暗网加密流量分类与溯源技术研究综述

A review of Darknet encrypted traffic classification and correlation research

摘要

匿名网络通信协议作为保护通信实体身份匿名性与数据隐私性的关键技术应运而生。随着协议架构的演进与隐藏服务技术的迭代升级，基于匿名通信的暗网生态系统已异化为网络犯罪平台，其中洋葱协议（Tor协议）因其复杂的匿名保护机制成为当前主流的暗网通信架构。暗网中，各类非法交易、数据窃取和违禁品贩卖等犯罪活动主要发生在暗网隐藏服务网站以及应用中。从网络安全治理视角而言，识别暗网服务流量并对网络实体进行溯源定位具有显著的理论价值与实践紧迫性。本文系统综述了暗网加密流量识别与溯源领域的研究进展，重点从暗网加密流量特征识别、服务应用分类模型和加密流量关联分析技术等3个研究维度展开论述。通过对比分析不同技术路线的检测精度与适用范围，揭示了现有方法在密文解析、行为模式提取及深度关联推理等方面面临的技术瓶颈。

Abstract

Anonymous network communication protocols have emerged as key technologies for protecting the anonymity of communication entities and data privacy.With the evolution of protocol architectures and the iterative upgrades of hidden service technologies， the Darknet ecosystem based on anonymous communication has transformed into a platform for cybercrime.Among these， the Onion Routing protocol （Tor protocol） has become the mainstream Darknet communication architecture due to its complex anonymity protection mechanisms.Within the Darknet， various criminal activities such as illegal transactions， data theft， and the sale of contraband primarily occur on hidden service websites and applications.From the perspective of cybersecurity governance， identifying Darknet service traffic and tracing network entities holds significant theoretical value and practical urgency.This paper systematically reviews research progress in the field of Darknet encrypted traffic identification and tracing， focusing on three key dimensions： encrypted traffic feature recognition， service application classification models， and encrypted traffic correlation analysis techniques.Through comparative analysis of the detection accuracy and applicability of different technical approaches， it reveals the existing technical bottlenecks in ciphertext parsing， behavioral pattern extraction， and deep correlation inference.

Graphical abstract

关键词

暗网 / 加密流量识别 / 加密流量溯源 / 网络空间治理

Key words

Darknet / encrypted traffic identification / encrypted traffic tracing / cyberspace governance

随着网络空间的不断拓展和隐私安全保护意识的增强，匿名网络已成为当今互联网重要组成部分。匿名网络使用者的数量在近些年来呈现出快速增长的趋势。然而，在这一数字生态的背后，也逐渐形成了一个隐秘而复杂的“暗网”（Darknet）世界^［1］。暗网通常指无法通过常规搜索引擎索引、需借助特定软件或协议访问的网络空间。在提供隐私保护与信息自由的同时，暗网也因其高度匿名性和去中心化的特征，逐渐演变为滋生各类非法活动的温床^［2］。如图1^［3］所示，暗网平台上广泛存在毒品与武器交易、人口贩卖、恐怖主义宣传、勒索攻击、赌博和儿童色情等内容的传播以及各类敏感信息的黑市交易等各种问题^［4］。根据调查数据，暗网的商品生态已由传统毒品主导，逐步向数字犯罪服务和欺诈转移^［5］。

暗网上日益活跃的非法行为^［6］引起了全球安全机构和学术界的高度关注，这些非法活动往往借助匿名通信协议进行实施，大大增加了监管与追踪的难度，导致暗网治理比较困难的原因主要有以下3个方面。

首先，暗网通信加密流量具备极强的匿名性，使得传统基于明文特征提取的流量识别与分类方法难以奏效。例如洋葱路由技术，当洋葱路由器收到消息时，它知道该消息的直接前身以及应该传递给谁。每个洋葱路由节点都使用自己的私钥剥离一层加密，发现下一个路由节点的指令。此过程重复进行，直到消息被传送到最后一个洋葱路由节点^［6］，其多层加密和多跳路由机制使通信路径与数据内容均被高度隐藏，即使流量被拦截，也难以还原用户的真实身份，现已成为暗网核心协议^［7］。

其次，暗网中的服务类型繁多、结构复杂，缺乏统一的分类标准。这不仅增加了行为建模的难度，也限制了对其运行机制的系统性理解。值得关注的是，现有研究多聚焦于特定类型非法交易市场（如毒品、武器交易平台）的特征分析，却普遍忽视匿名通信节点、加密货币洗钱服务以及数据泄露论坛等多元化服务类型的系统归类。这种分类学层面的方法论缺失，不仅使得基于机器学习的暗网行为建模面临特征空间维度灾难的挑战，更从根本上制约着对暗网经济生态系统运行规律的跨平台认知。

此外，暗网中的关键网络实体，包括转发站点、桥接站点等，普遍采用匿名身份与去中心化部署策略。尤其是暗网隐藏服务采用六跳路由策略，使得现有的网络实体识别与行为溯源技术在面对这些隐匿对象时表现出极大的挑战。隐藏服务网络拓扑也存在一定动态性，难以形成稳定追踪路径。再者，暗网交易常以加密货币结算，增加了资金流向的追踪难度，削弱了传统金融监管手段的有效性。这些因素共同作用，使得暗网治理面临多重技术和管理壁垒。

在理论层面，暗网挑战了传统网络空间治理依赖身份追踪与行为监测的基本范式；在技术层面，其匿名通信架构则使得现有的流量监测、数据取证与行为分析工具失效或准确率低下。这种多维度的挑战使得暗网逐渐成为网络犯罪分子的隐蔽避风港，也对国家安全、社会稳定和数字秩序构成潜在威胁。因此，构建跨学科、跨平台的协同治理机制，整合多方技术资源，强化国际合作，成为破解暗网治理难题的关键路径。同时，需推动相关法律法规的完善，提升公众对暗网风险的认识，形成全社会共同防范的合力。

