[发明专利]一种基于聚合流量的网络流量隐私保护方法

说明书

本发明公开了一种基于聚合流量的网络流量隐私保护方法，用户数据包依次经过靠近用户端的边缘交换节点A、若干中间交换节点、靠近服务端的边缘交换节点B后，到达目的地；边缘交换节点A作为聚合端，将若干个具有相同目的边缘交换节点B的用户数据包打包成聚合数据包P后，再发送到中间交换节点进行转发；边缘交换节点B作为拆分端，从中间交换节点接收到聚合数据包P，再拆分成原来的用户数据包，发送至目的地或继续转发。本发明所公开的方法掩盖用户网络流量特征保护用户隐私，同时维持较小的额外开销，降低对用户体验的影响；另外，用户可以修改保护方法的参数，以提高保护效果或提高网络吞吐量。

技术领域

本发明涉及网络流量分析技术领域，特别涉及一种基于聚合流量的网络流量隐私保护方法。

背景技术

在过去的网络环境中，网络信息疏于加密保护，用户和网站的信息在网络中以明文的形式传递。这样的信息传递方式带来了巨大的数据泄露风险，处于数据传输路径中的中间人(MITM：Man In The Middle)可以轻易获取到用户和网站的完整信息。随着网路安全意识的提高，安全套接字/传输层安全(SSL/TLS)的使用率从2014年的26％提高到2018年的70％，越来越多的网站使用https对数据进行加密传输。这类方法使得网络中的数据包内容得到加密，在密码安全的前提下中间人无法通过从中间网络节点获得的网络流量中直接取得数据内容。

如今的网络环境中，活跃的重要流量几乎都是加密的，但是仍然可以借助机器学习等技术，分析这些加密的流量的其他特征，获得额外的各种信息，这就是网络流量分析技术。

这一技术应用场景丰富，例如网页指纹(Website Fingerprinting)：用户选择使用代理和DNS over https或Tor(洋葱路由)等方法匿名接入网络。这类方法使得网络中数据报的头部地址信息进一步受到混淆，不能简单判断用户访问的目的网站。但是，通过分析这类流量的特征可以非常准确的判断正在访问的网站，即得到了这个网站的指纹(WebsiteFingerprinting)。除了网站指纹信息，相同的分析策略还可以使用在用户所使用的应用，所使用的设备上，得到应用的指纹，设备型号的指纹，设备操作系统的指纹等等。这一系列的信息可以反映用户本身的行为特征，组合成用户的肖像，进一步威胁用户的隐私信息。

一般来说，上述的网络流量分析方法是通过分析用户流量的外部特征，包括数据包所使用的网络协议类型，尺寸大小、时间戳、方向等，来推断用户更多的隐私信息。因此，安全设计研究人员一般通过掩盖用户加密流量的这些外部特征来实现隐私保护。一般的方式包括：

(1)对数据包注入一些冗余信息，改变数据包的尺寸大小；

(2)数据包的转发加入等待延迟，影响攻击者收到数据包的时间戳；

(3)注入冗余的数据包，影响流量整体的特征。

目前这类隐私保护方法可以有效的降低流量分析(一般为分类、聚类等目的)的效果，(包括recall,precision,FPR等指标)，但是他们仍然存在其他的问题：

(1)引入较大的网络开销，例如在洋葱路由中，每一个数据包都会通过冗余信息注入得到完全相同的尺寸。一些其他的方法中，引入延迟和冗余数据包显然也会增加带宽和速率开销。

(2)可能有较大的使用限制，例如，有的保护方法虽然可以用较小的开销达到良好的保护效果但是往往是针对于某种类型的流量分析方法，如针对于使用深度学习方法的分析方法，针对使用近邻算法的分析方法等等。

发明内容

为解决上述技术问题，本发明提供了一种基于聚合流量的网络流量隐私保护方法，掩盖用户网络流量特征保护用户隐私，同时维持较小的额外开销，降低对用户体验的影响；另外，用户可以根据自身信息重要程度或所使用服务对于实时性的要求修改保护方法的参数，以提高保护效果或提高网络吞吐量。

为达到上述目的，本发明的技术方案如下：