Анализ HTTPS-трафика и идентификация клиентов с использованием пассивного SSL/TLS-фингерпринтинга
HTTPS traffic analysis and client identification using passive SSL/TLS fingerprinting
2016-02-26
SCID: 54.1/z98e23x4
Discuss with AI
идентификация HTTPS-клиентафингерпринтинг SSL/TLSоценка User-Agentсловарь списков шифровых наборовпассивный сетевой мониторинг
Figures from the paper
Abstract (AI)
Шифрование сетевого трафика усложняет законный сетевой мониторинг, анализ трафика и сетевую криминалистику. В данной работе представлен метод легковесной идентификации HTTPS-клиентов в режиме реального времени на основе мониторинга сети и фингерпринтинга SSL/TLS. Наш эксперимент показывает, что по анализу SSL/TLS-рукопожатия можно оценить User-Agent клиента в HTTPS-связи. Отпечатки (фингерпринты) SSL/TLS-рукопожатий, включая список поддерживаемых наборов шифров (cipher suites), различаются у разных клиентов и коррелируют со значениями User-Agent в HTTP-заголовке. Мы сформировали словарь списков наборов шифров SSL/TLS и HTTP User-Agent и сопоставили User-Agent наблюдаемым SSL/TLS-соединениям для идентификации общающихся клиентов. Этот словарь использовался для классификации живого HTTPS-трафика. Нам удалось определить типы клиентов в 95.4% HTTPS-трафика. Также обсуждаются методы получения словаря на хосте и в сети и оценено качество данных.
Key Findings
1
Словарь, сопоставляющий списки cipher suite SSL/TLS с HTTP User-Agent, позволяет присваивать User-Agent наблюдаемым SSL/TLS-соединениям для идентификации клиента.
2
В реальном времени возможна лёгкая идентификация HTTPS-клиентов с помощью пассивного мониторинга сети и SSL/TLS-фингеринга.
3
В работе рассмотрены методы получения словаря на стороне хоста и в сети и приведена оценка качества данных.
4
User-Agent можно оценить по анализу SSL/TLS-рукопожатия, так как отпечатки (списки cipher suite) различаются между клиентами и коррелируют с полем User-Agent в HTTP.
5
С помощью словаря при классификации живого HTTPS-трафика типы клиентов были извлечены из 95.4% HTTPS-сетевого трафика.
Research Object
Клиенты HTTPS, наблюдаемые через SSL/TLS‑рукопожатия в мониторинге сетевого трафика
Research Subject
В реальном времени лёгкая идентификация типов клиентов (оценка User-Agent) методом пассивного SSL/TLS‑фингерпринтинга с использованием списков шифров и словаря для классификации живого HTTPS‑трафика
Publication Details
Publication Date
2016-02-26
Journal
Publisher
ISSN
Open access PDF
Access Type
Author Information
Download PDF
Subscribe to digest