[论文解读] Analyzing HTTPS Encrypted Traffic to Identify User Operating System, Browser and Application

Jonathan Muehlstein, Yehonatan Zion+5 more|arXiv (Cornell University)|Mar 15, 2016

Internet Traffic Analysis and Secure E-voting被引用 5

一句话总结

本文提出了一种被动侧信道攻击，通过分析网络流量元数据，识别HTTPS加密流量中的操作系统、浏览器和应用程序。利用一组新型特征和包含两万多个样本的数据集，作者实现了96.06%的分类准确率，表明加密流量会泄露大量设备指纹信息。

ABSTRACT

Desktops and laptops can be maliciously exploited to violate privacy. There are two main types of attack scenarios: active and passive. In this paper, we consider the passive scenario where the adversary does not interact actively with the device, but he is able to eavesdrop on the network traffic of the device from the network side. Most of the internet traffic is encrypted and thus passive attacks are challenging. In this paper, we show that an external attacker can identify the operating system, browser and application of HTTP encrypted traffic (HTTPS). To the best of our knowledge, this is the first work that shows this. We provide a large data set of more than 20000 examples for this task. Additionally, we suggest new features for this task. We run a through a set of experiments, which shows that our classification accuracy is 96.06%.

研究动机与目标

• 调查被动攻击者是否能够仅通过加密的HTTPS流量识别用户设备属性（操作系统、浏览器、应用程序），而无需主动交互。
• 解决在无法直接访问的情况下，仅依靠窃听的加密流量识别设备指纹的挑战。
• 开发并验证一组有效的网络层特征，用于在加密流量中进行设备识别。
• 创建并发布一个包含两万多个样本的大型公开HTTPS流量样本数据集，用于设备指纹识别的基准测试。
• 证明在真实世界加密通信场景中，被动设备识别的可行性与高准确率。

提出的方法

• 作者从多种设备、浏览器和应用程序收集HTTPS流量，构建了一个包含两万多个唯一流量样本的数据集。
• 从加密流量中提取一组新型网络层特征，包括TLS握手特性、数据包时间间隔和大小分布。
• 这些特征设计为对常见混淆技术具有鲁棒性，并能捕捉不同设备和软件之间的协议层行为差异。
• 使用提取的特征训练机器学习分类器，以预测源设备的操作系统、浏览器和应用程序。
• 通过交叉验证和保留的测试集对分类管道进行评估，以确保模型的鲁棒性和泛化能力。
• 该模型通过利用加密流量中与设备和软件配置相关的细微且一致的模式，实现了高准确率。

实验结果

研究问题

• RQ1 外部被动攻击者能否仅基于加密的HTTPS流量准确识别设备的操作系统？
• RQ2 在被动观察加密网络流量的情况下，浏览器和应用程序类型在多大程度上可以被推断出来？
• RQ3 哪组网络层特征在加密流量中对设备指纹识别具有最强的区分能力？
• RQ4 与现有指纹识别技术相比，所提出的方法在准确率和实际可行性方面表现如何？
• RQ5 在大规模、多样化的网络流量环境中，被动设备识别的实际可行性与鲁棒性如何？

主要发现

• 所提出的方法在从HTTPS加密流量中识别操作系统、浏览器和应用程序方面，实现了96.06%的分类准确率。
• 研究表明，即使采用端到端加密，网络层元数据仍会泄露足够信息，实现可靠的设备指纹识别。
• 作者提出了一组新型特征，相比以往方法显著提升了识别准确率。
• 发布了包含两万多个HTTPS流量样本的数据集，为未来被动设备指纹识别研究提供了支持。
• 结果表明，被动攻击者无需主动交互或解密即可可靠地推断设备属性。
• 高准确率表明，当前的HTTPS实现容易受到通过流量分析进行的侧信道设备指纹攻击。