[论文解读] Can't you hear me knocking: Identification of user actions on Android apps via traffic analysis

Mauro Conti, Luigi V. Mancini+2 more|arXiv (Cornell University)|Jul 29, 2014

Advanced Malware Detection Techniques参考文献 21被引用 14

一句话总结

本文提出了一种机器学习框架，通过分析加密的TCP/IP流量，识别Android应用中的特定用户操作（如在社交媒体上发帖或发送电子邮件）。通过分析网络流模式并应用聚类和分类技术，该系统在大多数操作上的准确率、精确率和召回率均超过95%，表明即使在TLS保护的流量中，仍会泄露行为信息。

ABSTRACT

While smartphone usage become more and more pervasive, people start also asking to which extent such devices can be maliciously exploited as "tracking devices". The concern is not only related to an adversary taking physical or remote control of the device (e.g., via a malicious app), but also to what a passive adversary (without the above capabilities) can observe from the device communications. Work in this latter direction aimed, for example, at inferring the apps a user has installed on his device, or identifying the presence of a specific user within a network. In this paper, we move a step forward: we investigate to which extent it is feasible to identify the specific actions that a user is doing on his mobile device, by simply eavesdropping the device's network traffic. In particular, we aim at identifying actions like browsing someone's profile on a social network, posting a message on a friend's wall, or sending an email. We design a system that achieves this goal starting from encrypted TCP/IP packets: it works through identification of network flows and application of machine learning techniques. We did a complete implementation of this system and run a thorough set of experiments, which show that it can achieve accuracy and precision higher than 95%, for most of the considered actions.

研究动机与目标

• 研究是否可以通过被动监听加密网络流量来识别Android应用中的特定用户操作。
• 解决被动攻击者无法攻破设备但可监控网络通信所构成的隐私威胁。
• 确定加密流量中的行为模式是否暴露了如在社交媒体发帖或发送邮件等敏感用户操作。
• 评估在无应用数据或解密密钥访问权限的情况下，推断用户操作的可行性和准确性。
• 揭示当前加密技术在保护用户行为语义信息方面的局限性。

提出的方法

• 该框架收集并分析Android设备在特定用户操作期间的加密TCP/IP流量。
• 使用无监督学习从网络流中提取并聚类，以分组相似的流量模式。
• 从每个流中提取包大小、时间间隔和序列等特征，以表征用户操作。
• 基于这些特征训练有监督的机器学习分类器，以区分不同用户操作。
• 系统采用多种配置和评估指标（精确率、召回率、F1值）在多样化操作上验证性能。
• 在真实Android应用（如Twitter、Gmail）上进行实验，通过受控的用户交互生成带标签的流量数据。

实验结果

研究问题

• RQ1 被动监听者是否仅通过分析加密网络流量就能识别Android应用中的特定用户操作？
• RQ2 尽管采用端到端加密，TLS保护的通信在多大程度上仍会泄露行为模式？
• RQ3 机器学习基于网络流特征对用户操作的分类准确率如何？
• RQ4 不同应用间是否存在一致的流量模式，从而实现可靠的行动识别？
• RQ5 此类识别对用户隐私和匿名性有何影响？

主要发现

• 系统平均F1值达到0.97，大多数操作的精确率和召回率均超过97%。
• 对于“打开Twitter”操作，系统实现100%的精确率、召回率和F1值，表明分类完美。
• 至少一种配置下，所有操作的准确率均超过96%，最差情况仍高于91%。
• “刷新主页”操作的精确率为94%，召回率为99%，表明检测可靠性高。
• “发推文/消息”操作的召回率为100%，F1值为98%，表明在内容发布类操作中表现强劲。
• 该框架表明，即使内容受TLS保护，仍可从加密流量中推断出用户的语义行为。