[论文解读] Active TLS Stack Fingerprinting: Characterizing TLS Server Deployments at Scale

Markus Sosnowski, Johannes Zirngibl+5 more|arXiv (Cornell University)|Jun 27, 2022

Internet Traffic Analysis and Secure E-voting被引用 6

一句话总结

本文提出了一种主动TLS堆栈指纹识别方法，通过优化的Client Hello探测包对大规模TLS服务器进行分类，实现了在2800万台服务器中对命令与控制（C2）服务器和内容分发网络（CDN）基础设施的识别精度超过99%。该方法通过实证优化10种通用探测包，在最大化信息增益的同时最小化测量成本和伦理影响。

ABSTRACT

Active measurements can be used to collect server characteristics on a large scale. This kind of metadata can help discovering hidden relations and commonalities among server deployments offering new possibilities to cluster and classify them. As an example, identifying a previously-unknown cybercriminal infrastructures can be a valuable source for cyber-threat intelligence. We propose herein an active measurement-based methodology for acquiring Transport Layer Security (TLS) metadata from servers and leverage it for their fingerprinting. Our fingerprints capture the characteristic behavior of the TLS stack primarily caused by the implementation, configuration, and hardware support of the underlying server. Using an empirical optimization strategy that maximizes information gain from every handshake to minimize measurement costs, we generated 10 general-purpose Client Hellos used as scanning probes to create a large database of TLS configurations used for classifying servers. We fingerprinted 28 million servers from the Alexa and Majestic toplists and two Command and Control (C2) blocklists over a period of 30 weeks with weekly snapshots as foundation for two long-term case studies: classification of Content Delivery Network and C2 servers. The proposed methodology shows a precision of more than 99 % and enables a stable identification of new servers over time. This study describes a new opportunity for active measurements to provide valuable insights into the Internet that can be used in security-relevant use cases.

研究动机与目标

• 开发一种可扩展的主动测量方法，用于收集TLS元数据以对服务器部署进行指纹识别。
• 识别并优化一组Client Hello配置，以在最小化测量开销的同时最大化信息增益。
• 评估主动TLS指纹识别在分类真实世界服务器基础设施（特别是C2和CDN服务器）方面的有效性。
• 提供一个可复现、开源的TLS指纹识别框架，以支持网络威胁情报和基础设施监控。

提出的方法

• 作者通过实证优化选择了10种通用的Client Hello（CH）探测包，以最大化信息增益并最小化测量成本。
• 提取了15个TLS握手特征（如支持的密码套件、扩展和椭圆曲线）以表征TLS堆栈行为。
• 基于这些特征构建了基于相似度的指纹识别模型，实现根据TLS堆栈特性对服务器进行分类。
• 该方法在30周内应用于Alexa和Majestic排行榜的每周快照以及两个C2黑名单。
• 提出了自适应扫描策略，仅在需要时发送额外探测包以提高精度。
• 该方法依赖于单一观测点的主动探测，确保了时间维度上的一致性和可重复性测量。

实验结果

研究问题

• RQ1 如何优化主动TLS指纹识别，以在最小探测量下提取最大信息，同时最小化伦理影响？
• RQ2 哪组Client Hello配置能提供最具互补性的信息，以区分TLS服务器实现？
• RQ3 主动TLS指纹识别能否在分类大规模服务器部署（如C2和CDN服务器）时实现高精度和高召回率？
• RQ4 TLS指纹在时间上有多稳定？导致指纹识别结果不一致的因素有哪些？

主要发现

• 该方法在识别黑名单中新添加的命令与控制（C2）服务器方面实现了超过99%的精度。
• CDN检测精度在85%（Akamai、Alibaba）至99%以上（Cloudflare、Fastly）之间，表明在主要提供商中具有高度准确性。
• 使用10个优化后的Client Hello探测包，实现了对2800万台服务器的分类，测量成本极低且信息增益极高。
• 识别出351个IP地址在非本地图的自治系统（AS）中提供CDN内容，表明第三方或境外AS缓存被广泛使用。
• 在1.5%的情况下，HTTP Server头部中观察到负载均衡器指示，表明由于动态路由可能导致指纹不稳定。
• 研究发现，80%的解析到境外AS CDN缓存的域名由VTC Digicom、Amazon或Render运营的AS托管，部分通过类似Meta-CDN的架构运行。