Автоматизация анализа распознавания вашего трафика HTTPS

HTTPS скрывает всё больше информации: DNS можно зашифровать, TLS Client Hello также может быть скрыт через ECH, а метаданные доменов и протоколов, ранее видимые напрямую, постепенно исчезают.

Но «не видеть контент» не означает «не видеть сайт». Высокоуровневые структуры, такие как композиция веб-ресурсов, размер ресурса, длина пути запроса и версия HTTP, всё ещё оставляют тень в длине пакета, направлении и протоколе передачи зашифрованного трафика. Атаки на основе отпечатков веб-сайтов используют эти остаточные паттерны, чтобы попытаться определить, какие сайты посещают пользователи.

Традиционные методы отпечатка пальцев на сайте обычно требуют предварительного сбора образцов трафика с целевого сайта перед обучением классификатора. Такая высокая парадигма дорога и часто означает, что модель может распознавать только сайты, которые она видела во время обучения. Недавно принятая IEEE INFOCOM 2026, STAR, была предложена новая идея: переписать распознавание отпечатков пальцев на сайте как кроссмодальную задачу поиска между зашифрованным трафиком и логическим профилированием сайта.

Короче говоря: традиционный метод — «распознавать знакомых» в трафике, тогда как STAR пытается «связать код» между трафиком и структурным описанием сайта.

Речь о разработке метода "профилирования"  трафика с сайта и сопоставления с вашим трафиком на основе обработки ИИ​

Далее причесанный пересказ с моими комментариями.

​

В чем суть нового подхода?​

Классические атаки по отпечаткам сайтов (website fingerprinting) требуют кучу времени: чтобы научить модель узнавать ресурс, нужно зайти на него сотни раз и собрать эталонный трафик. Это не масштабируется.

Авторы сделали хитро. Они обучили две нейросети одновременно:

1. Первая смотрит на сайт «глазами браузера»: какие скрипты грузятся, какие картинки, какой URL у каждого файла. Это «логический портрет».
2. Вторая смотрит на сайт «глазами роутера»: как идут пакеты (длина, направление, время). Это «сетевой портрет».

Модель учится так, чтобы эти два портрета одного сайта совпадали в векторном пространстве. В итоге, чтобы добавить новый сайт в базу для слежки, не нужно его «простукивать» трафиком - достаточно один раз его прокраулить.

Почему это работает ​

Тут всё упирается в физику протоколов:

• URI Length → Packet Size: В HTTP/2 и HTTP/3 заголовки сжимаются. Длина ссылки (URI) после сжатия почти линейно влияет на размер пакета запроса. Это как почерк.
• Resource Size → Flow Pattern: Если картинка весит 50 КБ, то и в ответных пакетах будет примерно 50 КБ данных. Шифрование не меняет объём передаваемой информации.
• HTTP/3 (QUIC): Переход на UDP меняет статистику пакетов (например, flow direction ratio), что тоже легко зацепить.

Результаты​

После обучения на одном наборе данных модель протестировали на 1600 сайтах, которых она не видела.

• Точность (Top-1): 87.87%
• Точность (Top-5): 96.94%

Это называют zero-shot возможностями - модель обобщает знания о структуре веба на новые объекты. Если дать модели всего 4 примера реального трафика сайта (few-shot), точность улетает до 98.84%


Как это выглядит на практике
1) определение TOR -трафика, то есть факта работы с TOR

2) Деанон. При использовании смартфона\ноута под своим именем без смены MAC и VPN на этом же устройстве.

Следствия​

1. ECH/DoH — это не панацея. Шифрование имени сайта в запросе (ECH) и шифрование DNS (DoH) — это хорошо, но бесполезно, если сама структура сайта «просвечивает» сквозь трафик. Авторы называют это semantic leakage.
2. Проблема для Tor. Создание базы отпечатков для цензуры становится тривиальной задачей, не требующей генерации трафика.
3. Нужны новые защиты. Простой padding (добавление пустых байт) уже не спасает. Нужно маскировать трафик под другие сайты (traffic morphing) или ломать корреляцию между размером файла и размером пакета.

​

Вердикт​

Элегантный инженерный апгрейд старой идеи. Пока веб-ресурсы не начнут активно искажать свою структуру для сети, полная анонимность остаётся мифом, даже при использовании всех современных шифровальных плюшек.

VPN - это отличный инструмент, чтобы спрятаться от провайдера и от локального сниффера в кафе. Но это не полная маскировка.

Атаки типа STAR доказывают, что метаданные -это тоже данные. И по ним можно многое вычислить. Полная анонимность требует не только шифрования содержимого, но и обфускации самого потока данных (чтобы YouTube выглядел как обычный сайт, а не как видеостриминг). А это уже задача для следующего поколения VPN и браузеров.

Источник: https://mp.weixin.qq.com/s/KC6EtI4Y95yw9P83CNIqPA