01 · 公开数据集与工具链
1.1 主流公开数据集盘点
WF社区长期坚持"数据随论文公开"的传统（这一传统本身就是Juarez批判性评估的遗产）。以下数据集均为各论文作者公开发布、被广泛复用的真实数据集（访问入口以各论文项目页与公开代码仓库为准）：
| 数据集 | 来源 | 内容概要 | 适用研究问题 |
|---|---|---|---|
| Wang et al. 数据集（2013/2014） | WPES 2013 / USENIX 2014 配套 | Tor环境下百余个网站的单元级轨迹（包长+方向序列），含防御前/防御后（WTF-PAD类）采集 | 经典攻击复现、防御基线评估 |
| Panchenko NDSS 2016 数据集 | NDSS 2016 配套 | 开放世界采集：含上万背景站点与目标站点轨迹，互联网规模实验的基准数据 | 开放世界评估、特征工程对比 |
| AWF / DF 数据集（2018） | NDSS 2018 / CCS 2018 配套 | 深度学习时代标准数据集：约100个目标网站、每站数千条Tor单元轨迹；DF论文另含WTF-PAD与Walkie-Talkie防御后数据 | CNN/度量学习攻击训练、防御感知评估 |
| k-FP 数据集（2016） | USENIX 2016 配套 | 含跨时间批次采集的轨迹，专门支持"时间切分"式无泄漏评估 | 泛化能力与概念漂移研究 |
| QUIC 数据集（Smith 2021 / Siby 2023） | PETS 2021 / PETS 2023 配套（含公开代码仓库） | 真实浏览器QUIC流量：主页/子页面、多客户端（Firefox/Chromium）、跨6个月时间批次、含Google/Cloudflare集中化标注 | QUIC时代WF、CDN集中化威胁、NetFlow受限对手评估 |
| Tranco 榜单 | NDSS 2019，tranco-list.eu | 基于多个商业榜单多日聚合的稳健网站排名，提供每日更新的CSV下载，抗SEO操纵 | 目标集/背景集构建的标准基准 |
1.2 工具链四件套
- 采集层：Tor Browser + 自动化驱动（Selenium/浏览器扩展）完成目标站点遍历；
tcpdump/tshark（Wireshark生态）做链路侧PCAP留存；Tor社区还提供单元级日志采集工具，避免从TCP层重构引入误差。 - 特征层：各论文公开的特征提取代码（CUMUL、k-FP、DF预处理脚本）；CICFlowMeter等通用流统计工具可作教学演示，但研究复现应以原论文代码为准。
- 模型层：DF/Var-CNN/Triplet的参考实现均随论文开源（Keras/PyTorch生态）；scikit-learn的SVM/随机森林/朴素贝叶斯基线用于对照实验。
- 防御层：WTF-PAD、FRONT均有开源实现（Tor插件形态与独立模拟器两种形态）；Surakav、QCSD等新一代防御提供论文配套代码；Maybenot框架（Pulls & Witwer, WPES 2023，见文献[70]）为流量分析防御提供了统一的状态机描述语言与运行时，Tor官方的padding machine生态可直接复用，是防御工程化的重要基础设施。
教学合规提示：以上数据集与工具仅限授权环境内的教学与防御研究使用。迪妙沙盘的采集实验均在封闭网络中对自有测试站点进行，不对外部网站发起批量遍历——这既符合robots协议与网站服务条款的精神，也避免教学流量干扰真实服务。
02 · 评估指标与基准规范
2.1 必报指标清单
| 指标 | 定义 | 何时必须报告 |
|---|---|---|
| 闭世界准确率 / F1 | 候选集合内的分类正确率与F1-score | 所有攻击论文（横向对比基线） |
| TPR @ 指定FPR | 固定误报率（如10⁻²、10⁻⁴）下的检出率 | 开放世界与流关联类结论（实战意义的核心数字） |
| Precision-Recall 曲线 | 全阈值区间的精度-召回权衡 | 类别不平衡显著的开放世界设定 |
| 带宽开销 | 防御引入的额外字节数 / 原始字节数（或防御后总传输量增幅） | 所有防御论文（与攻击成功率并列） |
| 延迟开销 | 防御引入的页面加载时间增量（TTFB/PLT） | 所有防御论文（尤其塑形类） |
| 时间稳健性 | 训练/测试跨时间批次时的性能保持度（如Siby 2023报告的6个月漂移：95.8%→17.5%） | 声称"可部署"的攻击或防御 |
2.2 基准与切分规范（社区共识摘要）
- 网站集：目标集取Tranco前100—1000的分层抽样；背景集规模≥目标集10倍；报告榜单版本与下载日期。
- 切分方式：严格按采集时间切分训练/测试，杜绝"同批次轨迹跨集合泄漏"；多轮次采集需说明轮次分配。
