60、基于MEEK的TOR隐藏服务访问识别

基于MEEK的TOR隐藏服务访问识别

1. Meek技术概述

Meek是受审查地区用户常用的可插拔传输方式之一。它运用域名前置技术来绕开审查，从而访问被审查机构禁止的域名。Meek机制主要由三部分构成：与Tor客户端绑定的Meek客户端、由云服务提供商提供的具有合法域名的前端服务器，以及与Tor路由器绑定的Meek服务器。具体流程如下：
1. 数据封装与发送 ：Meek客户端将Tor客户端的数据封装进HTTP POST请求的负载中，并通过HTTPS请求发送给前端服务器。请求中的DNS查询域名和TLS的SNI字段均为合法域名，而HTTP部分的主机头字段则是被禁止的域名。由于HTTP部分已被TLS加密，审查机构只能获取到合法域名，无法解析用户真正想访问的域名。
2. 数据转发与响应 ：前端服务器接收到请求后，提取内部的HTTP请求并发送给Meek服务器。由于Meek服务器不能主动向Meek客户端推送数据，Meek客户端需要不断轮询前端服务器，检查Meek服务器是否有数据转发回来，最终提取响应内容。

2. 相关研究工作

• Tor可插拔传输流量检测 ：许多研究采用机器学习方法检测Tor可插拔传输流量，并取得了不错的成果。针对Meek流量识别的研究也越来越多，均达到了先进的检测性能。
• 网站指纹攻击 ：该领域需要收集客户端流量，然后使用流量分类方法训练分类器。不同的是，网站指纹攻击需要判断用户访问了哪个网站，而我们要判断用户是否访问了Tor隐藏服务。此领域的许多优秀工作提出了具有重要