本研究构建以暗网隐藏服务综合治理为目标的技术框架，涵盖基于Tor（The Onion Router）协议的隐藏服务加密流量检测、多层次应用协议特征分析以及网络实体溯源追踪3个核心技术。旨在系统梳理当前针对暗网加密流量识别和溯源技术，并探讨在识别隐藏服务类型与追踪其网络主体方面的研究进展与挑战。本文的组织结构如下：第1节简要介绍暗网中常见的匿名通信协议，包括Tor、I2P、Freenet、Zeronet和GUNnet；第2节分析在加密流量环境下进行隐藏服务识别所面临的关键挑战；第3节梳理当前研究在暗网隐藏服务识别中的主要研究方向；第4节重点介绍典型的暗网加密流量识别和溯源技术，涵盖网站指纹识别、流量分类与流关联分析等方法；第5节对未来在暗网隐藏服务识别领域中的研究趋势与潜在改进方向进行探讨；第6节总结全文，归纳研究思路与发展方向。

1 暗网常见协议

与传统互联网不同，暗网并不被常规搜索引擎索引，用户必须依赖特定的协议与访问工具进入这些隐藏空间^［3］，协议与工具流量具有匿名性，常用于掩盖用户身份和活动^［8］。目前主流的匿名通信协议包括 Tor、I2P、Freenet、ZeroNet 与 GNUnet。其中，Tor 通过多层加密和中继节点的路径构建匿名机制，为用户提供通信匿名性与位置隐私保护，并通过其隐藏服务功能支持网站或服务器在网络中的匿名部署与访问。相比之下，I2P （Invisible Internet Project）更强调对等结构下的点对点通信，适用于构建匿名应用，Freenet 侧重匿名文件分发与内容发布，ZeroNet 和 GNUnet 则探索去中心化的匿名网络架构。尽管这些协议各具特色，但Tor凭借其成熟度与实际应用规模，成为最广泛应用的协议以及当前研究暗网流量分析与隐藏服务识别的重点对象。相比之下，其他匿名网络的范围和受关注程度要小很多^［9］。

1.1 Tor 协议

Tor是第二代洋葱路由技术，是一种分布式覆盖网络，旨在对基于TCP的应用程序进行匿名化处理^［10］。用户接入 Tor 网络时，其通信数据会被逐层加密，并依次通过至少3个分布于全球的中继节点进行转发，从而有效隐藏用户的 IP 地址和传输内容^［11］。Tor 网络作为一项免费服务提供，旨在促进在在线审查受到严格执行或寻求访问当地非法信息的人受到迫害威胁的地方不受限制地访问互联网^［12］，通常以“.onion”结尾的域名形式存在。Tor网络除了使与服务器的连接难以追踪其来源外，它还可以通过称为“隐藏服务”的功能为互联网服务提供隐私服务^［13］。

如图2所示，Tor网络结构复杂，数据包在多个节点间跳跃，增加了追踪难度。隐藏服务通过特定端口与客户端建立连接，确保服务提供者的匿名性。隐藏目录服务器存储服务描述信息，客户端通过检索获取服务地址，实现匿名通信。客户端与隐藏服务器之间先经过引入节点进行初步握手，随后通过汇聚节点建立稳定连接，确保双方身份隐秘。传统的Tor网络访问普通网站则是经过3条路由，包括入口节点、中间节点和出口节点，而访问隐藏服务器则需要经过引入节点与汇聚节点，形成更为复杂的通信路径，进一步增强了匿名性和安全性。客户端在访问隐藏服务时，需通过洋葱路由算法生成加密路径，确保每次通信的独特性。隐藏服务器的公钥用于验证身份，防止中间人攻击。此外，Tor网络定期更新节点列表，以应对潜在的安全威胁，进一步提升系统的鲁棒性。

Tor网络架构通过其专用客户端Tor浏览器实现双重功能：匿名通信服务与匿名信息托管服务。尽管存在功能差异，两项服务共享基础协议栈及分布式节点基础设施。从技术架构角度而言，匿名浏览与匿名托管功能并无必然耦合关系。统计数据显示，绝大多数用户仅利用该软件实现传统互联网地址空间的匿名访问，旨在提升网络活动的安全性与隐私保护水平^［14］。用户接入Tor网络存在直连与桥接两种模式，图3展示了2012-2025年间直连用户数量的演变趋势。在受网络审查地区，用户需借助桥接节点规避Tor入口节点的访问限制，图4系统呈现了同期桥接用户的规模变化特征。成功建立Tor连接后，用户可访问网络内部的隐藏服务，该服务协议历经V2至V3的版本迭代，其中V2协议已于2021年正式停止维护。作为当前最成熟的匿名通信系统，Tor凭借其去中心化架构、用户友好界面及广泛的节点支持，在提升网络隐私保护水平的同时，也为暗网非法活动提供了技术基础，对网络安全治理形成重大挑战。

1.2 I2P协议

I2P作为专精于匿名通信的分布式网络协议，其核心目标在于构建高强度隐私保护体系。与Tor网络侧重表层网络及隐藏服务访问不同，该协议着重于内生匿名服务架构，其核心服务载体Eepsites通过专属“.i2p”域名体系实现匿名网站访问。虽然在数据单元层级与洋葱路由技术保持同构性，但I2P采用差异化传输机制：将加密洋葱单元进行复合封装后，以多层加密格式沿节点链式传输^［15］。其路由体系采用解耦型双通道架构（如图5所示），其中出站隧道通道实施消息逐层加密传输，入站隧道通道则执行逆向解密处理。隧道架构包含勘探隧道与客户端隧道两大类型，前者专司网络数据库数据请求及隧道信息维护；后者承载应用层全量网络消息传输，涵盖隧道接口地址解析、匿名请求处理、出入站隧道服务调度等核心功能。值得注意的是，I2P路由器在隧道构建过程中将深度参与隧道架构^［16］。基于隧道的单向传输特性，完整通信链路需构建两对出站与入站隧道^［17］，该设计显著提升系统解耦度与抗流量分析能力。其路由发现机制基于分布式哈希表（Distributed Hash Table，DHT）实现，更契合去中心化匿名通信体系的设计理念。根据I2P社区测算，2023-2025年间全球网络活跃路由节点总数维持在6.5 万~8万区间。

