Poster: Mind the Gap -- Characterizing the Temporal Blind Spot Between GSB and DNS Resolution

Resumo Técnico: Caracterização do Ponto Cego Temporal entre o GSB e a Resolução de DNS

Definição do Problema
A navegação moderna na web depende da execução simultânea de verificações de segurança em nível de navegador, especificamente o Google Safe Browsing (GSB), e a resolução do Sistema de Nomes de Domínio (DNS). Embora o GSB identifique recursos potencialmente maliciosos e o DNS mapeie domínios para destinos de rede, sua sincronização ao nível de pacotes permanece pouco estudada. Isso é particularmente relevante em cenários complexos envolvendo cadeias de Nomes Canônicos (CNAME), onde múltiplas etapas de DNS são necessárias para obter um endereço final. O problema central abordado é se existe um intervalo temporal mensurável entre o fechamento das consultas relacionadas ao GSB e a chegada das respostas finais de DNS. Se tal intervalo existir, ele pode criar um "ponto cego temporal", onde o navegador toma uma decisão de segurança antes que o endpoint de rede final esteja totalmente estabelecido, potencialmente expondo o sistema a ameaças de manipulação de DNS (ex: envenenamento de cache ou manipulação de resolvedor) que alteram o endpoint após a conclusão da verificação de segurança.

Metodologia
Os autores empregaram uma abordagem de análise de captura de pacotes para caracterizar a relação de tempo entre os eventos do GSB e a resolução de DNS.

• Definição de Métrica: O estudo define um intervalo de tempo ($\Delta time$) como a diferença entre a chegada da resposta final de DNS ($T_{resolution}$) e o fechamento da conexão relacionada ao GSB na camada de transporte ($T_{query\_close}$). Um $\Delta time$ positivo indica que a resposta de DNS chega após o fechamento da consulta do GSB.
• Extração de Dados: O tráfego do GSB foi identificado via metadados de TLS Server Name Indication (SNI). Como os dados da aplicação são criptografados, $T_{query\_close}$ foi determinado pelo timestamp do pacote TCP FIN ou RST associado. Para resoluções baseadas em CNAME, $T_{resolution}$ foi registrado a partir do pacote contendo o registro A ou AAAA final.
• Configuração Experimental: Os experimentos foram conduzidos em uma estação de trabalho macOS utilizando Google Chrome Stable. Para minimizar efeitos de cache, o cache de DNS do sistema e o estado do navegador foram limpos antes de cada navegação. Um framework Node.js coordenou a automação do navegador e a captura de pacotes (usando Tshark) através de dois conjuntos de dados derivados do ranking Tranco:
  1. Domínios Gerais: Os 100 domínios mais populares.
  2. Domínios CNAME: 103 domínios de alto ranking que exigem explicitamente resolução de CNAME.

Principais Resultados
A análise empírica revelou um deslocamento temporal consistente entre os fechamentos de consulta do GSB e as respostas de DNS:

• Prevalência: Gaps temporais positivos foram observados em aproximadamente 78% do conjunto de domínios gerais (78 de 100 amostras) e 79,6% do conjunto de domínios CNAME (82 de 103 amostras).
• Magnitude:
  • Atrasos Medianos: O atraso mediano foi de 79,40 ms para domínios gerais e 67,88 ms para domínios CNAME.
  • Atrasos Máximos: Os gaps máximos observados excederam significativamente a mediana, atingindo 2.349,54 ms para domínios gerais e 2.477,32 ms para domínios CNAME.
  • Dados Representativos: Domínios específicos mostraram gaps variados, com facebook.com em 45 ms e amazonaws.com em 1.034 ms.
• Consistência: Os resultados indicam que, embora muitos gaps estejam abaixo de 100 ms, a existência de uma "cauda longa" de atrasos que excedem dois segundos é uma característica recorrente do fluxo de trabalho de navegação.

Significância e Alegações
O artigo alega modestamente que estes achados identificam uma precondição de tempo relevante para a segurança, em vez de um bypass completo do navegador.

• Modelo de Ameaça: Sob um modelo de ameaça onde um adversário pode influenciar a resolução de DNS (ex: via envenenamento de cache ou manipulação on-path), os intervalos de tempo observados sugerem uma janela onde o endpoint resolvido final poderia ser alterado após a conclusão da verificação do Safe Browsing.
• Implicação: Isso cria um descompasso entre a decisão de segurança do navegador e o endpoint de rede real. Os autores argumentam que essa dessincronização temporal, particularmente em resoluções CNAME complexas, justifica pesquisas adicionais sobre riscos baseados em tempo.
• Direções Futuras: O artigo sugere que trabalhos futuros explorem cenários controlados de manipulação de DNS para determinar se esses gaps podem ser explorados em ataques práticos de ponta a ponta. Também propõe investigar mitigações no lado do navegador, como vincular decisões de segurança ao endpoint DNS resolvido final ou disparar a revalidação quando a resolução de DNS completa após a verificação.

Em resumo, o estudo fornece uma caracterização fundamental em nível de pacote da dessincronização entre o GSB e o DNS, destacando uma janela temporal mensurável e frequente que pode ser relevante para mecanismos de segurança do navegador sob modelos de ameaça específicos.