CN111865823A - 一种轻量化以太坊加密流量识别方法 - Google Patents

Abstract

本发明公开了一种轻量化以太坊加密流量识别方法，首先，设置活跃节点库记录以太坊活跃节点信息，由以太坊核心节点库初始化活跃节点库，并由流量识别结果动态更新活跃节点库；然后，对活跃节点库中有记录的节点，由端口号、报文大小、报文到达顺序识别是否为以太坊UDP流量，由以太坊加密握手、标识报文统计结果识别是否为以太坊TCP流量。本发明能够充分的利用以太坊加密流量的特征，准确的识别以太坊加密流量，为以太坊的网络监管打下坚实基础。

Description

一种轻量化以太坊加密流量识别方法

技术领域

本发明属于加密流量测量领域，具体涉及一种轻量化以太坊加密流量识别方法。

背景技术

区块链是一种由多方共同维护，能够实现数据一致存储、不可篡改、多方访问、去中心化的记账技术，也称为分布式账本技术。区块链为进一步解决互联网中的信任问题、安全问题和效率问题提供了新的解决方案，也为金融等行业的发展带来了新的机遇和挑战。近年来，区块链技术的应用逐渐广泛，但随之而来的监管问题也变得愈发突出。区块链匿名性和多方维护的设计，使得区块链的有效监管十分棘手。

作为区块链中的代表性应用，以太坊在中本聪提出的区块链结构基础上，引入了私有RLPx加密协议对数据打包和加密，进一步加强了其匿名性，这也催生了众多针对以太坊网络的攻击或利用以太坊作为勒索工具的事件的频繁发生。因此，监管以太坊流量从而及时发现攻击行为对以太坊的稳定运行至关重要，而以太坊流量监管的第一步就是对以太坊加密流量的识别。

国内外针对以太坊监管的相关研究主要集中在对公有链的溯源、对以太坊应用的识别和对以太坊拓扑结构的构建中。对公有链的溯源主要是比特币的身份识别问题，相较于比特币采用的不加密的通信方法，以太坊采用了一个临时会话秘钥对通信内容进行了加密，导致针对比特币流量的监管方法对以太坊不再适用。对以太坊应用识别主要是对在以太坊平台上开发的Dapps(去中心化应用)的识别，其本质还是对传统TLS(安全传输层协议)流量的分类，而不是对以太坊本身流量的研究；对以太坊节点拓扑的构建通过获取节点连通信息构建以太坊拓扑结构，但仅仅是对拓扑的构建不足以实现对整个以太坊网络的监管。

以太坊RLPx协议定义了以太坊基于P2P的通信方法，包含了邻居节点获取过程、节点可用性探测过程、数据传输过程。其中，使用UDP(用户数据报协议)完成邻居节点获取和节点可用性探测过程，使用TCP(传输控制协议)完成数据传输过程。节点可用性探测通过Ping-Pong实现，邻居节点获取过程通过请求-应答方式实现，以太坊定义了所用的Ping-Pong报文和请求-应答报文的格式，导致不同流的以太坊UDP报文间存在极高的相似性。以太坊基于TCP实现数据的传输，首先通过交换各自的信息生成临时会话秘钥，实现对通信过程的加密，保证了前向安全性。以太坊TCP用一个固定个大小的标识报文确定请求内容，导致不同流的以太坊TCP流量中标识报文出现频率普遍较高。以上特性为以太坊加密流量的识别提供了极多的可用信息，但目前还没有相关工作的研究。

发明内容

发明目的：本发明提供一种轻量化以太坊加密流量识别方法，能充分利用以太坊加密流量的特征，准确的识别以太坊加密流量，为以太坊的网络监管打下坚实基础。

技术方案：本发明所述的一种轻量化以太坊加密流量识别方法，其特征在于，包括以下步骤：

(1)设置活跃节点库记录以太坊活跃节点信息，由以太坊核心节点库初始化活跃节点库，并由流量识别结果动态更新活跃节点库；

(2)对活跃节点库中有记录的节点，由报文和流的不同统计特征分别识别是否为以太坊UDP或以太坊TCP流量。

进一步地，所述步骤(1)包括以下步骤：

(11)采用网络爬虫工具在指定的以太坊节点统计网站中爬取公开的以太坊节点信息，并转为核心节点库中可用的格式类型；

(12)核心节点库接收由网络爬虫爬取到的结果，查询核心节点库中是否已经存在相应条目，若存在，则丢弃该结果，转步骤(13)，否则，将节点信息添加到核心节点库中，转步骤(13)；

