Pesquisa mapeia quanto o tráfego cifrado de Tor, I2P, FreeNet e ZeroNet ainda revela sobre o serviço acessado
Um estudo acadêmico decompõe o tráfego cifrado de quatro redes de anonimato em descritores de controle, estrutura e ritmo para medir quanto cada um vaza sobre o tipo de serviço sendo usado, sem decifrar o conteúdo. Tor se mostrou a rede mais "identificável" por esses padrões comportamentais, enquanto FreeNet foi a mais resistente. O achado tem aplicação direta em forense de rede voltada à investigação de atividade em darknets.
O paper propõe um framework de "vazamento de informação comportamental" para tráfego de redes de anonimato, decompondo cada fluxo cifrado em três grupos de descritores — controle, estrutura e ritmo — e aplicando essa decomposição a quatro arquiteturas distintas: Tor, I2P, FreeNet e ZeroNet. O objetivo não é quebrar a criptografia, mas entender por que serviços diferentes (vídeo, chat, e-mail) permanecem parcialmente distinguíveis mesmo quando o conteúdo do tráfego está protegido, algo diretamente relevante para quem precisa reconstruir atividade em ambientes anonimizados sem acesso ao conteúdo das comunicações.
Metodologicamente, os autores combinam análise de informação mútua normalizada com classificação via Random Forest, validada por cross-validation estratificada repetida e "leakage-safe" (desenhada para evitar que dados de treino e teste se contaminem artificialmente). Os resultados numéricos mostram diferenças relevantes entre redes: o Tor atingiu a maior separabilidade de serviços, com Macro-F1 de 0,7165 e vazamento cumulativo normalizado de 3,9461, enquanto o FreeNet apresentou o menor vazamento combinado (0,8744) — ou seja, é a rede que melhor esconde o tipo de serviço por trás do tráfego. As características mais reveladoras foram organização de tamanho de pacote, desequilíbrio direcional de troca de dados, ritmo (tempo entre pacotes) e padrões de silêncio seguido de rajada de tráfego.
Na prática investigativa, esse tipo de achado importa porque oferece uma base técnica objetiva para peritos de forense de rede que precisam justificar, com metodologia reprodutível, por que um determinado fluxo de tráfego anonimizado é consistente com o uso de um serviço específico (por exemplo, streaming de vídeo versus troca de e-mails) — evidência que pode complementar outras fontes em investigações envolvendo atividade em darknets. Também serve de contraponto a discursos de anonimato "absoluto": mesmo sem decifrar conteúdo, características estruturais e rítmicas do tráfego carregam sinal residual explorável.
Uma ressalva importante do próprio estudo é a baixa transferibilidade entre redes: um classificador treinado com tráfego do Tor não generaliza bem para I2P ou ZeroNet, avaliação feita via leave-one-network-out. Isso significa que ferramentas forenses de classificação de tráfego darknet precisam ser calibradas e validadas rede a rede, não podem assumir um modelo único, e que categorias de serviço como vídeo tendem a ser mais estáveis entre redes do que chat ou e-mail, que variam bem mais.