Poster: Mind the Gap -- Characterizing the Temporal Blind Spot Between GSB and DNS Resolution

기술 요약: GSB와 DNS 해상도 사이의 시간적 사각지대 특성 분석

문제 정의
현대의 웹 네비게이션은 브라우저 수준의 안전 점검, 구체적으로 Google Safe Browsing(GSB)과 DNS 해상도(Resolution)의 병렬 실행에 의존한다. GSB는 잠재적으로 악성인 리소스를 식별하고, DNS는 도메인을 네트워크 목적지로 매핑하지만, 이들의 패킷 수준 동기화는 충분히 연구되지 않았다. 이는 Canonical Name(CNAME) 체인을 포함하여 최종 주소를 얻기 위해 여러 단계의 DNS 과정이 필요한 복잡한 시나리오에서 특히 중요하다. 본 연구가 다루는 핵심 문제는 GSB 관련 쿼리의 종료와 최종 DNS 응답의 도착 사이에 측정 가능한 시간적 간격이 존재하는지 여부이다. 만약 이러한 시간적 간격($\Delta time$)이 존재한다면, 이는 브라우저가 최종 네트워크 엔드포인트가 완전히 설정되기 전에 안전 결정을 내리는 "시간적 사각지대"를 생성할 수 있으며, 이는 시스템을 DNS 조작 위협(예: 캐시 포이즈닝 또는 리졸버 조작)에 노출시켜 안전 점검이 완료된 후의 엔드포인트를 변경할 가능성을 초래할 수 있다.

방법론
저자들은 GSB 이벤트와 DNS 해상도 사이의 타이밍 관계를 특성화하기 위해 패킷 캡처 분석 접근 방식을 채택하였다.

• 지표 정의: 본 연구는 최종 DNS 응답 도착 시간($T_{resolution}$)과 GSB 관련 연결의 전송 계층 종료 시간($T_{query\_close}$) 사이의 차이를 타이밍 간격($\Delta time$)으로 정의한다. 양(+)의 $\Delta time$은 DNS 응답이 GSB 쿼리가 종료된 후에 도착함을 의미한다.
• 데이터 추출: GSB 트래픽은 TLS Server Name Indication (SNI) 메타데이터를 통해 식별되었다. 애플리케이션 데이터는 암호화되어 있으므로, $T_{query\_close}$는 관련 TCP FIN 또는 RST 패킷의 타임스탬프에 의해 결정되었다. CNAME 기반 해상도의 경우, $T_{resolution}$은 최종 A 또는 AAAA 레코드를 포함하는 패킷으로부터 기록되었다.
• 실험 설정: 실험은 Google Chrome Stable이 설치된 macOS 워크스테이션에서 수행되었다. 캐싱 효과를 최소화하기 위해 각 네비게이션 전 시스템 수준의 DNS 캐시와 브라우저 상태를 삭제하였다. Node.js 프레임워크를 사용하여 브라우저 자동화와 패킷 캡처(Tshark 사용)를 조율하였으며, Tranco 순위에 기반한 두 가지 데이터셋을 도출하였다:
  1. 일반 도메인: 가장 인기 있는 상위 100개 도메인.
  2. CNAME 도메인: 명시적으로 CNAME 해상도를 요구하는 상위 103개 도메인.

주요 결과
경험적 분석 결과, GSB 쿼리 종료와 DNS 응답 사이에 일관된 시간적 오프셋이 있음이 드러났다:

• 보편성: 일반 도메인 데이터셋(100개 샘플 중 78개)에서 약 78%, CNAME 도메인 데이터셋(103개 샘플 중 82개)에서 약 79.6%의 양(+)의 타이밍 간격이 관찰되었다.
• 규모:
  • 중앙값 지연(Median Delays): 중앙값 지연은 일반 도메인의 경우 79.40 ms, CNAME 도메인의 경우 67.88 ms였다.
  • 최대 지연(Maximum Delays): 최대 관찰된 간격은 중앙값을 크게 상회하였으며, 일반 도메인의 경우 2,349.54 ms, CNAME 도메인의 경우 2,477.32 ms에 달했다.
  • 대표 데이터: 특정 도메인은 다양한 간격을 보였는데, facebook.com은 45 ms, amazonaws.com은 1,034 ms를 기록했다.
• 일관성: 결과는 많은 간격이 100 ms 미만이지만, 2초를 초과하는 "롱 테일(long-tail)" 지연이 브라우징 워크플로우의 반복적인 특징임을 나타낸다.

의의 및 주장
본 논문은 이러한 발견이 완전한 브라우저 우회가 아닌, 보안 관련 타이밍 전제 조건을 식별한다고 조심스럽게 주장한다.

• 위협 모델: 공격자가 DNS 해상도에 영향을 미칠 수 있는 위협 모델(예: 캐시 포이즈닝 또는 온패스(on-path) 조작) 하에서, 관찰된 타이밍 간격은 GSB 체크가 완료된 후에 최종 해상된 엔드포인트가 변경될 수 있는 윈도우를 시사한다.
• 함의: 이는 브라우저의 안전 결정과 실제 네트워크 엔드포인트 사이의 불일치를 생성한다. 저자들은 이러한 시간적 비동기화, 특히 복잡한 CNAME 해상도에서의 비동기화가 타이밍 기반 리스크에 대한 추가 연구를 필요로 한다고 주장한다.
• 향อน 방향: 본 논문은 향후 연구가 통제된 DNS 조작 시나리오를 탐구하여 이러한 간격이 실질적인 엔드투엔드(end-to-end) 공격으로 이어질 수 있는지 결정해야 한다고 제안한다. 또한, 안전 결정을 최종 해상된 DNS 엔드포인트에 바인딩하거나, DNS 해상도가 체크 이후에 완료될 때 재검증을 트리거하는 등의 브라우저 측 완화 방안을 조사할 것을 제안한다.

요약하자면, 본 연구는 GSB와 DNS 사이의 비동기화에 대한 기초적인 패킷 수준의 특성화를 제공하며, 특정 위협 모델 하에서 브라우저 안전 메커즘과 관련될 수 있는 측정 가능하고 빈번한 시간적 윈도우를 강조한다.