(13)若已经爬取了以太坊节点统计网站中的所有节点信息，则使用核心节点库中的信息填充以太坊活跃节点库，转步骤(14)，否则，继续爬取核心节点信息，转步骤(11)；

(14)采用由核心节点库填充的以太坊活跃节点库进行后续的以太坊加密流量识别；

(15)活跃节点库接收由流量识别结果传入的以太坊节点信息，检测活跃节点库中是否已经存在相应条目，若存在，更新相应条目中的超时时间信息，否则，将节点添加进活跃节点库中，并设置超时时间；

(16)活跃节点库中节点设置超时时间，若直至超时时间结束，仍未检测到该节点产生了新的以太坊流量，则从活跃节点库中剔除该节点信息，否则该次活跃节点库更新过程结束。

进一步地，步骤(2)所述的报文和流的统计特征主要包括以太坊UDP流量识别中的端口、报文大小、报文到达顺序及以太坊TCP流量识别中的以太坊握手过程、以太坊标识报文统计结果。

进一步地，所述步骤(2)包括以下步骤：

(21)流量到达，开始以太坊加密流量识别流程；

(22)提取流量的源宿节点信息，查找活跃节点库，若活跃节点库中既不存在源地址信息，也不存在宿地址信息，则该条流不是以太坊流量，该次识别结束，若在活跃节点库中查找到了源地址或宿地址信息，转入步骤(23)；

(23)判断该条流是否具有高端口号的特性，若端口号低，则该条流不是以太坊流量，该次识别结束，若使用了高端口号，转入步骤(24)；

(24)判断该条流的传输层协议类型，若是UDP协议，转入(25)，若是TCP协议，转入(27)，否则，该条流不是以太坊流量，该次识别结束；

(25)提取流量的报文大小特征，若报文大小分布于[110,200]或[280,300]间，且报文顺序间存在Ping-Pong特征，则该条流是以太坊UDP流，将节点信息上报，并通过步骤(15)至步骤(16)对上报的节点信息进行处理，该次识别结束，否则，转入步骤(26)；

(26)判断返回报文大小是否为425和1057，且顺序固定，若是，则该条流是以太坊UDP流，将节点信息上报，并通过步骤(15)至步骤(16)对上报的节点信息进行处理，该次识别结束，否则，该条流不是以太坊流量，该次识别结束；

(27)判断在TCP三次握手后是否紧跟以太坊加密握手过程，双方首次交换的报文大小在[400,600]之间，若不存在，则该条流不是以太坊流量，该次识别结束，否则，统计所有报文中标识报文的出现频率，转入步骤(28)；

(28)判断标识报文的出现频率是否大于预设的阈值，若标识报文出现频率低于阈值，则该条流不是以太坊流量，该次识别结束，否则，该条流是以太坊TCP流，将节点信息上报，并通过步骤(15)至步骤(16)对上报的节点信息进行处理，该次识别结束。

进一步地，步骤(11)、(13)和(15)中的节点信息指节点IP地址信息。

进一步地，步骤(15)中的超时时间从节点产生以太坊节点开始计时，至时间耗尽或再次产生了以太坊流量从而更新后为止

有益效果：与现有技术相比，本发明的有益效果为：1、随着识别过程的推进，所设计的以太坊活跃节点库可以准确的覆盖监管区域内的以太坊节点；2、以太坊加密流量识别算法充分利用了RLPx私有协议导致的传输层流量特征，能准确的识别以太坊UDP和TCP流量；3、本识别方法以一种轻量级的方式实现了上述功能，识别方法只针对活跃节点库中有记录的节点，缩小了网络监管范围，大大降低了监管开销。

附图说明

图1为本发明流程图；

图2为核心节点库和活跃节点库的填充流程图；

图3为对以太坊UDP流量和TCP流量的识别流程图。

具体实施方式

下面结合附图对本发明作进一步详细描述。

本发明引入了核心节点库和活跃节点库，核心节点至为保证以太坊POW共识算法的可靠性，维持以太坊的正常运行而设立的节点。与其他节点不同，这些节点信息都是共开的，保证新加入以太坊的节点可以正常地与以太坊网络通信。采用核心节点库存储这些核心节点信息，核心节点库记录的节点信息指从相关网页中爬取的IP地址信息。

