Poster: Mind the Gap -- Characterizing the Temporal Blind Spot Between GSB and DNS Resolution

Resumen Técnico: Caracterización del Punto Ciego Temporal entre GSB y la Resolución de DNS

Planteamiento del Problema
La navegación web moderna depende de la ejecución concurrente de verificaciones de seguridad a nivel de navegador, específicamente Google Safe Browsing (GSB), y la resolución del Sistema de Nombres de Dominio (DNS). Mientras que GSB identifica recursos potencialmente maliciosos y el DNS mapea dominios a destinos de red, su sincronización a nivel de paquetes permanece poco estudiada. Esto es particularmente relevante en escenarios complejos que involucran cadenas de Nombres Canónicos (CNAME), donde se requieren múltiples pasos de DNS para obtener una dirección final. El problema central abordado es si existe un desfase temporal mensurable entre el cierre de las consultas relacionadas con GSB y la llegada de las respuestas finales de DNS. Si tal brecha existe, podría crear un "punto ciego temporal" donde el navegador toma una decisión de seguridad antes de que el endpoint de red final esté completamente establecido, exponiendo potencialmente al sistema a amenazas de manipulación de DNS (por ejemplo, envenenamiento de caché o manipulación del resolutor) que alteran el endpoint después de que la verificación de seguridad se haya completado.

Metodología
Los autores emplearon un enfoque de análisis de captura de paquetes para caracterizar la relación temporal entre los eventos de GSB y la resolución de DNS.

• Definición de la Métrica: El estudio define un desfase temporal ($\Delta time$) como la diferencia entre la llegada de la respuesta final de DNS ($T_{resolution}$) y el cierre de la conexión relacionada con GSB en la capa de transporte ($T_{query\_close}$). Un $\Delta time$ positivo indica que la respuesta de DNS llega después de que la consulta de GSB se ha cerrado.
• Extracción de Datos: El tráfico de GSB se identificó mediante metadatos de TLS Server Name Indication (SNI). Dado que los datos de la aplicación están cifrados, $T_{query\_close}$ se determinó mediante la marca de tiempo del paquete TCP FIN o RST asociado. Para las resoluciones basadas en CNAME, $T_{resolution}$ se registró desde el paquete que contiene el registro A o AAAA final.
• Configuración Experimental: Los experimentos se realizaron en una estación de trabajo macOS utilizando Google Chrome Stable. Para minimizar los efectos de caché, se limpió la caché de DNS del sistema y el estado del navegador antes de cada navegación. Un marco de trabajo de Node.js coordinó la automatización del navegador y la captura de paquetes (usando Tshark) a través de dos conjuntos de datos derivados del ranking Tranco:
  1. Dominios Generales: Los 100 dominios más populares.
  2. Dominios CNAME: 103 dominios de alto rango que requieren explícitamente resolución CNAME.

Resultos Clave
El análisis empírico reveló un desfase temporal constante entre los cierres de consulta de GSB y las respuestas de DNS:

• Prevalencia: Se observaron desfases temporales positivos en aproximadamente el 78% del conjunto de datos de dominios generales (78 de 100 muestras) y en el 79.6% del conjunto de datos de dominios CNAME (82 de 103 muestras).
• Magnitud:
  • Retrasos Medianos: El retraso mediano fue de 79.40 ms para dominios generales y 67.88 ms para dominios CNAME.
  • Retrasos Máximos: Los desfases máximos observados superaron significativamente la mediana, alcanzando los 2,349.54 ms para dominios generales y 2,477.32 ms para dominios CNAME.
  • Datos Representativos: Dominios específicos mostraron desfases variables, con facebook.com en 45 ms y amazonaws.com en 1,034 ms.
• Consistencia: Los resultados indican que, si bien muchos desfases son inferiores a 100 ms, la existencia de una "cola larga" de retrasos que superan los dos segundos es una característica recurrente del flujo de trabajo de navegación.

Significancia y Reivindicaciones
El artículo afirma modestamente que estos hallazgos identifican una precondición temporal relevante para la seguridad en lugar de un bypass completo del navegador.

• Modelo de Amenaza: Bajo un modelo de amenaza donde un adversario puede influir en la resolución de DNS (por ejemplo, mediante envenenamiento de caché o manipulación en la ruta), los desfases temporales observados sugieren una ventana donde el endpoint resuelto final podría ser alterado después de que la verificación de Safe Browsing haya completado.
• Implicación: Esto crea un desajuste entre la decisión de seguridad del navegador y el endpoint de red real. Los autores argumentan que esta desincronización temporal, particularmente en resoluciones CNAME complejas, justifica una mayor investigación sobre los riesgos basados en el tiempo.
• Direcciones Futuras: El documento sugiere que trabajos futuros deberían explorar escenarios controlados de manipulación de DNS para determinar si estos desfases pueden explotarse en ataques prácticos de extremo a extremo. También propone investigar mitigaciones en el lado del navegador, como vincular las decisiones de seguridad al endpoint DNS resuelto final o disparar una revalidación cuando la resolución de DNS se completa tras la verificación.

En resumen, el estudio proporciona una caracterización fundamental a nivel de paquetes de la desincronización entre GSB y DNS, destacando una ventana temporal mensurable y frecuente que puede ser relevante para los mecanismos de seguridad del navegador bajo modelos de amenaza específicos.