1.3 Freenet协议

Freenet^［18］作为基于分布式哈希表DHT架构的匿名信息共享系统，采用去中心化网络拓扑与冗余数据存储机制构建，其核心设计目标在于实现数字内容的高可用性及抗审查性，支持用户不受时空限制地发布任意类型数字内容^［19］。该系统的技术实现包含3个关键特征：1） 通过全节点加密存储与分布式碎片化数据部署，构建防御单点失效与身份溯源的隐私保护机制；2） 消息传输机制采用节点间链式跳转模式，每条传输链路实施独立加密策略，直至完成终端接收者的数据解密^［20］；3） 基于动态路由策略的自适应网络路径构建，通过实时更新节点路由表与优化数据访问模式，显著增强系统抵御网络监控与恶意干扰的能力。虽然在系统易用性与数据传输效率维度仍存在优化空间，但Freenet在注重数据主权与隐私安全的技术社群中仍保持特定应用场景的实践价值。

1.4 ZeroNet协议

ZeroNet创新性地整合比特币加密签名机制与点对点网络技术，构建去中心化的分布式架构，通过具备目标站点元数据的对等节点与请求节点间的信息交互机制实现Web服务的分布式访问^［21］。该系统支持用户创建并访问匿名化网站服务，依托本地节点与P2P网络架构进行网页托管，通过公钥地址实现网站身份认证机制。内容传播采用P2P网络拓扑结构，结合BitTorrent协议实现站点数据的分布式同步，有效增强系统的抗审查能力与数据持久性。该系统具备无单点故障、抗审查性及零运营成本等核心特征^［22］。受限于系统部署的复杂性与资源需求约束，该平台当前主要应用于学术研究领域及隐私保护倡导者社群。

1.5 GNUnet框架

GNUnet^［23］是由GNU项目支持开发的去中心化网络框架，基于“友元网络”拓扑结构，通过信任机制支撑匿名通信系统。其设计重点在于提供隐私保护和安全性，旨在提供高安全性与强隐私保护的通信基础设施，强调匿名通信与抗审查性，支持匿名文件共享、消息传递和虚拟私人网络（Virtual Private Network，VPN）功能。GNUnet是社区规模较小的匿名通信系统，更适合做匿名网络的研究与实验平台，而非普通用户日常访问网络的工具。

2 暗网网络空间安全治理面临的挑战

本文以Tor网络空间安全治理为重点研究对象。Tor网络通过集成多重技术机制实现用户隐私保护与抗审查能力的协同增强，其核心架构基于分层加密体系。系统采用洋葱路由加密模型^［24］，在通信数据封装过程中执行分层加密操作，各个中继节点仅能解密对应层级的密文信息，从而构建起分层解密授权机制，确保网络传输路径中不存在可获取完整通信信息的单一节点。同步实施的多跳转发机制^［25］构建了拓扑隐匿通道，数据包在传输过程中需经至少3个独立中继节点接力转发，每个节点仅掌握相邻前驱与后继节点的地址信息，形成有效的匿名传输链路。在服务匿名化方面，网络内置的隐藏服务协议^［26］创新性地实现双向匿名通信范式，服务提供者通过分布式哈希表注册虚拟地址，无须暴露真实IP地址即可对外提供服务资源，该机制将传统网络服务的客户端-服务器匿名性要求扩展为双向匿名保障体系^［14］。

系统的抗审查特性源于其去中心化拓扑结构，全球逾7000个志愿者节点构成的分布式网络^［27］采用共识机制实现节点协同，彻底消除中心化控制节点带来的单点失效风险。针对被动式流量分析攻击，网络实施动态路径轮换策略，通过周期性更新电路构建参数与传输路径选择算法^［28］，有效消除流量指纹特征与用户行为的时空关联性。现阶段针对Tor网络的流量监测主要面临以下技术维度挑战^［29］。

2.1 匿名性与抗侦查能力带来的执法困难

Tor网络依托多层洋葱式加密架构与多跳转发机制，采用分层式加密处理技术对客户端通信数据进行多重封装。数据包在传输过程中，依次经由预选的中继节点逐层解密并转发，通过分布式路径构建实现通信双方身份及位置信息的高度隐匿性。该架构显著提升了用户的隐私保护强度及网络抗审查性能，即便在具备深度流量监测能力的网络环境中，亦难以实现通信链路的高效溯源与行为特征分析。基于该匿名特性，Tor网络客观上为暗网毒品交易、跨境武器贩运和APT（Advanced Persistent Threat）攻击工具传播等非法活动提供了隐匿通道，行为人可通过多层代理架构深度掩藏终端设备指纹及网络轨迹，导致执法机构在追溯真实信息源时面临多重技术障碍与侦查瓶颈。

2.2 传统识别方式面临不确定性与误判风险

Tor网络采用分层中继架构，通过多级中继节点将通信路径划分为若干独立传输链路。每个中继节点仅掌握相邻节点的地址信息，且仅能解密本层加密内容，单一监控节点无法获取完整的传输路径及会话数据，系统具备高度加密特性。传统基于流量特征或统计模式的识别机制，在动态高负载网络环境中易产生误判或漏判，这使得针对Tor流量的实时精准识别成为具有显著技术难度的研究课题^［30］。

2.3 识别隐藏服务的网络实体难度较大

隐藏服务依托Tor网络的内部路由机制与分布式目录系统架构，在继承原有匿名通信协议的基础上，显著增强了网络实体的隐匿性。通过洋葱路由的多层加密架构与分布式连接机制，客户端与服务端均能以匿名状态存在于Tor网络中，致使在有限时间范围内精确定位隐藏服务的实际运营主体极具挑战性。值得注意的是，Tor隐藏服务具备灵活迁移的特性，使得网络实体的追踪溯源与地理定位面临呈指数级增长的复杂性挑战。

