¿Qué información se puede obtener del análisis de tráfico de paquetes IP encriptados en Internet?

Puedes determinar:

• Quién está hablando con quién: las direcciones IP de origen y destino pueden dar una idea de las organizaciones involucradas.
• Quién inició la conexión. Al examinar el paquete IP original para cualquier sesión determinada, puede ver quién inició la sesión. Esto le dice quién necesitaba los datos.
• El volumen de los datos. Si ve muchos paquetes pequeños, quizás sea una sesión ssh. Si ve 5MB en una sesión rápida, podría ser una descarga de fotos, por ejemplo. Si ve 700mb, entonces es un archivo de película o quizás una imagen iso.
• El patrón del flujo, que podría ayudar a adivinar el protocolo. Como en el caso anterior, es posible que pueda determinar el protocolo, ¿es solo texto, archivos grandes? Además, si ve muchas piezas en trozos, eso puede indicar http o https envueltos.
• Tiempo: ¿se produjo esta sesión en la parte superior de la hora (exactamente a las 11:00:00)? ¿Se repite? Quizás la sesión ni siquiera es generada por el usuario, sino que es un trabajo por lotes de algún tipo.

Hace algunos años, hubo un proyecto en el MIT que tomaría tráfico de correo electrónico (unas pocas semanas) y luego generaría un organigrama de quién informa a quién con aproximadamente un 90% de precisión.