活跃节点库包含了当前区域内活跃的以太坊节点的信息，活跃节点库初始由核心节点库填充，随着识别过程的进行，活跃节点库趋于收敛，最终实现对区域内以太坊活跃节点的记录。活跃节点库中记录的信息包含IP地址信息和超时时间信息，超时时间从节点新加入活跃节点库开始计时，超过某一阈值即从活跃节点库中将该节点删除，当检测到节点产生了以太坊流量后重置。不同区域内活跃节点库的信息有所区别，核心节点库信息保持一致。本发明中只针对是活跃节点库中的节点产生/收到的流量进行识别，缩小了监管范围，减少了网络监管的开销，是一种轻量级的实现方式。

在对由活跃节点库中节点产生/收到的流量进行识别的过程中，主要利用由以太坊RLPx协议定义的以太坊通信过程所导致的流量特征。以太坊在建立TCP连接前会通过UDP的Ping-Pong探测节点的可用性或获取相关的邻居节点信息，因此，本发明首先会针对UDP流量进行识别。

以太坊UDP定义了四种报文结构，包括Ping，Pong，FindNode和Neighbors。以太坊Ping-Pong过程是对等节点对另一个节点可用性的探测过程。FindNode用来向自己的邻居节点查询距离目的节点较近的邻居节点。Neighbors是对FindNode的回应，包含了该节点中距离目的节点较近的节点的信息。

一条以太坊UDP流中可能会包含一次或多次重复的Ping-Pong，Ping和Pong的报文大小分布于[110,200]和[210,300]之间，且Ping报文要稍小于Pong报文；对于邻居节点信息获取的过程，在对等节点返回Pong后，会发送一个FindNode报文，对等节点则返回Neighbors报文。其中，FindNode内容大小固定为171B，且返回的Neighbors是固定的一个1057B和一个425B的报文。此外，以太坊为保证端口的可用性，会选用较高的通信端口，默认通过30303号端口通信。

RLPx协议一共定义了以太坊TCP中的12种报文格式，其中GetBlockBodies、GetNodeData、GetReceipts都是采用4B的hash值标识区块、节点、交易，以太坊采用了一个16bit的标识位标识12种以太坊报文类型，会通过固定大小的标识报文标识所发报文类型。此外，以太坊TCP的Enchandshake是通信的第一步，由连接发起方开始，双方交换一次大小约500B的自身信息实现Enchandshake握手。且以太坊建立TCP连接的前提是通过UDP的Ping探测到节点可用，为保证连接的可用性，还会间歇性地进行UDP的Ping-Pong。

图1为本发明的流程图，本发明主要包括两部分，第一步是设置活跃节点库记录以太坊活跃节点信息，由以太坊核心节点库初始化活跃节点库，并由流量识别结果动态更新活跃节点库，包括以下步骤：

(11)采用网络爬虫工具在指定的以太坊节点统计网站中爬取公开的以太坊节点信息，并转为核心节点库中可用的格式类型；

(12)核心节点库接收由网络爬虫爬取到的结果，查询核心节点库中是否已经存在相应条目，若存在，则丢弃该结果，转步骤(13)，否则，将节点信息添加到核心节点库中，转步骤(13)；

(13)若已经爬取了以太坊节点统计网站中的所有节点信息，则使用核心节点库中的信息填充以太坊活跃节点库，转步骤(14)，否则，继续爬取核心节点信息，转步骤(11)；

(14)采用由核心节点库填充的以太坊活跃节点库进行后续的以太坊加密流量识别。

(15)活跃节点库接收由流量识别结果传入的以太坊节点信息，检测活跃节点库中是否已经存在相应条目，若存在，更新相应条目中的超时时间信息，否则，将节点添加进活跃节点库中，并设置超时时间。

(16)活跃节点库中节点设置超时时间，若直至超时时间结束，仍未检测到该节点产生了新的以太坊流量，则从活跃节点库中剔除该节点信息，否则该次活跃节点库更新过程结束。

第二步是针对活跃节点库中有记录的节点，由报文和流的不同统计特征分别识别是否为以太坊UDP或以太坊TCP流量。由端口、报文大小、报文到达顺序特征识别是否为以太坊UDP流量，由以太坊加密握手、标识报文统计结果等特征识别是否为以太坊TCP流量。第二步包括以下步骤：

(21)流量到达，开始以太坊加密流量识别流程；

(22)提取流量的源宿节点信息，查找活跃节点库，若活跃节点库中既不存在源地址信息，也不存在宿地址信息，则该条流不是以太坊流量，该次识别结束，若在活跃节点库中查找到了源地址或宿地址信息，转入步骤(23)；

