Почему зашифрованный трафик всё равно узнаётся

Распространённое заблуждение: если трафик зашифрован, о нём ничего нельзя сказать. Содержимое действительно недоступно. Но у любого обмена есть внешние признаки, которые шифрование не прячет, — и по ним современные системы анализа делают выводы неплохой точности.

Что видно снаружи без расшифровки

• Размеры пакетов и то, как они распределены. Загрузка страницы, видеопоток и голосовой звонок дают совершенно разные картины.
• Тайминги: паузы между пакетами, их регулярность, всплески активности.
• Направление и соотношение: сколько ушло от вас и сколько пришло обратно.
• Длительность соединения и то, как оно завершается.
• Первые пакеты после установки соединения — самые информативные: у каждого приложения там свой почерк.

Ни один из этих признаков по отдельности ничего не значит. Работает их сочетание — и именно на сочетаниях обучают классификаторы: модели скармливают размеченные примеры разного трафика, и она находит закономерности, которые человек в лоб не сформулирует.

Почему однообразие заметнее шифра

Главный практический вывод: узнаваемым делает не слабое шифрование, а повторяемость. Если тысячи соединений выглядят одинаково — одна и та же последовательность первых пакетов, один и тот же ритм, одно и то же имя домена в начале обмена, — этого достаточно, чтобы описать шаблон. Разнообразие мешает анализу сильнее, чем усиление шифра.

Что из этого следует для пользователя

• Качество шифрования и заметность соединения — разные свойства. Можно иметь безупречный шифр и при этом легко описываемый профиль обмена.
• Настройки, которые добавляют в обмен заполнение и разброс размеров, влияют на заметность больше, чем выбор шифра.
• Один и тот же сервис на разных серверах и с разными параметрами выглядит по-разному — это работает в пользу пользователя.
• Универсального решения не существует: методы анализа развиваются, и любой фиксированный набор настроек со временем описывается.

Как устроен сам протокол, форму которого мы обсуждаем, разобрано в гайде прокси или VPN, а про то, что видит провайдер, — в материале о проверке утечек.