提出域名解耦攻击利用DNS与边缘路由验证缺口

1. 12:00
   arXiv cs.CR精选

   Domain Decoupling Attack 利用DNS与边缘路由校验差异实现跨租户隐蔽通信

   该论文提出一种名为Domain Decoupling Attack (DDA) 的攻击方法，利用保护性DNS基于解析IP地址放行、而共享边缘路由基于租户身份转发之间的验证间隙，在保持SNI与HTTP Host一致的前提下，使攻击者能够访问被隐藏的租户。研究团队在1,069,048个域名上进行了18,025,068次探测，发现95.8%的域名接受外部SNI，84.6%返回与命名租户匹配的内容，其中CDN域名的暴露率高达99.26%，非CDN域名达到92.75%。 证据细节显示，共666,413个暴露域名处于跨租户组件中，54,069个跨租户非CDN地址中有97.7%确认存在通往其他租户的路径。测试表明，没有任何防御措施将租户身份绑定到DNS批准的名称上；虽然明文内联IPS可根据SNI阻断访问，但加密客户端Hello（ECH）会隐藏SNI信息，导致Windows Zero Trust DNS（ZTDNS）许可在两种情况下均可复用，从而支持命令与控制及数据外泄流量的隐匿和审查规避。 事实层面，该研究证实了现有架构中存在大规模验证间隙且无针对性绑定机制；推断层面，这意味着依赖DNS白名单的边界防护在共享边缘环境下可能失效，攻击者可利用合法流量通道进行隐蔽操作；猜测层面，若未来部署强制租户-域名绑定的策略或推广全链路加密检测，可能缓解此风险，但目前尚无明确实施路径。

当前热度 9·可比范围峰值 9（10月28日 15:00）·近 24 小时可比范围变化 –

趋势仅比较持续完整观测到的相同主体，范围可能小于当前热度统计。移动指针或点击图表查看每小时热度；键盘可用左右方向键切换。