(23)判断该条流是否具有高端口号的特性，若端口号低，则该条流不是以太坊流量，该次识别结束，若使用了高端口号，转入步骤(24)；

(24)判断该条流的传输层协议类型，若是UDP协议，转入(25)，若是TCP协议，转入(27)，否则，该条流不是以太坊流量，该次识别结束。

(25)提取流量的报文大小特征，若报文大小分布于[110,200]或[280,300]间，且报文顺序间存在Ping-Pong特征，则该条流是以太坊UDP流，将节点信息上报，并通过步骤(15)至步骤(16)对上报的节点信息进行处理，该次识别结束，否则，转入步骤(26)；

(26)判断报文大小是否为425和1057，且顺序固定，若是，则该条流是以太坊UDP流，将节点信息上报，并通过步骤(15)至步骤(16)对上报的节点信息进行处理，该次识别结束，否则，该条流不是以太坊流量，该次识别结束；

(27)判断在TCP三次握手后是否紧跟以太坊加密握手过程，双方首次交换的报文大小在[400,600]之间，若不存在，则该条流不是以太坊流量，该次识别结束，否则，统计所有报文中标识报文的出现频率，转入步骤(28)；

(28)判断标识报文的出现频率是否大于预设的阈值，若标识报文出现频率低于阈值，则该条流不是以太坊流量，该次识别结束，否则，该条流是以太坊TCP流，将节点信息上报，并通过步骤(15)至步骤(16)对上报的节点信息进行处理，该次识别结束。

图2为采用核心节点库对活跃节点库初始化和后续更新的流程图。首先通过网络爬虫爬取相关网页中公开的节点IP地址信息，传入核心节点库，核心节点库判断库中是否已经存在相应节点的IP地址信息，若存在则跳过该条结果继续爬取，若不存在则将结果保存到库中。在爬取到所有的核心节点后转入对活跃节点库的处理。用核心节点库中条目填充活跃节点库，并为每个条目加上超时时间信息。至此完成活跃节点库的初始化过程，使用活跃节点库中节点信息开始以太坊流量识别过程。当识别过程识别到了一条以太坊流量，会将该流量的源、宿地址信息上报给活跃节点库，活跃节点库检查这些节点是否在库中存在相应记录，若存在，则重置该条记录中的超时时间；若不存在，则将该条记录添加到活跃节点库中，并附上超时时间信息。此外，活跃节点库会实时的检测是否存在超时时间记录超过阈值的节点，超过阈值即代表该条记录在较长时间范围内未连接至以太坊网络，因而，为保证活跃节点库中信息的时效性和减少查询时间，将该条记录删除。当该节点重新连接至以太坊网络时，会与库中已有节点进行连接从而同步，删除该条记录也不会影响后续识别的准确性。

图3为对以太坊UDP和TCP流量的分类识别流程图。当一条流进入识别过程时，提取其源、宿IP地址信息上报给活跃节点库，活跃节点库查询是否有源IP地址或宿IP地址的记录，若存在对源IP地址宿IP地址或任一记录，则转入对流量的识别过程。首先判断流量的端口号是否是大于10000的高端口号，剔除低端口号的流量。随后通过相应标识位的识别判断是UDP流量还是TCP流量，剔除其他协议的流量。针对UDP流量，提取报文长度，判断其是否分布于[110,200]和[280,300]之间，不在该区间内的流量继续判断其长度是否为一个1057的报文后跟一个长度为425的报文，对在该区间内的报文通过报文到达顺序判断是否是Ping-Pong关系，即在发送一个或多个长度较小的Ping报文后，会返回一个长度稍大的Pong报文，剔除不符合Ping-Pong关系的流量，至此，符合所有条件的即认为是以太坊UDP流量。针对TCP流量，在TCP三次握手后判断是否存在加密握手过程，即由通信发起方首先发送一个大小在[400,600]之间的包含自身相关信息的报文，通信接收方在接收到这些信息后附上自身信息返回相似大小的报文，实现加密握手的过程，剔除不存在该过程的流量。随后，统计流量中特定大小的报文出现的频率，设置阈值，本发明结合实际情况将阈值设置为10％，即特征报文在所有报文中的占比应超过10％,剔除频率低于该阈值的流量，满足以上条件的流量即是以太坊加密TCP流量。最后，将识别为以太坊流量的源宿IP地址信息上报给活跃节点库，活跃节点库更新自身内容，至此结束本次识别过程。