- 防御评估：必须包含防御感知攻击者（defense-aware）重新训练环节；S&P 2022 SoK之后，未含该环节的防御结论基本不被社区接受。
- 显著性：多次随机重复实验报告均值与标准差；与基线方法的差异需说明统计口径。
2.3 本课题沙盘评估指标卡（可直接复用）
03 · 国内研究进展
中文社区在WF攻防方向已形成稳定产出。《电子与信息学报》2024年刊载的《洋葱路由器网站指纹攻击与防御研究综述》（下称"中文综述"）系统梳理了国内外进展，是中文读者入门的高质量入口。国内团队的代表性工作包括：
| 工作 | 出处 | 贡献概要 |
|---|---|---|
| Minipatch（Li等） | IEEE TIFS 2022 | 对抗补丁式WF防御：对轨迹施加微小扰动使DNN误判，在线轻量化防御路线 |
| 对抗训练增强（Qiao等） | IEEE TIFS 2023 | 研究对抗训练增强的DNN-WF攻击及其抵御，揭示对抗样本攻防的拉锯格局 |
| 在线非定向对抗补丁防御（Gu等） | Tsinghua Science and Technology 2023 | 面向在线场景的WF对抗防御实现与评估 |
| WFDeProxy（Gong等） | IEEE TIFS 2024 | WF防御在真实代理部署环境中的实现与系统评估，推进工程落地 |
| 抗防御鲁棒表征（Shen等） | USENIX Security 2023 | 以鲁棒流量表征系统拆解WF防御的形状失真（国内团队在国际顶会的代表作） |
| 多标签页实战攻击（Deng等） | IEEE S&P 2023 | Robust Multi-tab WF Attacks in the Wild：真实网络条件下多标签页攻击的鲁棒性验证 |
| 中文综述（邹鸿程等） | 计算机学报 2022 | 《网站指纹识别与防御研究综述》（45(10): 2243–2278）系统梳理WF攻击、防御与评估方法体系 |
| 中文综述（杨宏宇等） | 电子与信息学报 2024 | 覆盖攻击、防御、评估的洋葱路由WF中文综述，含国内成果系统梳理 |
总体观察：国内工作呈现"攻防并进、落地导向"的特点——对抗样本攻防（TIFS双线）与真实部署评估（WFDeProxy）两手抓，与国际前沿（生成式防御、QUIC实测）形成互补。本课题在课程设计中已将该批成果纳入扩展阅读清单。
04 · 2023—2025前沿动态
4.1 攻击侧：更强假设、更真场景
- 多标签页攻击（Jin et al., CCS 2023）：Transformer模型处理多标签页混合流量，WF从"单页识别"迈入"会话级识别"。
- 抗防御鲁棒表征（Shen et al., USENIX Security 2023）：针对填充/塑形防御的鲁棒特征学习，攻防进入"表征对抗"深水区。
- 受限对手模型（Siby et al., PETS 2023）：NetFlow级采样数据（运营商常态采集形态）下F1仍可维持20%—50%；CDN集中化使"非链路中间人"也能实施WF——威胁模型从"理想观察者"扩展到"现实基础设施运营者"。
- 真实世界重定位（Jansen & Wails, USENIX Security 2022）：基于Tor出口中继真实流量的首次实战评估表明——无差别监测型攻击在25站/100站规模下准确率分别不超过80%/60%，而针对5个高价值站点的定向攻击仍可超过95%。WF的真实威胁形态是"定向监听"而非"全网普查"，这一诚实结论已纳入本课题威胁建模（见文献[62]）。
- 子页面集合攻击（Mitseva & Panchenko, USENIX Security 2024）：将目标从单主页扩展为"子页面集合"，更贴近真实浏览行为，显著增强开放世界下的实战识别力（见文献[63]）。
- 对比式小样本攻击（Xie et al., ACM Web Conference 2024）：以对比学习在few-shot轨迹上构建判别表征，进一步压缩攻击数据门槛（见文献[64]）；同期早期时空分布攻击（Deng, Li & Xu, ACM CCS 2024）证明在轨迹极早期即可完成鲁棒可靠的识别（见文献[65]）。
- 大规模细粒度网页指纹（Zhao et al., ACM CCS 2024）：将页面级WF推向互联网规模与细粒度并重的新高度（见文献[66]）。
- 跨流GNN关联（Tan et al., IEEE TIFS 2024）：以图神经网络建模并发流间的时空相关性，为HTTPS原生环境的多流WF提供新范式（见文献[67]）。
- 多标签页小样本攻击（Meng et al., ACM Web Conference 2025）：few-shot与多标签页两个实战瓶颈的首次系统性联合突破（见文献[68]）。