3 面向暗网隐藏服务识别与实体溯源的研究思路

为有效实现暗网非法活动的精准识别与动态追踪，近年来学术界与工业界针对Tor匿名通信网络的流量特征解析及隐藏服务节点识别等关键技术领域展开了系统性研究，其核心目标在于突破现有匿名通信机制所形成的监测屏障。如图6所示，现阶段研究主要聚焦于以下三大技术维度。

3.1 Tor 流量共性特征提取

虽然Tor通信流量采用多层加密架构并在网络传输层面具有显著的随机化与不可预测特性，但在通信行为模式、数据包尺度分布特征、传输时序间隔等关键参数维度上，仍能观测到可被量化的统计规律性特征。这些潜在的关联性特征为流量识别与分析技术提供了理论依据。因此，构建Tor流量的共性时空特征模型被确立为研究体系中的重要课题^［31］。随着网络环境动态性与复杂性持续增强，学界开始系统性地应用机器学习^［32］与深度学习方法对Tor流量进行行为建模，旨在提升识别系统的环境适应性与检测时效性。

3.2 Tor隐藏服务类型识别

Tor网络因其匿名隐藏服务特性，已成为暗网内容传播的主要载体。研究表明，超过50%的暗网服务涉及非法或敏感内容，包括黑市交易、毒品贩卖和金融诈骗等违法犯罪活动^［33］。值得注意的是，暗网服务访问量呈现显著的“长尾”分布特征，即少数头部服务占据总访问流量的主要比重。为强化高风险暗网服务的监管效能，学界逐步将研究重点转向服务类型识别与分类领域，通过深度解析服务内容特征与行为模式，旨在构建智能化、精准化的监测体系。该领域的研究聚焦于暗网服务的语义特征、行为范式及流量表征，构建多维度特征分析体系，结合内容语义解析与服务意图建模技术，为安全部门提供预警与响应决策支持。

3.3 Tor隐藏服务网络实体识别

在网络实体分析研究领域，若干技术路径通过整合跨流量、跨平台行为特征以构建实体关联。该技术路径通过系统解析用户群体在不同数字平台的行为轨迹、社交图谱拓扑及通信时序特征等多模态数据，构建跨流量与跨站点的实体行为预测模型，从而有效识别Tor匿名网络中的核心操作节点与潜在交互路径。针对数据分布异构性挑战与隐私保护刚性需求，研究框架中可以引入联邦学习等前沿隐私计算技术，以有效提升多机构间在不泄露明文数据前提下的协同分析能力。

4 面向暗网隐藏服务识别与实体溯源的研究工作

在网络节点捕获大规模流量数据后，往往先进行流量分类操作来识别Tor网络流量类别，进而判定其传输属性属于Tor网络至明网通信或Tor网络内部隐藏服务访问。若判定为隐藏服务访问行为，则需进一步开展服务类型识别，并将该节点捕获的隐藏服务流量与其他监测节点的同类数据进行关联性分析，从而实现隐藏服务网络实体的溯源定位。该技术流程可归纳为3个核心研究课题：加密流量的高效精准分类机制、隐藏服务类型的特征识别方法以及网络主体的关联溯源技术。如图7所示，当前国内外学术界已有部分研究成果可对应上述3个研究方向。

4.1 暗网加密流量识别

网络流量分类作为网络管理与网络安全领域的关键技术，其核心目标在于精准辨识源于多元化应用程序及网络服务的流量类别归属。该技术通过分析网络数据包特征及传输行为模式，实现对不同业务类型流量的细粒度识别与归类。暗网加密流量识别研究工作如表2所示。

首先，一些研究工作探索基于传统机器学习的Tor流量识别。例如，文献［34］构建了融合传统机器学习方法与数据预处理技术的暗网流量分类框架。该研究基于3个独立案例场景，采用6种机器学习算法进行模型训练与分类任务，通过特征工程技术对数据集进行优化处理。研究结果表明，随机森林算法在3个实验案例中展现出最优分类性能，其准确率分别达到97.22%、97.16%与85.99%，显著优于基准模型性能。文献［35］旨在探索常见的机器学习分类算法在暗网流量识别中的性能，首次使用公开的CIC-Darknet2020数据集，将任务划分为二分类（Benign 与Darknet）和多分类（Tor、Non-Tor、VPN、Non-VPN），通过ROC分析和特征重要性分析对这两个分类任务实施随机森林算法（Receiver Operating Characteristic，ROC），平均预测准确率超过98%。

之后，大量学者探索将深度学习应用到Tor加密流量识别。例如，文献［36］提出了一种用于暗网流量分类和应用程序识别的新型自关注深度学习方法DarknetSec，利用具有一维卷积神经网络1D CNN（Convolutional Neural Network）和双向长短期记忆（Bi-directional Long-Short Term Memory，Bi-LSTM）网络的级联模型从数据包的有效载荷内容中捕获局部时空特征，实验证明DarknetSec的多类别准确率和F1分数达到92.22%和92.10%。文献［37］探索自监督学习在网络中表示建模的能力，将原始网络流编码为可在下游任务中利用的稳健潜在表示。原始网络流被转换为图形结构的对象后使用Graph Auto-Encoders 和Anonymous Walk Embeddings等自监督技术，将每个网络流图编码为一种潜在表示形式，在有限标注数据的情况下优于全监督图卷积网络。文献［38］创新性地构建了基于元学习的流式关系网络框架（RBRN），旨在有效应对加密流量分类任务中存在的模型泛化性能不足、数据分布失衡等关键性挑战。该研究突破性地引入“hallucinator”模块作为技术核心，通过特征空间样本增强机制，为数据不平衡场景下的分类模型生成辅助训练样本。显著提升了模型在少量标注数据下的泛化能力。文献［39］提出了基于循环神经网络（Recurrent Neural Network，RNN）的流序列网络（FS-Net），从原始流中学习代表性特征，然后在统一的框架中对其进行分类，在包含18种应用的实际数据集上进行的全面实验表明，FS-Net达到了优秀的性能（99.14%的真阳率，0.05%的假阳率）。

