Poster: Mind the Gap -- Characterizing the Temporal Blind Spot Between GSB and DNS Resolution

Résumé Technique : Caractérisation de l'angle mort temporel entre GSB et la résolution DNS

Énoncé du problème
La navigation web moderne repose sur l'exécution concomitante de contrôles de sécurité au niveau du navigateur, spécifiquement Google Safe Browsing (GSB), et de la résolution du système de noms de domaine (DNS). Alors que GSB identifie les ressources potentiellement malveillantes et que le DNS cartographie les domaines vers des destinations réseau, leur synchronisation au niveau des paquets reste peu étudiée. Cela est particulièrement pertinent dans des scénarios complexes impliquant des chaînes de noms canoniques (CNAME), où plusieurs étapes DNS sont nécessaires pour obtenir une adresse finale. Le problème central abordé est de déterminer si un écart temporel mesurable existe entre la clôture des requêtes liées à GSB et l'arrivée des réponses DNS finales. Si un tel écart existe, il pourrait créer un « angle mort temporel » où le navigateur prend une décision de sécurité avant que l'endpoint réseau final ne soit pleinement établi, exposant potentiellement le système à des menaces de manipulation DNS (par exemple, l'empoisonnement de cache ou la manipulation de résolveur) qui altèrent l'endpoint après que le contrôle de sécurité a été effectué.

Méthodologie
Les auteurs ont employé une approche d'analyse de capture de paquets pour caractériser la relation de synchronisation entre les événements GSB et la résolution DNS.

• Définition de la métrique : L'étude définit un écart temporel ($\Delta time$) comme la différence entre l'arrivée de la réponse DNS finale ($T_{resolution}$) et la clôture de la connexion liée à GSB au niveau de la couche de transport ($T_{query\_close}$). Un $\Delta time$ positif indique que la réponse DNS arrive après la fermeture de la requête GSB.
• Extraction des données : Le trafic GSB a été identifié via les métadonnées TLS Server Name Indication (SNI). Comme les données applicatives sont chiffrées, $T_{query\_close}$ a été déterminé par l'horodatage du paquet TCP FIN ou RST associé. Pour les résolutions basées sur CNAME, $T_{resolution}$ a été enregistré à partir du paquet contenant l'enregistrement A ou AAAA final.
• Configuration expérimentale : Les expériences ont été menées sur une station de travail macOS utilisant Google Chrome Stable. Pour minimiser les effets de mise en cache, le cache DNS du système et l'état du navigateur ont été purgés avant chaque navigation. Un framework Node.js a coordonné l'automatisation du navigateur et la capture de paquets (via Tshark) à travers deux ensembles de données dérivés du classement Tranco :
  1. Domaines généraux : Les 100 domaines les plus populaires.
  2. Domaines CNAME : 103 domaines hautement classés nécessitant explicitement une résolution CNAME.

Résultats clés
L'analyse empirique a révélé un décalage temporel constant entre les fermetures de requêtes GSB et les réponses DNS :

• Prévalence : Des écarts temporels positifs ont été observés dans environ 78 % de l'ensemble de données des domaines généraux (78 échantillons sur 100) et 79,6 % de l'ensemble de données des domaines CNAME (82 échantillons sur 103).
• Magnitude :
  • Délais médians : Le délai médian était de 79,40 ms pour les domaines généraux et de 67,88 ms pour les domaines CNAME.
  • Délais maximaux : Les écarts maximaux observés dépassaient significativement les médianes, atteignant 2 349,54 ms pour les domaines généraux et 2 477,32 ms pour les domaines CNAME.
  • Données représentatives : Des domaines spécifiques ont montré des écarts variables, avec facebook.com à 45 ms et amazonaws.com à 1 034 ms.
• Cohérence : Les résultats indiquent que bien que de nombreux écarts soient inférieurs à 100 ms, l'existence d'une « longue traîne » de délais dépassant les deux secondes est une caractéristique récurrente du flux de navigation.

Signification et Revendications
L'article affirme modestement que ces conclusions identifient une précondition temporelle pertinente pour la sécurité plutôt qu'un contournement complet du navigateur.

• Modèle de menace : Sous un modèle de menace où un adversaire peut influencer la résolution DNS (par exemple, via l'empoisonnement de cache ou la manipulation sur le chemin), les écarts temporels observés suggèrent une fenêtre où l'endpoint final résolu pourrait être modifié après que le contrôle de Safe Browsing a été complété.
• Implication : Cela crée un décalage entre la décision de sécurité du navigateur et l'endpoint réseau réel. Les auteurs soutiennent que cette désynchronisation temporelle, particulièrement dans les résolutions CNAME complexes, justifie des recherches supplémentaires sur les risques basés sur le temps.
• Directions futures : L'article suggère que les travaux futurs devraient explorer des scénarios de manipulation DNS contrôlés pour déterminer si ces écarts peuvent être exploités en attaques de bout en bout concrètes. Il propose également d'étudier des mitigations côté navigateur, telles que lier les décisions de sécurité à l'endpoint DNS final ou déclencher une revalidation lorsque la résolution DNS se termine après le contrôle.

En résumé, l'étude fournit une caractérisation fondamentale au niveau des paquets de la désynchronisation entre GSB et le DNS, mettant en évidence une fenêtre temporelle mesurable et fréquente qui peut être pertinente pour les mécanismes de sécurité des navigateurs sous des modèles de menace spécifiques.