4.2 防御侧：生成式、自适应、协议协同
- 生成式防御（Surakav, IEEE S&P 2022）：WGAN生成逼真假轨迹，对抗"分布先验"类攻击。
- 真实部署评估（WFDeProxy, IEEE TIFS 2024）：防御研究从"模拟器正确"走向"代理可用"。
- 对抗性轨迹防御（Mockingbird, IEEE TIFS 2021）：生成与真实流量统计上难以区分的对抗性轨迹，在攻击方采用对抗训练增强的情况下仍能将DF类攻击top-1准确率限制在62%以下（见文献[69]）。
- QUIC防御的冷峻结论（Siby et al., PETS 2023）：协议内置PADDING不足，应用感知+多方协调才可能有效——为下一代协议设计（HTTP/3扩展、MASQUE/Oblivious HTTP等）提供了实证需求清单。
4.3 与总课题的交叉热点
① 方法迁移：WF的度量学习/N-shot思想直接服务于加密C2家族的"少样本发现"；② 评估互通：Tranco基准、时间切分、防御感知协议已全部并入总课题的检测评估规范；③ 对抗鲁棒性：攻击者的抗防御表征研究，正是检测系统"防规避"能力的镜像考题——本课题沙盘的蓝队训练模块已将其列为必修。
05 · 课题展望与落地清单
5.1 本课题下一阶段三件实事
- 数据基建：建成"Tranco子集+自有测试站+多时间批次"的沙盘基准数据集，配套全自动采集与标注流水线（目标：2026年内完成首轮采集）。
- 评估报告：按第3页五步协议对DF、Triplet、Tik-Tok三族攻击与WTF-PAD、FRONT、Surakav三种防御完成首轮中文评估报告，公开方法论部分。
- 课程产品：将四页内容凝练为2学时企业课+1学时青少年课，全部图表可交互投屏，配套随堂测验与沙盘实操。
5.2 给读者的三条行动建议
- 对企业：把"VPN≠匿名、加密≠隐身"写入员工安全意识基线；敏感业务的网络路径规划纳入WF威胁建模。
- 对开发者：设计隐私敏感应用时，把"流量形状"当作需要保护的资产显式建模，而不是默认"TLS够了"。
- 对研究者：任何WF新结论，先过Juarez七问与SoK复评 checklist，再谈创新性。
全课题结论（一句话版本）：加密保护内容，不保护形状；形状可以被学习，学习可以被评估，评估可以被教学——这正是迪妙网络空间安全学院开设本子课题的全部理由。
06 · 术语速查表（中英对照）
为便于教学与跨文献阅读，将本课题高频术语整理如下（按英文原意给出严格定义，避免中文语境下的同名异物混淆）：
| 术语（英文） | 中文 | 严格定义与本课题用法 |
|---|---|---|
| Website Fingerprinting (WF) | 网站指纹识别 | 仅凭加密流量的形状特征（包长/方向/时序）推断所访问网站或页面的攻击与防御研究对象；不指JA3/TLS栈指纹或浏览器指纹。 |
| Closed / Open World | 闭世界/开放世界 | 候选网站集合是否封闭已知；开放世界要求报告误报率，是实战化评估的最低门槛。 |
| Defense-aware Attacker | 防御感知攻击者 | 在目标防御部署后重新采集样本并训练攻击模型的对手设定；S&P 2023 SoK之后为防御评估的强制环节。 |
| Traffic Confirmation / Flow Correlation | 流量确认/流关联 | 判断两条分别观察的加密流是否属于同一次通信；需双观察点，强于单侧WF。 |
| Burst | 突发 | 方向上连续同向包的聚合单元；突发大小/间隔是填充与塑形防御的核心作用面。 |
| Padding / Morphing / Shaping | 填充/变形/塑形 | 三大防御原语：注入假字节、改造包长分布、改造发送节奏；组合使用才覆盖多维形状。 |
| WTF-PAD | —（专名） | 基于HMM的自适应突发填充防御（ESORICS 2016）；带宽开销低，但被DF攻击（CCS 2018）在闭世界下实质突破。 |
| Tranco List | Tranco榜单 | 抗操纵的研究用网站排名（NDSS 2019），WF数据集目标集/背景集构建的社区标准。 |
| ECH | 加密客户端问候 | TLS 1.3扩展，隐藏明文SNI；不改变流量形状，对WF基本无防御效果。 |
| N-shot Learning | N-shot小样本学习 | 每类目标仅N条样本即可完成注册的度量学习范式（Triplet, CCS 2019），WF实战化的关键使能技术。 |
| TTFB / PLT | 首字节时间/页面加载时间 | 塑形类防御延迟开销的两大度量口径，须与安全性收益并列报告。 |
| NetFlow Sampling | NetFlow采样 | 运营商常态采集形态；PETS 2023实测表明采样后WF攻击F1仍可维持20%—50%，未根绝威胁。 |