近年来，随着深度学习的不断发展，基于复杂深度学习的Tor加密流量识别技术不断被提出。例如，文献［40］系统阐述了深度学习技术在加密流量分类领域的应用研究，通过实证方法验证了多种深度神经网络模型的分类效能。该研究基于多源异构数据集开展对比实验，实验数据证实深度学习模型在分类准确率、泛化能力等核心指标上相较传统方法具有显著性能优势。文献［41］提出了一种新的流量表示模型，称为ET-BERT，从大规模未标记数据中进行预训练。预训练模型可以在少量特定于任务的标记数据上进行微调，提升上下文建模能力，实现了在多个加密流量分类任务上的性能提升。文献［42］引入了一种新的加密互联网流量分类方法FlowPic，将基本流数据转换为图片，然后使用已知的图像分类深度学习技术卷积神经网络（CNN）来识别，将图像识别技术应用于加密流量分类，提高了分类准确性和效率。FlowPic对VPN流量的分类取得了很高的成功率。此外，对新出现的未在训练阶段出现的应用，FlowPic也能实现较好的分类。文献［43］设计了基于语言大模型的通用型加密流量分类框架，通过结合加密流量内容和专家提示词内容来增强加密流量分类能力，并能够利用微调不同的下游任务实现对不同类型任务的分类能力，在公开数据集上取得了较高的分类性能。文献［44］从协议、应用与服务三层系统化梳理加密流量类型，分析 HTTP/2.0、QUIC 等新协议带来的识别挑战，为暗网流量识别提供理论支持。文献［45］提出结合 主成分分析PCA 与改进 CNN的加密流量分类模型，提升非独立同分布流量下的分类性能与效率。文献［46］强调流量分析需划分为检测、分类和识别等3个阶段，关注概念漂移与应用层特征建模，以应对实际识别难题。文献［47］基于相对熵提出 Tor 系统不可观测性度量方法，量化其抗检测能力，为加密流量识别与溯源提供评估工具。

综上所述，现有研究在暗网加密流量识别领域已构建起从传统机器学习到深度学习再到复杂神经网络模型的递进式技术体系，显著提升了分类精度与泛化性能。然而，这些方法仍面临模型在动态网络环境中的鲁棒性不足、对抗性攻击易感性高以及跨平台数据异构性等核心挑战。未来研究需融合强化学习与图神经网络技术，强化流量特征的时空关联建模，以应对Tor网络持续演变的加密策略与路径伪装机制。

4.2 暗网服务应用类型识别

本文系统探讨当前普遍采用的网站指纹识别攻击方法，以精准辨识用户访问的Tor隐藏服务类别。Tor隐藏服务应用类型识别研究如表3所示。文献［48］首次研究网站指纹识别方法，揭示了隐藏服务设计中的关键弱点，能被动地打破隐藏服务客户端和运营商的匿名性。该方法通过截获客户端和其入口节点之间的流量，并将观察到的流量与预先记录的隐藏服务传输特征进行匹配，从而识别该隐藏服务的类型。开启了隐藏服务类型识别研究方向。文献［49］提出了一种基于深度学习的网站指纹自动化方法，创新性地通过深度学习自动化构建网络流量特征，收集了一个包含超过300万条网络跟踪的数据集，这是用于网站指纹识别的较大网络流量数据集；此外，该方法自动学习的隐含特征对网页内容随时间变化的动态变化具有很强的抵抗力。文献［50］提出了一种新的网站指纹识别攻击方法Deep Fingerprinting（DF），利用卷积神经网络CNN进行深度学习，在无防御的 Tor 网络流量中实现了超过98%的准确性，并对现有防御措施WTF-PAD和Walkie-Talkie有显著效果。文献［51］提出了改进的网站指纹识别技术，通过使用更基本的 Tor 单元作为数据单元来解释数据。在Tor网络上实现了更高的分类准确率，并提出新的数据采集方法和相似性度量的指标。文献［52］提出了一种基于多模态深度学习的新型加密多任务流量分类方法，能够利用流量数据异质性解决不同服务提供商的流量分类问题，并在实际加密流量数据集上实现了性能提升。文献［53］提出了GLADS模型，该模型是一个全局-局部注意数据选择模型，用于多模态多任务加密流量分类，其创新点在于引入了“指示器”机制和“局部+全局”框架，能够在性能和速度之间取得平衡，同时能够更好地处理多模态输入。文献［54］提出了TrafficFormer模型，通过对预训练过程Burst的选择性掩码，增强模型对不同应用流量的特征区分能力。在预训练模型基础上，将模型迁移到下游分类任务，实现对不同类型软件的加密流量识别。基于大量公开数据集的测试结果显示，该模型能够对不同的恶意软件取得高精度的识别性能。文献［55］利用自注意力机制加强 CNN 对暗网文本信息的建模，实现多账号身份的行为关联识别，用于识别用户在暗网市场中的活动类型。

综上所述，当前暗网服务应用类型识别研究主要依托网站指纹识别技术展开，已形成从启发式特征工程到深度特征自动学习的演进路径。现有方法在无防御或弱防御场景下展现出较高的识别准确率（如DF方法可达98%），并尝试通过多模态融合（如GLADS模型）和自动化特征提取（如文献［49］）来提升模型对动态页面内容变化的适应性与鲁棒性。然而，该领域仍面临若干核心挑战：1） 现有方法对Tor网络持续演进的混淆防御机制抵抗力有限，模型在强混淆环境下的识别精度显著下降；2） 大规模、高保真、多场景的暗网流量标注数据集构建成本高昂，制约了复杂深度学习模型的训练与泛化能力验证；3） 现有技术多聚焦于单点流量分析，对分布式、跨节点协同的隐藏服务集群行为模式识别能力不足；4） 隐私保护与合规性约束使得真实网络环境中大规模流量采集与分析面临法律与伦理壁垒。这些局限性表明，未来研究亟需发展具有抗混淆鲁棒性的轻量化识别模型、探索基于联邦学习的小样本与跨域迁移学习方法、深化隐藏服务交互模式与行为图谱分析，并构建兼顾分析效能与隐私合规的技术框架。

