[發(fā)明專利]Tor匿名通信流量應(yīng)用分類的方法

有效

• 申請(qǐng)?zhí)枺?/td>: 201410370944.8
• 申請(qǐng)日: 2014-07-30
• 公開（公告）號(hào): CN104135385B
• 公開（公告）日: 2017-05-24
• 發(fā)明（設(shè)計(jì)）人: 蔣平;許勇;趙琛;史明文;汪兆斌
• 申請(qǐng)（專利權(quán)）人: 南京市公安局
• 主分類號(hào): H04L12/24
• 分類號(hào): H04L12/24;H04L29/06
• 代理公司: 北京科億知識(shí)產(chǎn)權(quán)代理事務(wù)所(普通合伙)11350
• 代理人: 湯東鳳

1.一種Tor匿名通信流量應(yīng)用分類的方法，其特征是包括步驟：

1)利用Tor的數(shù)據(jù)包調(diào)度機(jī)制，定義流突發(fā)段概念，并以流突發(fā)段的體積值和方向作為分類特征；

2)基于K-均值聚類算法和多序列比對(duì)算法對(duì)分類特征的數(shù)據(jù)樣本進(jìn)行預(yù)處理，通過數(shù)值符號(hào)化和插入空隙的方式來(lái)解決數(shù)據(jù)樣本過擬合和長(zhǎng)度不一致問題；經(jīng)過數(shù)據(jù)樣本預(yù)處理，數(shù)值已經(jīng)符號(hào)化，是由字母和空位組成，且長(zhǎng)度是相同的；

3)使用Profile隱馬爾科夫模型對(duì)不同應(yīng)用的上行和下行Tor匿名通信流量分別進(jìn)行建模；

4)最后，將待分類網(wǎng)絡(luò)流量的特征代入不同應(yīng)用的Profile隱馬爾可夫模型中，分別計(jì)算出上行和下行流量模型對(duì)應(yīng)的概率，并以最大聯(lián)合概率值來(lái)決定待分類的Tor匿名通信流量所包含的上層應(yīng)用類型；

所述步驟3)中，使用啟發(fā)式方法建立Tor匿名通信流量的Profile隱馬爾可夫模型，方法如下：

Tor匿名通信流量的Profile隱馬爾可夫模型由Match、Insert、Delete三種狀態(tài)組成；為確定Match、Insert、Delete狀態(tài)，首先對(duì)數(shù)據(jù)樣本進(jìn)行排列，分類特征的每一特征向量為一行，構(gòu)成樣本矩陣；

考察樣本矩陣的每一列，每一列即對(duì)應(yīng)Profile隱馬爾可夫模型中的一個(gè)Match或Insert狀態(tài)；確定每一列對(duì)應(yīng)的具體的狀態(tài)的方法為：如果該列中字母出現(xiàn)的數(shù)量超過一半，則為Match狀態(tài)，如果該列中字母出現(xiàn)的數(shù)量沒有超過一半，為Insert狀態(tài)；Delete狀態(tài)則由Match狀態(tài)對(duì)應(yīng)的列中的空位決定，空位越多，則表示從前一個(gè)狀態(tài)轉(zhuǎn)移到此Delete狀態(tài)的概率越大；

由于Delete狀態(tài)不產(chǎn)生輸出，因而無(wú)需計(jì)算其對(duì)應(yīng)的輸出概率，而Insert狀態(tài)的輸出為隨機(jī)輸出，其可觀察字符集包括樣本中所有出現(xiàn)的字符，且輸出概率為等概率分布，即對(duì)于所有的可觀察字符，其產(chǎn)生的概率均為1/C，C為字符集合大小；所以確定Match、Insert和Delete狀態(tài)后，僅計(jì)算狀態(tài)間的轉(zhuǎn)移概率以及Match狀態(tài)的輸出概率，方法為：

首先統(tǒng)計(jì)狀態(tài)間的轉(zhuǎn)移次數(shù)和Match狀態(tài)對(duì)應(yīng)的列中各字符出現(xiàn)的數(shù)量；

轉(zhuǎn)移概率計(jì)算為：狀態(tài)i轉(zhuǎn)移到狀態(tài)j的次數(shù)除以狀態(tài)i轉(zhuǎn)移的總次數(shù)；

輸出概率計(jì)算為：第i個(gè)Match狀態(tài)輸出字符a的次數(shù)除以該狀態(tài)輸出的所有字符的總數(shù)量。

2.根據(jù)權(quán)利要求1所述的Tor匿名通信流量應(yīng)用分類的方法，其特征是所述步驟1)中，將網(wǎng)絡(luò)流中相反方向報(bào)文間的數(shù)據(jù)長(zhǎng)度大于0即不包括報(bào)文頭部字段的連續(xù)報(bào)文定義為流突發(fā)段，并將流突發(fā)段的體積值定義為該流突發(fā)段中所有報(bào)文長(zhǎng)度的總和，流突發(fā)段的方向定義為流突發(fā)段中報(bào)文的方向，即入流方向或出流方向；分類特征選擇為流突發(fā)段的體積值和方向。

3.根據(jù)權(quán)利要求2所述的Tor匿名通信流量應(yīng)用分類的方法，其特征是所述步驟1)中，

Tor匿名通信系統(tǒng)利用libevent事件實(shí)現(xiàn)輸入緩沖區(qū)和輸出緩沖區(qū)中數(shù)據(jù)的處理調(diào)度，表示為隱式的輪詢調(diào)度；當(dāng)Tor節(jié)點(diǎn)從TLS/Socks接口接收到信元數(shù)據(jù)后，將其存入相對(duì)應(yīng)的輸入緩沖區(qū)中；對(duì)于存在輸入緩沖區(qū)中的信元，Tor采用輪詢調(diào)度策略對(duì)其進(jìn)行解密或加密處理；

輪詢調(diào)度策略的方法為：

首先處理第一個(gè)輸入緩沖區(qū)中的信元，處理完一定數(shù)量的信元后，接著處理第二個(gè)輸入緩沖區(qū)中的信元，以此類推，直至最后一個(gè)輸入緩沖區(qū)；然后再返回第一個(gè)輸入緩沖區(qū)處理，如此循環(huán)反復(fù)；

對(duì)于輸入緩沖區(qū)中的信元，處理完畢后，再存入相對(duì)應(yīng)的輸出緩沖區(qū)中；對(duì)于輸出緩沖區(qū)隊(duì)列，與輸入緩沖區(qū)隊(duì)列類似，Tor同樣采用輪詢策略來(lái)進(jìn)行調(diào)度，將不同緩沖區(qū)中的信元通過TLS/Socks接口發(fā)送至網(wǎng)絡(luò)；

對(duì)于流突發(fā)段，設(shè)c1,c2,s1,s2,s3,s4,c3,c4為客戶端與服務(wù)器之間的交互報(bào)文且報(bào)文長(zhǎng)度大于0，其中，ci代表客戶端發(fā)出的報(bào)文，si為服務(wù)器端返回的響應(yīng)報(bào)文，i為自然數(shù)；則{c1,c2}、{s1,s2,s3,s4}和{c3,c4}為三個(gè)不同流突發(fā)段；則將流突發(fā)段體積值定義為段中所有報(bào)文長(zhǎng)度的總和，突發(fā)段的方向定義為段中報(bào)文的方向，即入流方向或出流方向。