中间盒调查的笔记1

两种常见的技术：

1.使用中间人方法

弊端：允许弃用密码套件，一个异构型的网络需要很多经验丰富的管理员管理

2.key 的共享和委托

介绍：企业方向证书或者私钥。客户端共享会话密钥。

以上这两种技术，都违背了端到端加密的初衷，并且实现困难。在多个 MB 的方法中，对于

正则表达式的检测都需要解密数据包。MB 需要得到完全的信任

-------------------------------------------------------------------------

本文主要讨论一些加密方案，并研究它们在真实世界的使用部署

主动的需要解密或者修改底层协议（例如：访问控制，可搜索加密，机器学习和可信任

硬件）

分析了现有的方法，使作者更了解以后产业化的需求

解密流量是最好的办法，但是什么样的流量需要被解密，这是需要进一步研究的问题

-------------------------------------------------------------------------

实验模型和用例

blindbox blindIdS Bhargavan

图 123 展示了高级的框架内。

MB 被设置在 client 和 service 端之间时反应最位迅速。

第二部分提到的框架这里有详细的分析

----------------------------------------------------------------------------

信任模型

与以往的论文相同，都认为至少有一个端点时诚实的

当两个端点都是恶意的时候：Goltzsche David Goltzsche, Signe Rüsch, Manuel Nieke, Sébastien

Vaucher, Nico Weichbrodt, Valerio Schiavoni, Pierre-Louis Aublin, Paolo Costa, Christof Fetzer,

Pascal

Felber, Peter Pietzuch, and Rüudiger Kapitza. 2018. ENDBOX: Scalable Middlebox

Functions Using Client-Side Trusted Execution. In 48th Annual IEEE/IFIP International Conference

on Dependable Systems and Networks, DSN 2018, Luxembourg,

June 25-28, 2018. IEEE Computer Society, 1–12 ENDBOX 试图解决这个问题

本文的假设：一个实体可以是诚实的半诚实的或者不诚实的

表 1 有 list（共同之处：MB 都是诚实或半诚实的）只有 endbox 考虑了两端都不是诚实的情

SafeBrick [46], ShieldBox [56] and SGX-Box [31].被部署在云端，可能是恶意的

被动的无需解密或改变底层协议

部分检测：基于可搜索加密的技术仅仅在精确匹配和正则表达式匹配上解密

中间人可以解密流量进行主动检测

中间人检测的

优点：可以不改变底层的 tls 结构

功能性：流量可以被解密，也可以对流量再加密（可以处理加密和不加密的两种流量）

性能：根据一些公司的调查，setup 工作需要一定的网络流量和计算开销

局限：安全性问题，对于外包到云的 MB 不能得到完全的信任。

不解密底层流量进行 token 匹配的工作

spabox：使用的 Diffie-Hellman 基于不经意 伪随机 函数 用于 加密 规则 的准备。并

且还用到了机器学习

【 Xingliang Yuan, Xinyu Wang, Jianxiong Lin, and Cong Wang. 2016. Privacypreserving deep

packet inspection in outsourced middleboxes. In 35th Annual

IEEE International Conference on Computer Communications, INFOCOM 2016, San

Francisco, CA, USA, April 10-14, 2016. IEEE, 1–9.】：提出比 blindbox 更高效的过滤器，扩展了

令牌机制，虽然高效但是需要托管。

privDPI：改进了 blindbox 的握手机制，减少 setup 时间，并且使用可以重复使用的中间

规则

优点：TLS 不需要被修改，提供了不解密加密流量的检测办法（可疑时依然解密）

局限性：规则和 token 的 rule 的映射。serv、client 都需要安装协议。需要独立的信道

性能：client 因为要处理 token 计算过于密集，mb 只执行匹配

机器学习

优点：不需要改变 tls，从而保证了协议设计之初的安全性

局限性：功能性，针对不同的情况需要改造迎合不同类型的中间件，性能上，需要高逼

真度的训练，很难获得

可信任硬件

解密流量不在 mb，而在一个可以信任的地方。主要需要把会话密钥安全的运送到可信

任硬件

SGXBOX

------------------------------------------------------------------------------------------------------------------

中间人技术依然是最受业界欢迎的技术

当前的主要问题是保护 tls 的端到端安全，尽量少的泄露信息给 MB

安全性上：主要体现在 token 可能会泄露信息，MB 可能会与恶意的 client 或者 serv 合谋，ML

技术如何获得准确的训练集

性能上：SE 方案可以保护隐私，但是缠上的开销巨大（仅仅信道就要求两个）。机器学习的

解决方案理想，但是需要进一步的探索

新的方案正在向安全硬件（安全飞地）方面转移

看看 ENDBOX SGXBOX

翻译：

概论：

一个常见的在实践中解决这个问题是由采用中间人（MITM） 的方法，其特征在于， 一个

用例，信任和威胁模型组成的框架，我们将它们分为四个主要类别。这些是可搜索的加密，

访问控制，机器学习和受信任的硬件。我们首先讨论中间人方法作为一个基线，然后讨论在

它们的每个细节，并提供了一个深入比较它们的优点和局限性。通过这样做 ，我们描述了

采用该技术的实际限制，优势和陷阱。继此，我们给出现有方法之间的区别和在业界的表现，

这引导我们现在面临的挑战和研究的方向。

1 引言：

包检查和分析已被用于对检测，减轻和阻止在家庭和企业网络可疑的活动。这个实现通过

实时检查的报头和有效载荷的网络流量。为这个目的部署的设备被称为中间件。一个中间设

备（MB）提供各种服务 ，在当今的计算机网络基础架构中必不可少。一个主要的服务包括

部署 MB 提供给系统和用户安全，用于例如，作为个人和组织的防火墙，入侵检测和预防系

统，家长过滤，数据泄露检测系统，取证分析工具，如良好的恶意软件分析系统。在另外在

安全方面，它也常见到部署 MB 提供性能和运营服务。这些包括服务于代理/高速缓存作为

为了使服务提到上面在一个有效行为，中间件经常执行网络检查和分析使用一个公认的技术

称为为深包检查（DPI）。DPI 工具深入检测网络数据包的报头和有效载荷，对比以传统包检

例如流量特点，应用状态。然而，目前 87％ 90％的网络通信量使用 TLS 加密。根据谷歌