《Knowledge-Based Systems》：Unveiling User Activities on Instant Messaging Platforms: A Study of Activity Fingerprinting through Traffic Analysis and Machine Learning Techniques
编辑推荐：
加密即时通讯（Instant Messaging, IM）流量隐藏了消息内容，但仍会暴露可揭示用户行为的通信模式。本文提出一个统一框架，通过使用机器学习（Machine Learning, ML）技术分析加密流量，来推断多个IM平台上的用户活动。该研究方法整合
加密即时通讯（Instant Messaging, IM）流量隐藏了消息内容，但仍会暴露可揭示用户行为的通信模式。本文提出一个统一框架，通过使用机器学习（Machine Learning, ML）技术分析加密流量，来推断多个IM平台上的用户活动。该研究方法整合了经验流量特征化、以交易为中心的分割（transaction-centric segmentation）和轻量级分类器，以实时检测用户操作，如发送或接收文本和多媒体消息。利用Zeek作为核心分析引擎，该框架执行数据包检查、交易分割、连接分类和特征提取。该框架在来自九个主要IM平台（Discord、Facebook Messenger、Instagram、Snapchat、Microsoft Teams、Telegram、WeChat、WhatsApp和X）的流量上进行了评估，获得的F1分数（F1 scores）范围从X的0.62到WhatsApp的0.98。与先前局限于单一应用或合成数据集的研究不同，本研究采用现实、用户驱动的流量，并明确区分消息类型和方向，从而改进了比较和跨平台泛化性。除方法论进展外，本研究还揭示了加密通信中固有的隐私风险，并概述了减轻活动指纹识别的伦理保障和应对措施。研究结果表明，在负责任的、基于同意的条件下，对加密消息活动进行准确、实时的推断是可行的，这为网络取证（network forensics）和隐私感知通信设计提供了有价值的见解。
论文解读文章
**研究背景与问题**
即时通讯（IM）平台已成为现代通信的核心工具，广泛应用于个人与职业场景。尽管许多平台采用加密技术（如传输层加密TLS及端到端加密E2EE）保护消息内容，但加密流量仍通过数据包大小、时序和流量统计等侧信道特征泄露信息。这种“活动指纹识别”可推断用户行为、通信习惯和交互模式，对隐私构成潜在威胁。现有研究存在若干局限：多数仅在单一平台上测试，缺乏跨平台泛化能力；依赖长观察窗口和离线处理，难以满足实时场景；高精度模型常以计算复杂度为代价，阻碍其在延迟敏感或资源受限环境中的部署。因此，需要一种轻量级、可推广的基于机器学习的解决方案，在保持跨平台泛化性的同时实现实时运行。本研究提出一个统一框架，旨在通过交易级分割和轻量级分类器，在多个IM平台上实时推断用户活动（包括发送和接收文本与多媒体消息）。
**研究内容与结论**
研究人员通过分析来自九个主要IM平台（Discord、Facebook Messenger、Instagram、Snapchat、Microsoft Teams、Telegram、WeChat、WhatsApp和X）的加密流量，验证了所提框架的有效性。该框架采用交易分割策略（基于1秒时间阈值），提取统计特征，并利用信息增益进行平台感知的特征选择。实验结果表明，树基模型（随机森林、Bagging和Boosting）在多数平台上取得了良好的性能，F1分数从WhatsApp的0.98到X的0.62不等，证明在负责任且基于同意的条件下，实时、准确地推断加密消息活动是可行的。该研究还揭示了不同平台间背景流量（如Instagram和X的二级应用活动）对性能的影响，并讨论了隐私风险和伦理保障。论文发表在《Knowledge-Based Systems》。
**主要技术方法**
研究人员使用Zeek作为核心分析引擎，对捕获的加密流量进行数据包检查和连接日志生成。关键方法包括：（1）交易级分割，基于1秒的帧间间隔阈值将流量流切割为与用户活动边界对齐的交易，实现实时处理；（2）特征提取，对每个交易记录发送/接收的平均字节数、标准偏差、数据包数量、时间间隔等统计量；（3）连接类型分类，依据行为规则和20 kB的字节阈值区分主连接、次要连接和控制连接；（4）特征选择，通过信息增益（Information Gain）排名确定每个平台的最优特征子集，对Telegram、X和WeChat同时考虑主连接和次要连接特征；（5）轻量级分类器，比较多种ML算法后，采用优化后的树基模型（随机森林、Bagging、Boosting）进行训练和测试。数据通过两个Android模拟器运行Python脚本模拟真实用户行为生成，涵盖文本和多媒体的发送与接收操作，并自动标注标签（StandBy、Text Reception、Text Sending、Multimedia Reception、Multimedia Sending）。样本来源为受控实验室环境，无真实用户参与。
**研究结果**
* **训练规模优化与模型选择**：通过比较50%和80%训练集大小的性能，发现50/50的训练-测试分割在准确性和泛化性之间达到最佳平衡，且推理时间更短。调整训练数据比例时性能变化小于1%，但推理时间随训练数据增加而上升。
* **跨平台性能评估**：树基算法（随机森林、Bagging和Boosting）在多数平台上表现最优，F1分数超过79%，准确率超过82%，其中WhatsApp达到F1=0.98，Discord、Facebook Messenger、Snapchat、Teams、Telegram、WeChat的F1在0.79-0.91之间。Instagram和X性能较低（F1分别为0.62和0.62），原因是这些平台的背景进程产生噪声，模糊了用户操作。混淆矩阵显示，最常见的错误是将非活动期误判为活动期，反之亦然，但模型在正确识别活动时能准确区分消息类型。
* **特征相关性与实时检测能力**：信息增益分析表明，特征区分能力与平台性能直接相关。WhatsApp的高性能源于其特征具有显著信息增益，而X的特征信息增益低，导致性能差。通过模拟数据与真实对话数据的对比验证，WhatsApp模型在真实对话上F1=0.95（仅比模拟测试集低0.03），证实模拟数据具有代表性。基于时间阈值的分割方法支持实时分类，无需等待连接结束。
* **与现有工作比较**：与[20]、[21]、[22]、[23]等研究比较，本框架在更现实、更多样的实验条件下取得了竞争性或更优的性能。例如，在WhatsApp上，本研究的F1=0.98，而[21]的复现结果为0.87；在Snapchat上，本研究F1=0.83，而[23]为0.59。这表明本方法提供了更高的跨平台泛化性、透明的特征工程以及区分消息发送与接收的能力。
**总结讨论**
研究结论部分翻译如下：消息传输（包括文本和多媒体）的指纹识别在大多数即时通讯平台上可以实现高精度。研究结果展示的F1分数范围从WhatsApp的0.98到X的0.62。基于这些发现，该模型可以自信地应用于诸如WhatsApp等平台，在这些平台上表现出近乎完美的准确性，而对于像X这样的平台，其可靠性可能不足以进行可靠部署。总体而言，所提出的方法（包括经验数据生成、连接特征化、特征提取与选择以及基于机器学习的分类）被证明能够有效、实时地对加密即时通讯活动进行准确的指纹识别。通过利用交易级分析而非完整连接，该框架支持低延迟、高可解释性的实时检测。除技术贡献外，本研究为理解加密流量如何无意中暴露用户活动模式提供了经验基础。研究结果既强调了此类分析在合法安全和取证应用中的潜力，也强调了负责任、隐私意识部署的必要性。为降低活动指纹识别风险，消息平台应考虑实施流量填充、批处理或时序随机化等应对措施以干扰可识别模式。未来工作可探索自适应防御以及训练模型跨不断演变的平台架构的可迁移性。