4.3 暗网服务实体流量溯源

流量关联攻击通过分析Tor匿名通信网络中数据传输路径（即电路）所交换数据包的时间特征模式与流量特征之间的关联性，进而实现端点去匿名化。Tor隐藏服务流量关联分析研究工作如表4所示。此类攻击需满足特定实施前提：攻击者需具备同时监控目标活动电路入口节点与出口节点的能力。例如，文献［56］提出的RAPTOR技术框架，采用非对称流量分析方法对Tor网络连接的双向通信链路实施监控。该体系通过持续性流量监测机制，在延长观测时域的基础上，运用时序特征匹配分析算法实现流量模式识别。

之后，许多学者针对传统方法流量溯源精度低的问题，开展基于深度学习的Tor流量关联分析技术。例如，文献［57］专为Tor匿名网络流量设计了一种名为DeepCorr的深度学习模型，并构建了相应系统。通过训练神经网络模型，在900个数据包规模的流量条件下，实现通信流关联，该系统在多数网络流量场景中取得了96%的关联准确率。值得关注的是，在采用完全相同的实验配置时，该模型的性能显著超越现有先进的RAPTOR系统——后者在同等条件下的关联准确率仅为4%。文献［58］通过构建双分支深度神经网络DeepCoFFEA，分别对输入与输出数据流的高维特征向量进行嵌入表示，继而采用距离函数对降维后的特征向量进行相似度度量。该方法在维持高精度标准的前提下，显著提升了流关联匹配效率，其真阳性检出率可达93%。文献［59］提出了一种名为Sliding Subset Sum （SUMo）的新型分布式流相关攻击方法，基于机器学习分类器和经典子集和决策问题的新型相似性函数的管道架构，对多个ISP在全球范围内的多个网络优势点收集的Tor流量进行分析，能有效对Tor网络中的洋葱服务会话进行去匿名化，并分析了可能的反制措施。文献［60］在考虑到骨干网大量流量下的暗网溯源效率低的问题，提出了一种快速加密流量溯源技术，实现仅利用20个数据包即可完成超过93%的溯源精度，提升了暗网加密流量溯源的实效性和高效性。文献［61］系统梳理 Tor 场景下的被动流量分析方法，将其分为“流量分类”和“流关联”两类，强调在特征提取和鲁棒性方面提升对抗混淆与伪装的能力。

综上所述，现有研究在深度学习模型驱动下显著提升了暗网服务实体流量的溯源精度与效率，DeepCorr、DeepCoFFEA 等方法在特定条件下关联准确率已突破 90%，远超传统技术。然而，当前溯源工作仍面临若干关键瓶颈：1） 现有模型高度依赖大规模标注流量数据集进行训练，而真实暗网环境中高质量、跨地域、多场景的标注数据获取异常困难且成本高昂，制约了模型的泛化能力与实际部署效果；2） 溯源技术对抗持续演进的 Tor 防御机制（如改进的流量混淆、延迟注入、路径随机化）能力不足，模型在强对抗环境下性能易出现显著衰减；3） 多数方法需在入口/出口节点部署监控或需较大流量样本（如数百数据包）才能实现有效关联，在资源受限或低信噪比场景下适用性受限；4） 分布式与协作式攻击方法（如 SUMo）虽展现了潜力，但其大规模实施依赖全球性监控资源协同，面临部署复杂性与法律合规性挑战。未来研究亟需探索小样本学习、对抗性训练等技术，以降低模型对标注数据的依赖并提升鲁棒性；同时发展轻量化、端到端的实时关联模型，并深入研究在局部监控条件下的高效溯源策略及相应的反溯源对抗机制。

5 暗网空间安全治理研究展望

本文系统阐述暗网网络应用服务流量识别与溯源领域的核心挑战，尤其聚焦Tor网络中的隐藏服务应用：隐藏服务加密流量分类、隐藏服务类型识别及隐藏服务流量关联。基于对现有文献的综述与技术演进分析，可以发现，目前暗网空间安全治理可以归纳为镜像流量采集、加密流量分类、暗网加密流量识别、暗网隐藏服务类型判别、暗网网络实体关联分析和恶意网络实体流量抑制等完整技术闭环^［62-63］。这些技术模块通常需要采用机器学习或深度学习来增强识别或关联的准确性，然而现有模型存在诸多局限性，未来研究可以从以下几个方面开展。

首先，需进一步增强模型的对抗鲁棒性。随着Tor等匿名通信系统不断迭代升级流量混淆策略，例如采用动态填充、协议模拟等新兴技术，传统检测方法的有效性持续受到挑战。因此，未来研究应融合对抗生成网络（Generative Adversarial Network， GAN）与元学习等先进框架，构建具备自适应能力的识别与防御机制。通过高维对抗样本的模拟训练，有望显著提升模型对复杂混淆模式的辨析力，增强特征解耦能力。同时，轻量化实时混淆检测模块的研发也尤为重要，以保证在保障高效识别的同时，降低计算资源开销，实现在线环境下的高性能部署。

其次，提升模型的泛化性与适应能力依然是亟需突破的重点。面对未知领域或样本稀缺的现实场景，仅依靠大规模标注暗网数据已难以满足需求。未来研究需深入探索小样本学习、零样本学习、迁移学习和Prompt Learning等新兴技术，结合知识图谱嵌入等辅助信息，使模型能够凭借极少量乃至无标注的样本适应暗网新型应用。同时，应加强领域自适应与泛化相关方法的创新，包括改进的特征解耦、对抗性领域对齐以及不变特征学习等，以减缓模型在分布外数据情况下的性能衰减，提升其在多环境、多终端和异构用户群体中的普适性^［64］。

