基于进化模糊测试的远程黑盒TLS指纹识别自动化探针生成方法

《Journal of Information Security and Applications》：Using fuzzing for automated probe message generation in remote black-box TLS fingerprinting

　　

安全网络通信对于各领域中功能安全性和用户接受度都至关重要，尤其在物联网环境中，信息物理系统连接了物理世界与网络空间。远程软件实现与版本识别（指纹识别）为安全运维专家和渗透测试人员提供了有价值的情报。然而，现有的指纹识别工具依赖人工构造的探针集，这需要深入的协议专业知识，并且可能遗漏细微的行为差异。本研究提出了一种自动化方法，用于黑盒远程TLS实现指纹识别，该方法结合了差分测试与进化模糊测试技术。研究人员的进化模糊测试算法有效地发现了不同TLS实现之间的众多行为差异。该方法利用了通用消息树（Generic Message Tree, GMT）表示法，能够生成多样化且基本有效的协议消息。实验研究覆盖了来自六大品牌的323个TLS服务器实现。研究人员应用聚类方法来衡量不同指纹识别配置的效率。由研究人员模糊测试方法生成的探针所区分的行為集群数量约为现有可比软件的3.5倍：仅需35个自动生成的探针的最小集合，即可将323个实现区分为155个集群。在该参考集上，这些集群实现了完整的品牌识别，并将目标锁定在一个小范围的同品牌版本内。

1. 研究背景、现存问题与研究意义

随着网络威胁日益严峻，网络安全评估工具的重要性不断提升。安全专业人员利用这些工具收集网络节点上的软件信息，以确保系统更新并修补已知漏洞。传输层安全协议（Transport Layer Security, TLS）作为在不安全网络上实现安全通信的关键协议，其多种实现在各类系统中广泛部署，例如Web服务器中的OpenSSL、GnuTLS、NSS，以及嵌入式系统中的MbedTLS、MatrixSSL等。特定TLS版本中存在严重漏洞（如远程代码执行、拒绝服务、内存损坏），这使得精确识别目标系统上运行的TLS实现（包括具体品牌和版本）至关重要。然而，现有的指纹识别工具，如tls_prober，依赖于需要深厚协议专业知识和大量测试的人工构造探针集。这种手动方法限制了可扩展性，并且可能遗漏能够提升指纹识别粒度（即区分不同实现细节程度）的细微行为差异。因此，研究人员旨在开发一种自动化方法，以克服手动构造探针的局限性，实现更高效、更精细的TLS服务器实现远程识别。

2. 研究方法与技术路线

为解决上述问题，研究人员采用了一种结合差分测试（differential testing）与进化模糊测试（evolutionary fuzzing）的自动化方法。关键技术方法如下：

• •
  进化模糊测试算法：用于自动生成具有区分能力的探测消息（probe messages）。该算法包含两种策略：“UnguidedExponential”（无引导指数）和“NezhaLike”响应分布引导（Response-Distribution-Guided, RDG）算法。后者优先选择那些曾引发与大多数实现不同响应的消息，从而系统地增加跨TLS实现的响应差异。
• •
  通用消息树（Generic Message Tree, GMT）表示法：这是一种有序、类型化的树结构，其中每个节点代表一个消息组件。它能够将线性比特串转换为反映消息结构的树状表示，从而实现结构感知的变异（structure-aware mutation），即在理解消息结构的基础上进行修改，可以产生从格式良好到结构无效的各种消息。
• •
  差分测试框架：通过向所有目标TLS实现发送相同的探针消息，并比较它们返回的响应，来发现不同实现间的行为差异。响应被归一化为规范形式，如ServerHello、TLS Alert或连接关闭等稳定响应，而超时、TCP重置等不稳定响应则被排除在严格相等比较之外。
• •
  聚类分析与探针集优化：根据实现对所有探针的完整响应向量进行聚类，两个实现属于同一集群当且仅当它们在每个产生稳定响应的探针上返回完全相同的标准化响应。随后，通过迭代移除不减少集群数量的冗余探针，得到一个保持全部区分能力的最小探针集。

3. 研究结果

• •
  生成效率与策略对比：研究人员生成了总计约38万个不同的探针。结果显示，“UnguidedExponential”策略在聚类效果上略优于“NezhaLike”RDG策略（平均126个集群 vs. 105个集群）。原因是RDG策略的响应驱动目标会被不稳定响应误导，从而膨胀了表面多样性而未增加有效区分信号。此外，“UnguidedExponential”策略在不同种子运行间的结果一致性更高。
• •
  最小探针集性能：经过贪婪集合覆盖（greedy set-cover）优化后，由模糊测试生成的探针最终形成了一个仅含35个探针的最小区分集，成功将323个TLS实现区分为了155个行为集群。相比之下，人工构造的tls_prober探针集（295个探针）仅能区分44个集群。这表明模糊测试生成的探针区分能力是前者的约3.5倍。性能差距主要集中在NSS（Network Security Services）库的实现上。
• •
  探针结构分析：对这35个探针的结构突变类别进行分析发现，多数探针涉及对记录层版本字段、注入额外记录、记录长度字段、ClientHello版本字段、握手长度字段等的修改。这表明触发实现间行为差异的关键在于对协议消息结构和边界的异常处理。
• •
  稳定性分析：在不同品牌中，不稳定响应（主要为超时和TCP重置）的比例介于11.0%（MbedTLS）到22.6%（NSS）之间。研究人员通过严格的稳定/不稳定响应分类，确保了聚类结果的可靠性，因为不稳定响应不会被用来强制划分集群。

4. 讨论与结论

讨论部分总结：本研究的探针生成方法与基于状态机推理的方法（如tlsprint）是互补而非竞争关系。状态机方法通过发送格式良好的消息并改变其顺序，从握手的顺序逻辑中获取区分信息，适用于观察跨越多个握手步骤的差异。而本研究聚焦于单个ClientHello消息的模糊测试，从单次无状态交互和消息内部结构中提取区分信息，特别擅长探测早期输入验证和解析层面的行为差异。该方法的一个关键优势是其低成本和高度并行化能力。同时，论文也指出了方法的局限性，例如当前仅对ClientHello消息进行模糊测试，未来可扩展到其他握手消息；以及当前的评估环境为本地Docker容器，在实际网络条件下，更高的延迟和抖动可能会增加不稳定响应率，导致分辨率下降而非错误分类。

研究结论部分翻译：本论文的研究贡献如下：

• •
  据研究人员所知，这是首次使用进化模糊测试来自动生成用于黑盒TLS服务器实现指纹识别的区分性探针消息，通过通用消息树（GMT）对ClientHello消息进行结构感知、免密码学的变异。
• •
  研究人员在来自六大品牌（包括嵌入式的MbedTLS和MatrixSSL）的323个TLS服务器实现上评估了该方法，结果表明，由模糊测试生成的35个最小区分探针集可将实现分离为155个行为集群——大约是手工制作的tls_prober探针集的3.5倍，并且比基于状态机的tlsprint更精细。
• •
  基于GMT的技术是协议无关的，使其能够扩展到其他协议，如安全外壳协议（Secure Shell, SSH）或QUIC。