D2WFP: A Novel Protocol for Forensically Identifying, Extracting, and Analysing Deep and Dark Web Browsing Activities
本文介绍了 D2WFP，这是一种旨在通过建立一种系统性的、基于易失性的方法，来增强对深网和暗网浏览活动的数字取证调查，从而与现有工具相比，显著提升浏览痕迹的恢复、关联与验证能力的创新协议。
原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。 阅读完整免责声明
想象一下，互联网就像一座巨大且繁忙的城市。大多数人居住在“表面网”（Surface Web）中，这就像是市中心的主干道：灯火通明，有路标（搜索引擎）指引，非常容易找到。但在路面之下，还有一个庞大的“深网”（Deep Web）——你可以把它想象成这座城市的私人地下室、锁着的档案柜和受密码保护的办公室。你无法通过普通的地图找到这些地方，但它们并不一定危险；它们只是私密的。然后，在更深的地下，是“暗网”（Dark Web）。这是这座城市的秘密、无标记的小巷，那里灯光熄灭，每个人都戴着面具。这是一个人们可以隐藏身份并从事不愿被人看见的事情的地方，从合法的隐私保护到非法交易毒品或被盗数据的黑市都有。因为每个人都戴着面具，且小巷曲折蜿蜒，数字调查员（警察）很难查清谁做了什么，或者去了哪里。
这就是数字取证学（Digital Forensics）发挥作用的地方。它是一门成为计算机侦探的艺术。就像物理侦探寻找泥脚印或撕碎的收据一样，数字侦探寻找“痕迹”（artifacts）——即电脑或手机上留下的微小数字碎屑。但棘手之处在于：计算机是非常凌乱的，有些碎屑会在你关闭机器的那一刻就消失（就像会消退的记忆）。这被称为“易失性顺序”（Order of Volatility），这是一个高级说法，意思是你必须在证据永久消失之前，先抓取最易逝的部分。调查人员面临的大问题一直是：“我们如何捕捉那些在暗网中徘着行踪的人留下的数字脚印，尤其是当他们试图抹除自己的痕迹时？”
于是，一群研究人员决定为这些侦探建立一张更好的地图。他们注意到，虽然标准工具在进行常规网络浏览时表现尚可，但它们往往会错过暗网浏览器留下的那些难以捉摸、隐藏极深的线索。因此，他们创建了一套全新的、循序渐进的指南，称为 D2WFP（深层与暗网取证协议）。你可以把它想象成从一个基础的手电筒升级到了一个高科技扫描仪，它知道确切的搜索位置、搜索顺序，以及当嫌疑人试图擦除痕迹时该如何挖掘得更深。
在他们的研究中，研究人员搭建了一个数字游乐场来测试这一新协议。他们不仅仅是在猜测；他们通过四种不同类型的计算机和手机模拟了真实的犯罪活动：一台 Windows 笔记本电脑、一台 Linux 机器、一部 Android 手机和一部 iPhone。他们让“嫌疑人”（由认证专家模拟）使用著名的 Tor 浏览器访问隐藏网站、登录、下载文件，然后尝试使用一种名为 BleachBit 的工具（类似于数字吸尘器）来清理他们的痕迹。
结果非常令人振奋。当研究人员使用调查人员通常依赖的标准自动化工具时，他们找到了相当数量的证据。但当他们应用新的 D2WFP 协议时，回收的证据量大幅飙升。事实上，在模拟实验中，新协议发现的数字碎屑比标准工具多出约 35% 到 45%。更令人印象深刻的是，在“嫌疑人”试图清理电脑后，标准工具几乎一无所获。然而，D2WFP 协议就像一位大师级的考古学家；即使在数字吸尘器使用过后，它依然能比常规工具多挖掘并恢复出四倍的证据。
这篇论文并不声称它是一个能瞬间解决所有犯罪的神奇魔杖，也不说它在世界上每一台设备上都能完美运行。相反，作者提出，通过遵循特定的序列——先抓取最易失的内存，检查特定的隐藏区域，并将线索进行关联——我们可以显著提高调查的准确性。他们发现，这种方法在 Windows、Linux 和 Android 上效果最好，而 iPhone 由于其严格的安全锁而较难破解，尽管新协议在那里发现的证据仍比旧方法多。
最终，这项研究提议，通过改变调查人员寻找证据的方式——而不是仅仅依赖于那些陈旧的自动化扫描程序——我们可以捕捉到更多黑暗中的数字脚印。这提醒我们，在技术含量极高的网络犯罪猫鼠游戏中，侦探需要不断学习新技巧，才能始终领先于那些戴着面具的人。
您所在领域的论文太多了？
获取与您研究关键词匹配的最新论文每日摘要——附技术摘要，使用您的语言。