术语定义综合自本课题各页引用的原始文献与IEEE S&P 2023 SoK论文（Mathews et al.）的术语体系。
本节参考文献（第4页 · [49]—[71]）
Tor Project. "Tor Metrics Portal". 公开Tor网络运行指标（用户规模/中继/网桥统计）。 metrics.torproject.org（数据引注日期：2026年9月）
Shen, M., Ye, K., Liu, X., Zhu, L., Kang, J., Yu, S., Li, Q., Xu, K. "Machine Learning-Powered Encrypted Network Traffic Analysis: A Comprehensive Survey". IEEE Communications Surveys & Tutorials, 25(1):791–824, 2023. 加密流量分析权威综述。 doi.org/10.1109/COMST.2022.3208196
杨宏宇, 宋成瑜, 王朋, 等. 洋葱路由器网站指纹攻击与防御研究综述. 电子与信息学报, 2024, 46(9): 3474–3489. DOI: 10.11999/JEIT240091. 中文社区WF攻防系统综述（含Minipatch、WFDeProxy等国内成果梳理）。 jeit.ac.cn官方页面
Le Pochat, V., Van Goethem, T., Tajalizadehkhoob, S., Korczynski, M., Joosen, W. "Tranco: A Research-Oriented Top Sites Ranking Hardened Against Manipulation". NDSS, 2019. 抗操纵基准榜单。 tranco-list.eu
Hayes, J., Danezis, G. "k-fingerprinting: A Robust Scalable Website Fingerprinting Technique". USENIX Security, 2016. 含时间切分采集范式的数据集与代码。
Sirinam, P., Imani, M., Juarez, M., Wright, M. "Deep Fingerprinting" 配套数据集与代码（CCS 2018 论文项目页公开）。
Siby, S., Barman, L., Wood, C.A., et al. QUIC WF 防御评估数据集与工具（PETS 2023 论文配套公开仓库）。 github.com/spring-epfl/quic-wf-defenses
Oh, S.E., Yang, T., Mathews, N., Holland, J.K., Rahman, M.S., Hopper, N., Wright, M. "DeepCoFFEA: Improved Flow Correlation Attacks on Tor via Metric Learning and Amplification". IEEE S&P, 2022: 1915–1932. 双点共现流关联的度量学习增强与放大机制。 doi.org/10.1109/SP46214.2022.9833801
Gu, X., Song, B., Lan, W., et al. "An Online Website Fingerprinting Defense Based on the Non-targeted Adversarial Patch". Tsinghua Science and Technology, 28(6):1148–1159, 2023. 在线对抗补丁WF防御。
Wang, T. "High Precision Open World Website Fingerprinting". IEEE S&P, 2020:152–167. 高精度开放世界WF的评估范式参照。 doi.org/10.1109/SP40000.2020.00015
Wang, T. "The One-Page Setting: A Higher Standard for Evaluating Website Fingerprinting Defenses". ACM CCS, 2021: 2794–2806. 单页设定评估标准。 doi.org/10.1145/3460120.3484790
Xu, Y., Wang, T., Li, Q., et al. "A Multi-Tab Website Fingerprinting Attack". ACM ACSAC, 2018: 327–341. 首个形式化的多标签页WF攻击。
