Вы открываете сайт, видите значок замка в браузере и уверены, что содержание соединения защищено. Это правда. Но исследователи обнаружили, что иногда достаточно наблюдать за размерами и ритмом сетевых пакетов, чтобы определить даже конкретную страницу.
Представьте ситуацию.
Вы заходите на крупный новостной сайт. Читаете статью, закрываете её, открываете другую. Обе страницы используют HTTPS. Никто посторонний не видит их текст, фотографии или адрес страницы целиком.
Но у каждого открытия есть свой сетевой рисунок.
Одна статья содержит двадцать фотографий. Другая - длинный текст и единственную иллюстрацию. Третья загружает видео, комментарии и дополнительные материалы.
Объём данных отличается. Скорость передачи отличается. Даже последовательность запросов получается другой.
Именно эти различия позволяют попытаться определить, какую страницу открыл человек.
Шифрование защищает содержание, но не всё соединение
Когда браузер устанавливает защищённое HTTPS-соединение, содержимое запросов и ответов шифруется.
Посторонний наблюдатель не может просто прочитать текст статьи или увидеть отправленный пароль.
Однако некоторые характеристики соединения остаются заметными:
- сколько данных передаётся;
- в каком направлении движутся пакеты;
- как часто они приходят;
- когда возникают всплески активности;
- сколько времени продолжается загрузка.
Эта информация называется сетевыми метаданными.
Представьте, что наблюдатель заранее изучил сто страниц одного сайта и записал характерный сетевой рисунок каждой из них.
Когда кто-то откроет одну из этих страниц, система машинного обучения сможет сравнить новый рисунок с известными образцами.
Так работает website fingerprinting, или распознавание веб-страниц по сетевому отпечатку.
Важный момент: нейросеть не расшифровывает HTTPS. Она пытается угадать содержимое по косвенным признакам.
Исследователи проверили, насколько это серьёзно
В сентябре 2026 года группа специалистов из CISPA Helmholtz Center for Information Security представила исследование возможностей HTTP/2 для защиты от такого распознавания.
Учёные изучили страницы пяти крупных ресурсов: Amazon, BBC, Reddit, Udemy и Wikipedia.
Для каждого сайта они выбрали по сто страниц и исследовали характерные особенности их сетевого трафика.
Без дополнительной защиты алгоритмы машинного обучения в контролируемых экспериментах часто показывали очень высокие результаты распознавания.
Другое исследование, опубликованное в апреле 2026 года в журнале Scientific Reports, продемонстрировало точность 97,4% для одного из сценариев классификации незащищённого трафика.
Но здесь необходимо уточнение.
97,4% - не вероятность того, что провайдер узнает любую страницу любого пользователя.
Это результат лабораторного эксперимента, в котором система выбирала среди заранее известных вариантов.
В настоящем интернете миллиарды страниц, постоянно меняющееся содержимое, фоновые подключения и множество других факторов. Поэтому переносить лабораторную точность на реальную слежку нельзя.
Тем не менее сама возможность распознавания подтверждена экспериментально.
При чём здесь HTTP/2?
HTTP/2 - один из протоколов, по которым браузер и сервер обмениваются данными.
Он позволяет передавать несколько потоков данных внутри одного соединения, управлять очередностью передачи и распределять доступную пропускную способность.
Обычно эти возможности нужны для ускорения загрузки сайтов.
Но исследователи предложили использовать их ещё и для защиты приватности.
Например, можно менять порядок передачи отдельных ресурсов, иначе распределять потоки или управлять темпом отправки данных.
В результате одна и та же страница перестаёт каждый раз создавать одинаковый сетевой рисунок.
Алгоритму распознавания становится сложнее сопоставить наблюдаемый трафик с конкретной страницей.
Особенно интересно, что подобные механизмы потенциально можно реализовать на уровне веб-приложения, не создавая новый VPN-протокол.
А насколько хорошо работает защита?
Исследователи проверили несколько способов изменения трафика и сравнили их с существующими методами.
