USENIX Security 2024: вложенное TLS-рукопожатие видно снаружи, все 23 стандартные конфигурации обнаружены

Что доказывает

Работа Censored Planet (USENIX Security 2024): прокси, туннелирующий HTTPS, вкладывает внутрь шифрованного канала второе TLS-рукопожатие, а длины, направления и тайминги его пакетов предсказуемы (ClientHello около 517 байт, ответ с цепочкой сертификатов 2–4 КБ). Из 23 протестированных конфигураций (vmess, shadowsocks, vless, trojan и других) все стандартные детектируются с долей найденных выше 70%. Классификатор строится на χ²-тесте по триграммам размеров и расстоянии Махаланобиса по всплескам трафика. Метод проверили в сети провайдера с более чем миллионом абонентов, с малым побочным ущербом.

Чего не доказывает

Что ТСПУ использует этот метод. Работа не про российскую сеть.

Метод

Измерения авторов, пересказ в заметках

Наблюдение

01.08.2024

Получено

19.10.2026

Ограничения

Дата указана приблизительно: месяц конференции. PDF мы не перечитывали.

Происхождение

rkn-research/notes/101-ml-mimicry-detection.md §3.1

Источник

USENIX Security 2024, Censored Planet

23 конфигурации, все стандартные: TPR выше 70%
признак: размеры и направления пакетов внутреннего TLS-рукопожатия