关于近期在 USENIX 顶会发表的 TLS 特征检测论文
https://www.usenix.org/conference/usenixsecurity24/presentation/xue这篇论文证明了重要的一点 即通过流量模型来识别 *任何* 加密代理协议中的内层 TLS 是可能的 且成本并不高
文章也提出了现有方法的一些弱点 比如
1. 当用户在代理内层使用 TLS v1.2 的时候 由于开头的5次握手包 特征明显超过3次的 TLS v1.3 握手 可以被针对性训练 达到非常高的阳性率
（好在 TLS v1.2 的使用越来越少的情况下 审查者想利用这个弱点的机会将逐渐减少）
2. 多路复用方法目前的一个缺点就是依赖用户的使用情况 假如一个代理连接的起始 刚好是用户发起的单连接 这会抵消多路复用的混肴作用
（要解决这个问题 一个方法是在每一个连接头插入一些伪造流量）
根据文章的数据 XTLS Vision 使得伪阳性率从 0.0544% 上升到 0.1989% 这意味着审查需要付出更大的代价 更为重要的 审查者必须使用重新训练的针对性模型 而且即使在这种情况下 阳性率还是从 0.748 下降到了 0.513
去年我们发布 XTLS Vision 的时候说 我们的设计目标是将“识别难度增加一个数量级”
可以说 这篇文章证明现有协议已经达到或者超过了我们的既定目标
自从 shadowsocks 以来 主流的学术圈和实用代理界出现了一些分野
UoT，VMESS+WS+TLS，Trojan 都没有引起学术界的重视 却是自建与机场的主流选择
这次文章作者 Diwen Xue 主动联系我们 我们也为文章提供了一些反馈 让我们的工作促进反审查科研圈与开发圈的交流 我们感到与有荣焉！
要解决 TLS-in-Any 特征 一个可行的方法是拆分连接 即把关键的内层握手包以某种方式拆分到多个代理连接中
今年早些时候 R佬已经发表了 switch 的构想并且在 [XUDP](
https://github.com/XTLS/Xray-core/commit/be23d5d3b741268ef86f27dfcb06389e97447e87) 中实现了连接迁移的雏形
希望在不久的将来 反审查社区的合作越来越好 一起将这些构想化为现实
yuhan6665