В некоторых экспериментах после применения защиты наблюдатель уже не мог уверенно выделить одну страницу: оставались десятки правдоподобных вариантов.
При этом отдельные подходы на основе HTTP/2 позволяли существенно уменьшить дополнительные задержки и расход трафика по сравнению с другими защитными методами.
Это важно, поскольку у приватности есть цена.
Если ради маскировки постоянно отправлять лишние данные или искусственно задерживать пакеты, сайты начнут работать медленнее, а пользователи будут расходовать больше трафика.
Задача исследователей - найти баланс между защитой и нормальной скоростью соединения.
Пока это экспериментальные методы, а не функция, которую достаточно включить одной кнопкой в браузере.
Значит, VPN тоже могут распознать?
Здесь необходимо разделить две разные задачи.
Первая - определить, что человек использует VPN.
Вторая - попытаться выяснить, какие сайты или страницы он посещает внутри зашифрованного соединения.
Это не одно и то же.
Когда пользователь подключается к VPN, местный провайдер обычно видит соединение с VPN-сервером, но не видит непосредственно все конечные сайты, к которым обращается пользователь через туннель.
Однако общий объём, время и ритм передачи данных могут оставаться наблюдаемыми.
В некоторых условиях эти признаки тоже позволяют строить предположения о действиях пользователя.
При этом исследование HTTP/2 рассматривало прежде всего обычные HTTPS-соединения без дополнительного VPN-туннеля. Оно не доказывает, что предложенная защита способна скрывать VPN от DPI.
Для распознавания самих туннелей используются и другие признаки: особенности протокола, сетевые адреса, последовательности пакетов и характеристики соединений.
Поэтому хорошая маскировка одного признака ещё не гарантирует невидимость всего трафика.
Что это означает для обычного пользователя?
Прежде всего не стоит отказываться от HTTPS. Шифрование остаётся необходимой основой безопасности интернета.
Но важно понимать его границы.
HTTPS защищает содержимое соединения. VPN дополнительно скрывает конечные назначения от локального провайдера при правильной настройке туннеля. А защита от анализа сетевых отпечатков решает ещё одну задачу - уменьшает количество информации, которую можно извлечь из поведения трафика.
Эти технологии дополняют друг друга, но не заменяют.
Для пользователя практические рекомендации остаются вполне понятными: использовать современные браузеры, своевременно обновлять приложения, выбирать надёжные VPN-сервисы и проверять отсутствие DNS-утечек.
Для владельцев сайтов и серверов появляется дополнительное направление работы: изучать, какую информацию раскрывают размеры и последовательность передаваемых ресурсов, и следить за развитием технологий защиты HTTP/2 и HTTP/3.
Однако экспериментальные изменения сетевого поведения не стоит сразу переносить на рабочие серверы. Сначала необходимо оценить совместимость, нагрузку и реальные преимущества.
Интернет вступает в новую фазу противостояния
Раньше основной вопрос звучал так: может ли посторонний прочитать передаваемые данные?
Сегодня всё чаще возникает другой: сколько можно узнать о человеке, вообще не читая эти данные?
Машинное обучение делает анализ сетевого поведения всё эффективнее. Одновременно исследователи находят новые способы уменьшать утечки информации.
Именно поэтому развитие приватности не заканчивается установкой HTTPS или VPN.
Шифрование защищает наши слова. Следующая задача - научиться защищать и цифровые следы, которые остаются после них.
Стеклянный мост | 5 ноября 2026 года
Источники:
- Cebere B. и соавторы. Understanding the Privacy-Preserving Potential of HTTP/2 Against Webpage Fingerprinting. Сентябрь 2026, ACM CCS 2026. https://arxiv.org/abs/2609.05119
- Alazzam H., Abualganam O., Almobaideen W. Advanced website fingerprinting for detecting VPN-based censorship evasion: a transformer-based approach. Scientific Reports, апрель 2026. https://doi.org/10.1038/s41598-026-41976-4