此外，模型效率优化与部署可行性的提升同样具有现实意义。面对模型参数规模大、推理延迟高等瓶颈，未来应推动以高效Transformer变体、神经网络架构搜索、模型剪枝、量化与知识蒸馏为代表的模型轻量化与压缩技术创新，尽可能降低计算和存储消耗。并且，应结合边缘计算趋势，研究模型-硬件协同优化策略、自适应计算以及高效边缘端推理框架，促进先进模型在资源受限环境的广泛落地。

最后，可信赖的可解释性暗网抑制理论研究也是未来研究的重要方向。通过开发基于因果推理的归因分析模型，能够显著增强模型决策的透明度和可审查性，为模型的安全应用和科学落地提供坚实保障。

如图8所示，暗网应用服务治理技术流程中的核心模块（包括加密流量识别、服务类型识别及关联分析）需在抗混淆能力与鲁棒性、泛化性与自适应能力、轻量化部署能力以及可解释性等多个维度实现协同创新。任一模块的技术能力缺失，均可能引发治理短板，进而制约整体治理效能。综上所述，暗网空间安全治理正推动网络空间安全体系向鲁棒性、高效性与可信赖性方向持续演进。

6 结论

暗网中基于隐藏服务的网络犯罪活动已引发学术界与监管机构的持续性关注。本研究基于加密流量分类、隐藏服务类型识别和流量关联分析三大技术路径，系统梳理并评述了国内外研究进展。研究范式经历了从传统机器学习向深度学习的演进，在模型准确率与泛化能力方面呈现持续提升态势，尤其在应对Tor等复杂加密协议场景时展现出优越的识别性能。网站指纹识别技术在封闭世界假设下已实现显著突破，深度学习技术有效提升了识别精度与抗干扰能力。然而，在开放世界场景中的实际应用效能仍存在显著局限。流量关联分析领域经历了从统计方法到深度学习驱动模型的范式革新，攻击效能获得数量级提升，特定现实数据场景下已一定突破。尽管此类技术多需依赖高权限节点或全局观测能力，其加密流量分析能力已对Tor网络的安全架构构成实质性挑战。未来的暗网治理需融合多学科智慧，强化跨领域协同，推动技术标准化与法规完善，以应对日益复杂的网络犯罪态势。

参考文献

[1] Biddle P， England P， Peinado M，et al.The darknet and the future of content distribution ［M］.Redmond： Microsoft Corporation， 2002.

[2] Moore D， Rid T.Cryptopolitik and the Darknet ［J］.Survival， 2016， 58（1）： 7-38.

[3] Hasanti F， Osman M Z， Rahman M H，et al.A comprehensive study on emerging trends of dark web marketplaces and forums ［C］//2024 IEEE International Conference on Computing （ICOCO）， 2024： 356.

[4] Owenson G， Savage N.The Tor Dark Net： GCIG Paper No.20 ［R］.Waterloo： Centre for International Governance Innovation （CIGI）， 2015.

[5] Hasanti F， Osman M Z， Rahman M H，et al.A comprehensive study on emerging trends of Dark Web marketplaces and forums ［C］//2024 IEEE International Conference on Computing （ICOCO），2024： 356.

[6] Omar Z M， Ibrahim J.An overview of Darknet，rise and challenges and its assumptions ［J］.International Journal of Computer Science and Information Security （IJCSIS）， 2020， 8（3）： 110-116.

[7] Syverson P F， Goldschlag D M， Reed M G.Anonymous connections and onion routing ［C］//Proceedings of the IEEE Symposium on Security and Privacy， 1997： 44.

[8] Saleem J， Islam R， Kabir M A.The anonymity of the Dark Web： A survey［J］.IEEE Access，2022，10： 33628-33660.

[9] Bradbury D.Unveiling the Dark Web ［J］.Network Security， 2014（4）： 14-17.

[10] Everett C.Moving across to the Dark Side ［J］.Netw Secur， 2009（9）： 10-12.

[11] Dingledine R， Mathewson N， Syverson P.Tor： The second-generation onion router ［C］//Proceedings of USENIX Security Symposium， 2004.

[12] Saleem J， Islam R， Islam M Z.Darknet traffic analysis： A systematic literature review ［J］.IEEE Access， 2024， 12： 42423-42452.

[13] Chaabane A， Manils P， Ali Kaafar M.Digging into anonymous traffic： A deep analysis of the tor anonymizing network ［C］//2010 4th International Conference on Network and System Security， 2010： 167.

[14] Biryukov A， Pustogarov I， Weinmann R.Trawling for tor hidden services： Detection，Measurement， Deanonymization ［C］//2013 IEEE Symposium on Security and Privacy， 2013： 80.

[15] Zantout B， Haraty R A.I2P data communication system ［C］//ICN 2011： The Tenth International Conference on Networks， 2011.

[16] Conrad B， Shirazi F.A survey on Tor and I2P ［C］//Proceedings of International Conference on Internet Monitoring and Protection （ICIMP）， 2014： 15.

[17] Yin H， He Y.I2P anonymous traffic detection and identification ［C］//2019 5th International Conference on Advanced Computing Communication Systems （ICACCS）， 2019： 157-162.

[18] Clarke I， Sandberg O， Wiley B， et al.Freenet： A distributed anonymous information storage and retrieval system ［M］//Designing Privacy Enhancing Technologies.Berlin，Heidelberg： Springer Berlin Heidelberg， 2001： 46.

[19] Clarke I， Sandberg O， Toseland M，et al.Private communication through a network of trusted connections： The dark freenet ［R/OL］.2010： 1-19.

[20] Clarke I， Miller S G， Hong T W，et al.Protecting free expression online with freenet ［J］.IEEE Internet Comput， 2002， 6（1）： 40-49.

[21] Choi H， Shin J， Seo J T.Artifacts analysis and utilization of decentralized web service ZeroNet for digital forensics ［J］.Secur Commun Netw， 2022，2022： 9418051-9418061.

