基于X.509证书测量的隐私泄露分析.pdfVIP

基于X．509证书测量的隐私泄露分析 曹自刚¨ 熊 刚鼬 赵 咏2’ ”(北京邮电大学计算机学院北京 100876) 2’(中国科学院信息工程研究所北京100093) 摘要SSL协议由于易于部署以及集成在Web浏览器中的天然属性，被广泛应用于保障网页浏览、电子邮件、文 件传输等应用服务的信息传输安全，其中最典型的应用是HTTPS．然而，实践中往往由于HTTPS服务的部署存 在问题，比如服务器采用自签名X．509证书等，给用户带来严重的安全威胁，包括信息遭窃取、用户身份和行为隐 私泄露等．本文从标识服务器身份的X．509证书出发，通过对真实环境HTTPS服务端证书的大范围测量和分析 来揭示采用自签名证书的HTTPS服务存在的应用服务类型泄露问题，以及由此引起的用户网络行为隐私泄露威 胁．针对大规模真实环境中用户网络行为的测量分析和海量日志挖掘结果表明，X．509自签名证书提供了较强区 分服务器加密应用类型的身份信息，加密HTTPS应用服务器的身份隐藏手段在很大程度上可以通过统计行为分 析来识破，提供相同或相似的特定应用服务的服务器的被Ⅱ：确分类的准确率最高可达95％． 关键词HTTPS；X．509证书；自签名；测量；用户行为隐私；隐私保护 中图法分类号TP393DOI号10．3724／SP．J．1016．2014．00151 X．509CertificateMeasurementBased PrivacyAnalysis CA0 ZHAO Zi—Gan91’XIONG Gan92’ Yon92’ (School Postsand 100876) ofComputerScience，BeijingUniversityof ing Telecommunications，Beij 2’(Institute 100093) ofInformationEngineering，ChineseAcademyofSciences，BeOing AbstractTheSSL hasbeen usedtosecureweb transfer protocol widely browsing，e-mail，file andother duetoitsease of andthenaturalattributeof builtinweb applications deployment being HTTPSisthe browsers，and most ofits typicalexample imple— of mentationHTTPSitselfin asa server X．509 practice，such usingself-signedcertificate，may causeserious threatsto information security theft，user andbehavior users，including