27、从取证角度看比特币网络协议

从取证角度看比特币网络协议

1. 引言

在比特币网络中，存在一种不转发网络消息，仅接收和分析消息的节点。目前，尚未有论文尝试分析比特币客户端的网络流量，也没有从取证调查人员的角度探讨比特币网络流量。

2. 方法

在详细介绍实验方法之前，先说明适合该实验的网络数据收集类型。处理网络数据需要了解计算机网络协议，因此会介绍与比特币网络协议相关的基本网络协议信息。

比特币协议同时使用 TCP 和 UDP 协议。比特币客户端需要与网络中的其他参与者进行通信，为此它会使用 DNS 协议（依赖 UDP 协议）来获取比特币参与者的 IP 地址列表。找到其他参与者后，客户端会使用 TCP 传输协议进行网络通信，以确保网络连接的可靠性。

我们采用了一种网络取证流程，该流程包含九个阶段，但在本次研究中，省略了事件响应和检测阶段，因为本次实验未涉及入侵或网络攻击情况。同时，将调查阶段的重点从确定攻击者转变为寻找研究问题的答案。

2.1 准备阶段

为创建包含比特币网络流量的数据集，需要准备一个可控环境，并配备适当的网络取证分析工具（NAFT）。在该环境中，为比特币客户端提供互联网连接，使其能够与比特币网络进行交易。收集客户端的所有网络流量，用于后续分析。

2.2 收集阶段

在网络中，单个 IP 地址代表一个节点。在消费市场中，这通常是互联网服务提供商（ISP）客户家中调制解调器的 IP 地址。调制解调器通过与 ISP 的路由器（网关）通信连接到互联网。

在调制解调器和网关之间拦截网络信息时，有两种类型的信息可用于进一步分析：
-