以上所述仅是本发明的部分实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和等同替换，这些对本发明权利要求进行改进和等同替换后的技术方案，均落入本发明的保护范围。

Claims (6)

1.一种轻量化以太坊加密流量识别方法，其特征在于，包括以下步骤：

(1)设置活跃节点库记录以太坊活跃节点信息，由以太坊核心节点库初始化活跃节点库，并由流量识别结果动态更新活跃节点库；

(2)对活跃节点库中有记录的节点，由报文和流的不同统计特征分别识别是否为以太坊UDP或以太坊TCP流量。

2.根据权利要求1所述的一种轻量化以太坊加密流量识别方法，其特征在于，所述步骤(1)包括以下步骤：

(11)采用网络爬虫工具在指定的以太坊节点统计网站中爬取公开的以太坊节点信息，并转为核心节点库中可用的格式类型；

(12)核心节点库接收由网络爬虫爬取到的结果，查询核心节点库中是否已经存在相应条目，若存在，则丢弃该结果，转步骤(13)，否则，将节点信息添加到核心节点库中，转步骤(13)；

(13)若已经爬取了以太坊节点统计网站中的所有节点信息，则使用核心节点库中的信息填充以太坊活跃节点库，转步骤(14)，否则，继续爬取核心节点信息，转步骤(11)；

(14)采用由核心节点库填充的以太坊活跃节点库进行后续的以太坊加密流量识别；

(15)活跃节点库接收由流量识别结果传入的以太坊节点信息，检测活跃节点库中是否已经存在相应条目，若存在，更新相应条目中的超时时间信息，否则，将节点添加进活跃节点库中，并设置超时时间；

(16)活跃节点库中节点设置超时时间，若直至超时时间结束，仍未检测到该节点产生了新的以太坊流量，则从活跃节点库中剔除该节点信息，否则该次活跃节点库更新过程结束。

3.根据权利要求1所述的一种轻量化以太坊加密流量识别方法，其特征在于，步骤(2)所述的报文和流的统计特征主要包括以太坊UDP流量识别中的端口、报文大小、报文到达顺序及以太坊TCP流量识别中的以太坊握手过程、以太坊标识报文统计结果。

4.根据权利要求1所述的一种轻量化以太坊加密流量识别方法，其特征在于，所述步骤(2)包括以下步骤：

(21)流量到达，开始以太坊加密流量识别流程；

(22)提取流量的源宿节点信息，查找活跃节点库，若活跃节点库中既不存在源地址信息，也不存在宿地址信息，则该条流不是以太坊流量，该次识别结束，若在活跃节点库中查找到了源地址或宿地址信息，转入步骤(23)；

(23)判断该条流是否具有高端口号的特性，若端口号低，则该条流不是以太坊流量，该次识别结束，若使用了高端口号，转入步骤(24)；

(24)判断该条流的传输层协议类型，若是UDP协议，转入(25)，若是TCP协议，转入(27)，否则，该条流不是以太坊流量，该次识别结束；

(25)提取流量的报文大小特征，若报文大小分布于[110,200]或[280,300]间，且报文顺序间存在Ping-Pong特征，则该条流是以太坊UDP流，将节点信息上报，并通过步骤(15)至步骤(16)对上报的节点信息进行处理，该次识别结束，否则，转入步骤(26)；

(26)判断返回报文大小是否为425和1057，且顺序固定，若是，则该条流是以太坊UDP流，将节点信息上报，并通过步骤(15)至步骤(16)对上报的节点信息进行处理，该次识别结束，否则，该条流不是以太坊流量，该次识别结束；

(27)判断在TCP三次握手后是否紧跟以太坊加密握手过程，双方首次交换的报文大小在[400,600]之间，若不存在，则该条流不是以太坊流量，该次识别结束，否则，统计所有报文中标识报文的出现频率，转入步骤(28)；

(28)判断标识报文的出现频率是否大于预设的阈值，若标识报文出现频率低于阈值，则该条流不是以太坊流量，该次识别结束，否则，该条流是以太坊TCP流，将节点信息上报，并通过步骤(15)至步骤(16)对上报的节点信息进行处理，该次识别结束。

5.根据权利要求2所述的一种轻量化以太坊加密流量识别方法，其特征在于，步骤(11)、(13)和(15)中的节点信息指节点IP地址信息。

6.根据权利要求2所述的一种轻量化以太坊加密流量识别方法，其特征在于，步骤(15)中的超时时间从节点产生以太坊节点开始计时，至时间耗尽或再次产生了以太坊流量从而更新后为止。

Images