我知道你为何去诊所：HTTPS 流量分析的风险与现实
密码学与安全
2014-03-04 v1
摘要
政府和公司进行大规模电子监控和数据挖掘的披露推动了 HTTPS 的广泛采用。我们提出了一种针对超过 6000 个网页的流量分析攻击，涵盖了医疗、金融、法律服务和流媒体视频等领域中 10 个广泛使用的行业领先网站的 HTTPS 部署。我们的攻击能够以 89% 的准确率识别同一网站内的单个页面，从而暴露包括健康状况、财务和法律事务以及性取向在内的个人细节。我们考察了评估方法，并揭示了由影响缓存和 Cookie 的假设所导致的高达 18% 的准确率波动。我们提出了一种新颖的防御措施，将攻击准确率降低至 27%，同时仅增加 9% 的流量；并在我们的评估环境（包括启用缓存、特定用户 Cookie 以及同一网站内的页面）中证明了先前防御措施的显著有效性提升。
引用
@article{arxiv.1403.0297,
title = {I Know Why You Went to the Clinic: Risks and Realization of HTTPS Traffic Analysis},
author = {Brad Miller and Ling Huang and A. D. Joseph and J. D. Tygar},
journal= {arXiv preprint arXiv:1403.0297},
year = {2014}
}