Original title: Identifikace mobilních aplikací v šifrovaném provozu
Translated title: Identification of Mobile Applications in Encrypted Traffic
Authors: Snášel, Daniel ; Burgetová, Ivana (referee) ; Matoušek, Petr (advisor)
Document type: Master’s theses
Year: 2022
Language: cze
Publisher: Vysoké učení technické v Brně. Fakulta informačních technologií
Abstract: [cze] [eng]
Práce se zaměřuje na identifikaci mobilních aplikací v šifrovaném provozu na základě TLS otisků. Cílem práce bylo vytvoření architektury pro získávání vybraných atributů z ustanovení spojení TLS, vytvoření TLS otisků a jejich porovnávání. Byl zde kladen důraz na přesnost jednotlivých metrik, kvalitu vybraných atributů a na určení porovnávacího prahu T, který byl ve výsledku určen na 75 %. Bylo zvoleno celkem deset atributů z ustanovení TLS spojení, jako jsou IP adresa, Cipher Suites, Server Name Indication, velikosti prvních deseti paketů a další. Pro porovnávání jednotlivých atributů bylo zvoleno přesné, podřetězcové a indexové porovnávání. Celková podobnost dvou TLS otisků se následně vypočítá jako vážený součet shod jednotlivých atributů.  Výsledná architektura umožňuje porovnat TLS otisky aplikací z vytvořeného datasetu s nově vytvořenými otisky ze zašifrované komunikace, a tak identifikovat aplikace. Dále umožňuje manuální nebo automatické naučení nových aplikací z porovnávaného souboru, připadaně aktualizaci známých TLS otisků aplikací v datasetu. The work focuses on the identification of mobile applications in encrypted traffic based on TLS fingerprints. The aim of the work was to create an architecture for obtaining selected attributes from TLS  connection handshake, to create TLS fingerprints and their comparison. Emphasis was placed on the accuracy of individual metrics, the quality of selected attributes and on the determination of the  threshold T comparison, which was ultimately set at  75 %. A total of ten attributes were selected from the TLS connection handshake, such as IP address, Cipher Suite, Server Name Indication, the size of the first ten packets and more. Accurate, substring and index comparisons were chosen to compare individual attributes. The total similarity of the two TLS fingerprints is then calculated as the weighted sum of the matches of the individual attributes. The resulting architecture allows you to compare TLS application fingerprints from the created dataset with newly created fingerprints from encrypted communication, and thus identify the applications. It also allows manual or automatic learning of new applications from the compared file, or updating of known TLS fingerprints of applications in the dataset.
Keywords: encrypted traffic; identification of applications; JA3; JA3s; mobile applications; TCP; TLS; TLS fingerprinting; TLS handshake; identifikace aplikací; JA3; JA3s; mobilní aplikace; TCP; TLS; TLS otisk; ustanovení TLS spojení; šifrovaný provoz

Institution: Brno University of Technology (web)
Document availability information: Fulltext is available in the Brno University of Technology Digital Library.
Original record: http://hdl.handle.net/11012/207862

Permalink: http://www.nusl.cz/ntk/nusl-594297


The record appears in these collections:
Universities and colleges > Public universities > Brno University of Technology
Academic theses (ETDs) > Master’s theses