Jin, Z., Lu, T., Luo, S., Shang, J. "Transformer-Based Model for Multi-Tab Website Fingerprinting Attack". ACM CCS, 2023: 1050–1064. 基于Transformer的多标签页WF攻击。
Jansen, R., Wails, R. "Evaluating Website Fingerprinting Attacks on Tor in the Real World". USENIX Security, 2022. 基于Tor出口中继真实流量的首次开放世界实战评估：定向攻击>95%@5站，普查型攻击≤80%@25站、≤60%@100站。 robgjansen.com
Mitseva, A., Panchenko, A. "Stop, Don't Click Here Anymore: Boosting Website Fingerprinting by Considering Sets of Subpages". USENIX Security, 2024: 4139–4156. 子页面集合增强的WF攻击。
Xie, Y., Feng, J., Huang, W., et al. "Contrastive Fingerprinting: A Novel Website Fingerprinting Attack over Few-Shot Traces". ACM Web Conference (WWW), 2024: 1203–1214. 对比学习few-shot WF攻击。
Deng, X., Li, Q., Xu, K. "Robust and Reliable Early-Stage Website Fingerprinting Attacks via Spatial-Temporal Distribution Analysis". ACM CCS, 2024. 轨迹极早期的鲁棒可靠WF攻击。
Zhao, X., Deng, X., Li, Q., Liu, Y., Liu, Z., Sun, K., Xu, K. "Towards Fine-Grained Webpage Fingerprinting at Scale". ACM CCS, 2024: 423–436. 大规模细粒度网页指纹。
Tan, X., Peng, C., Xie, P., Wang, H., Li, M., Chen, S., Zou, C. "Inter-Flow Spatio-Temporal Correlation Analysis Based Website Fingerprinting Using Graph Neural Network". IEEE TIFS, 2024, 19: 7619–7632. 跨流时空GNN的WF攻击。
Meng, W., Ma, C., Ding, M., et al. "Beyond Single Tabs: A Transformative Few-Shot Approach to Multi-Tab Website Fingerprinting Attacks". ACM Web Conference (WWW), 2025: 1068–1077. 多标签页few-shot WF攻击。
Rahman, M.S., Imani, M., Mathews, N., Wright, M. "Mockingbird: Defending Against Deep-Learning-Based Website Fingerprinting Attacks with Adversarial Traces". IEEE TIFS, 2021, 16: 1594–1609. 对抗性轨迹WF防御。
Pulls, T., Witwer, E. "Maybenot: A Framework for Traffic Analysis Defenses". ACM WPES, 2023. 流量分析防御统一框架与状态机描述语言。 doi.org/10.1145/3603216.3624953
Oh, S.E., Mathews, N., Rahman, M.S., Wright, M., Hopper, N. "GANDaLF: GAN for Data-Limited Fingerprinting". PETS, 2021(2): 305–322. GAN数据增强的小样本WF攻击。 doi.org/10.2478/popets-2021-0029
说明：本页数据集条目以"随论文公开"的社区惯例为准，具体下载地址以各论文官方项目页为准；本课题不镜像任何受许可限制的数据。