---
title: "USENIX Security 2024: вложенное TLS-рукопожатие видно снаружи, все 23 стандартные конфигурации обнаружены"
type: evidence
kind: measurement
id: "ev-ml-tlsintls-usenix24"
observed: "2024-08-01"
url: "https://rkn.kitten.software/evidence/ev-ml-tlsintls-usenix24/"
source_url: "https://censoredplanet.org/assets/tls_in_tls.pdf"
---

# USENIX Security 2024: вложенное TLS-рукопожатие видно снаружи, все 23 стандартные конфигурации обнаружены

- Основание: измерение
- Что доказывает: Работа Censored Planet (USENIX Security 2024): прокси, туннелирующий HTTPS, вкладывает внутрь шифрованного канала второе TLS-рукопожатие, а длины, направления и тайминги его пакетов предсказуемы (ClientHello около 517 байт, ответ с цепочкой сертификатов 2–4 КБ). Из 23 протестированных конфигураций (vmess, shadowsocks, vless, trojan и других) все стандартные детектируются с долей найденных выше 70%. Классификатор строится на χ²-тесте по триграммам размеров и расстоянии Махаланобиса по всплескам трафика. Метод проверили в сети провайдера с более чем миллионом абонентов, с малым побочным ущербом.
- Чего не доказывает: Что ТСПУ использует этот метод. Работа не про российскую сеть.
- Метод: Измерения авторов, пересказ в заметках
- Наблюдение: 01.08.2024
- Получено: 19.10.2026
- Ограничения: Дата указана приблизительно: месяц конференции. PDF мы не перечитывали.
- Происхождение: rkn-research/notes/101-ml-mimicry-detection.md §3.1
- Источник: [USENIX Security 2024, Censored Planet](https://censoredplanet.org/assets/tls_in_tls.pdf)

Сырой фрагмент:

```
23 конфигурации, все стандартные: TPR выше 70%
признак: размеры и направления пакетов внутреннего TLS-рукопожатия
```

## Связанные страницы

В сносках статей:

- [Распознавание маскировки трафика машинным обучением](https://rkn.kitten.software/wiki/ml-mimicry-detection/index.md)