting Detection
Western University（韦仕敦大学）；Royal Commision Yanbu Colleges and Institutes（延布皇家委员会学院与研究所）
域名系统（DNS）在当前基于IP的Internet体系结构中扮演着重要的角色。这是因为它执行域名到IP的解析。然而，DNS协议由于缺乏数据完整性和源认证而存在一些安全漏洞，本文重点研究了其中一个特殊的安全漏洞，即拼写抢注。抢注是指注册一个与现有流行品牌极其相似的域名，目的是将用户重定向到恶意/可疑网站。抢注的危险在于它可能导致信息威胁、企业机密泄露，并可能促进欺诈。本文在文献[1]中提出的基于多数投票的分类器的基础上，提出了一种基于集合的特征选择和装袋分类模型来检测DNS抢注攻击。实验结果表明，该框架实现了高准确性和精度在识别恶意/可疑的拼写抢注域（损失最多1.5%的准确性和5%的精度相比，使用完整的特征集的模型），同时具有较低的计算复杂性，由于较小的特征集（减少超过50%的特征集大小）。
2020-06-08 cs.CR cs.LG cs.NI
LAPRAD: LLM-Assisted PRotocol Attack Discovery
UCLA（加州大学洛杉矶分校）；Tel-Aviv University（特拉维夫大学）
本研究提出三阶段的LAPRAD方法论，借助大语言模型辅助发现DNS协议漏洞，找到3种新型SigCacheFlush类DDoS攻击，可绕过现有补丁、大幅降低解析器服务能力。
2025-10-22 cs.AI cs.CR cs.NI
Optimized Random Forest Model for Botnet Detection Based on DNS Queries
Western University（韦仕敦大学）
域名系统（DNS）协议在当今的互联网中起着重要作用，因为它在网站名称和相应的IP地址之间进行转换。然而，由于缺乏数据完整性和来源身份验证的过程，DNS协议存在一些安全漏洞。这通常会导致各种网络攻击，包括僵尸网络攻击。检测基于DNS的僵尸网络攻击的一个有前途的解决方案是采用基于机器学习（ML）的解决方案。为此，本文提出了一种新的优化ML为基础的框架来检测僵尸网络的基础上，其相应的DNS查询。更具体地说，该框架包括使用信息增益作为特征选择方法和遗传算法（GA）作为超参数优化模型来调整随机森林（RF）分类器的参数。使用最先进的TI-2016 DNS数据集对所提出的框架进行评估。实验结果表明，所提出的优化框架减少了高达60%的特征集大小。此外，与默认分类器相比，它实现了较高的检测准确率，精度，召回率和F分数。这突出了所提出的框架在检测僵尸网络攻击的有效性和鲁棒性。
2020-12-16 cs.CR cs.LG cs.NI
