avencores.

2 недели назад

• Вы подписаны

Как ТСПУ анализирует Telegram и VPN по таймингам сессий. Научно-технический анализ без инструкций Исследователи продолжают анализировать поведение современных систем DPI, используемых в составе ТСПУ, и приходят к выводу, что сегодня основное внимание уделяется не расшифровке TLS 1.3, а анализу метаданных соединения и поведенческих признаков сетевого трафика. Поскольку содержимое TLS 1.3 защищено шифрованием, DPI-системы не могут просматривать передаваемые данные без проведения полноценной MITM-атаки. Вместо этого анализируются параметры рукопожатия TLS (ClientHello), TLS-фингерпринты (JA3/JA4), SNI (если он не скрыт), IP-адреса, размеры пакетов, интервалы между ними, количество одновременно открываемых соединений и другие характеристики потока. Именно комбинация этих признаков позволяет классифицировать тип трафика с высокой точностью. Это соответствует общепринятым принципам работы современных DPI-систем. Одним из интересных наблюдений стало поведение некоторых клиентов, которые практически одновременно инициируют несколько TCP-соединений к одному и тому же серверу. В обычном веб-серфинге современные браузеры активно используют HTTP/2 или HTTP/3 с мультиплексированием запросов, поэтому большое количество новых TCP-соединений подряд встречается значительно реже. При запуске Telegram-клиента или VPN-туннеля ситуация может выглядеть иначе: приложение практически одновременно открывает несколько независимых TCP-сессий, каждая из которых начинает собственное TLS-рукопожатие. Если при этом используется TLS-фингерпринт, максимально похожий на современный Chrome, подобное сочетание признаков может рассматриваться системой DPI как нетипичное поведение и служить дополнительным фактором при классификации соединения. В современных исследованиях также описывается использование корреляции нескольких одновременных ClientHello и анализа временных характеристик потока. В ходе анализа были выделены два наиболее интересных поведенческих маркера: Агрессивные тайминги соединений. За очень короткий промежуток времени инициируется несколько практически одновременных TCP-сессий к одному IP-адресу. Маскировка под популярный браузер. Используется TLS-фингерпринт (JA3/JA4), соответствующий распространенному браузеру, однако общее поведение соединений отличается от типичной модели работы браузера. Исследователи отмечают, что подобные признаки сами по себе не являются достаточным основанием для классификации трафика. Современные DPI обычно используют совокупность факторов, анализируя их последовательно: от TCP-параметров и TLS-рукопожатия до размеров первых пакетов, временных интервалов между ними и общей статистики потока. Лишь после накопления достаточного количества информации принимается решение о дальнейшей обработке соединения. Отдельные эксперименты показывают, что даже небольшие изменения временных интервалов между последовательными соединениями способны существенно изменить наблюдаемую картину трафика. Это подтверждает, что современные системы DPI анализируют не только содержимое первых пакетов и TLS-фингерпринты, но и динамику установления соединений во времени. Однако подобные наблюдения основаны преимущественно на исследованиях сообщества и анализе сетевого поведения, а не на официальной документации производителей оборудования. Исследования в данном направлении продолжаются, а поведенческий анализ сетевого трафика остается одной из наиболее активно развивающихся областей современных DPI-систем. ⬇️Поддержать автора⬇️ ✅SBER: 2202 2050 1464 4675

Как установить переводчик видео из Яндекс Браузер в Google Chrome, Firefox

Как использовать зарубежные нейросети и сервисы заблокированные для России без VPN

Как установить exteraGram на Android

Обзор самописного клиента Fenrir VK на Android

Как смотреть медиафайлы, пока они скачиваются через Torrent на PC