[22] Siyuan W， Yue G， Jinqiao S，et al.Look deep into the new deep network： A measurement study on the ZeroNet ［C］//Proceedings of 20th International Conference on Amsterdam，the Netherlands， 2022： 595.

[23] Kügler D.An analysis of GNUnet and the implications for anonymous，censorship-resistant networks ［M］//Privacy enhancing technologies.Berlin， Heidelberg： Springer Berlin Heidelberg， 2003： 161.

[24] Engelmann A， Jukan A.Practical privacy in WDM networks with all-optical layered encryption ［C］//2017 IEEE International Conference on Communications （ICC）， 2017： 1.

[25] Mittal P， Khurshid A， Juen J，et al.Stealthy traffic analysis of low-latency anonymous communication using throughput fingerprinting ［PP/OL］.V2.arxiv（2011-11-22）［2025-05-03］.

[26] K.Past Müller，Present and Future of Tor Hidden Services ［R］.Trondheim： Norwegian University of Science and Technology （NTNU）， 2015.

[27] Saleh S， Qadir J， Ilyas M U.Shedding light on the dark corners of the Internet： A survey of tor research ［J］.J Netw Comput Appl， 2018， 114： 1-28.

[28] Imani M， Amirabadi M， Wright M.The evaluation of circuit selection methods on Tor ［PP/OL］.V1.arxiv（2017-06-17）［2025-05-17］.

[29] Jardine E.The Dark Web Dilemma： Tor， anonymity and online policing ［M］.Canada： Centre for International Governance Innovation Chatham House， 2015.

[30] Rimmer V， Preuveneers D， Juarez M，et al.Automated website fingerprinting through deep learning ［C］//Proceedings 2018 Network and Distributed System Security Symposium， 2018： 1-15.

[31] Mercaldo F， Martinelli F.Tor traffic analysis and identification ［C］//2017 AEIT International Annual Conference.Cagliari： IEEE， 2017： 1-6.

[32] Cuzzocrea A， Martinelli F， Mercaldo F，et al.Tor traffic analysis and detection via machine learning techniques［C］//2017 IEEE International Conference on Big Data （Big Data）.Boston，MA：IEEE，2017： 4474-4480.

[33] Biryukov A， Pustogarov I， Thill F，et al.Content and popularity analysis of tor hidden services ［C］//2014 IEEE 34th International Conference on Distributed Computing Systems Workshops.Madrid， Spain： IEEE， 2014： 188-193.

[34] Karagol H， Erdem O， Akbas B，et al.Darknet traffic classification with machine learning algorithms and SMOTE method ［C］//2022 7th International Conference on Computer Science and Engineering （UBMK）.Diyarbakir， Turkey： IEEE， 2022： 374-378.

[35] Iliadis L A， Kaifas T.Darknet traffic classification using machine learning techniques ［C］//2021 10th International Conference on Modern Circuits and Systems Technologies （MOCAST）.Thessaloniki， Greece： IEEE， 2021： 1-4.

[36] Lan J， Liu X， Li B，et al.DarknetSec： A novel self-attentive deep learning method for darknet traffic classification and application identification ［J］.Comput Secur， 2022， 116： 102663-102683.

[37] Zakroum M， François J， Ghogho M，et al.Self-supervised latent representations of network flows and application to darknet traffic classification ［J］.IEEE Access， 2023， 11： 90749-90765.

[38] Zheng W， Gou C， Yan L，et al.Learning to classify： A flow-based relation network for encrypted traffic classification ［C］//Proceedings of The Web Conference 2020.Taipei， Taiwan， China： ACM， 2020： 13-22.

[39] Liu C， He L， Xiong G， et al.FS-net： A flow sequence network for encrypted traffic classification ［C］//IEEE INFOCOM 2019-IEEE Conference on Computer Communications， 2019： 1171-1179.

[40] Rezaei S， Liu X.Deep learning for encrypted traffic classification： An overview ［J］.IEEE Commun Mag， 2019， 57（5）： 76-81.

[41] Lin X， Xiong G， Gou G， et al.ET-BERT： A contextualized datagram representation with pre-training transformers for encrypted traffic classification［C］//Proceedings of the ACM Web Conference 2022.Virtual Event，Lyon France： ACM， 2022： 633-642.

[42] Shapira T， Shavitt Y.FlowPic： Encrypted Internet traffic classification is as easy as image recognition ［C］//IEEE INFOCOM 2019-IEEE Conference on Computer Communications Workshops （INFOCOM WKSHPS）， 2019： 680-685.

[43] Cui T， Lin X， Li S， al et， TrafficLLM ： Enhancing large language models for network traffic analysis with generic traffic representation ［PP/OL］.V2.arxiv（2025-04-15）［2025-05-21］.

[44] Pan W B， Cheng G， Guo X J， et al.A Survey and Prospect of Encrypted Network Traffic Identification ［J］.Journal on Communications， 2016， 37（9）： 154-167.

[45] 潘吴斌， 程光， 郭晓军， 等.网络加密流量识别研究综述及展望［J］.通信学报， 2016， 37（9）： 154-167.

[46] Zhang X L， Cheng G， Zhang W C.Network traffic classification method based on improved deep convolutional neural network ［J］.Science China： Information Sciences， 2021， 51（1）： 56-74.

[47] 张小莉， 程光， 张慰慈.基于改进深度卷积神经网络的网络流量分类方法［J］.中国科学： 信息科学， 2021， 51（1）： 56-74.

[48] Chen Z H， Cheng G， Xu Z H， et al.A Survey on detection， classification， and identification of encrypted internet traffic ［J］.Chinese Journal of Computers， 2023， 46（5）： 1060-1085.

[49] 陈子涵， 程光， 徐子恒， 等.互联网加密流量检测、分类与识别研究综述［J］.计算机学报， 2023， 46（5）： 1060-1085.

[50] Tan Q F， Shi J Q， Fang B X， et al.Method for measuring unobservability of anonymous communication systems ［J］.Journal of Computer Research and Development， 2015， 52（10）： 2373-2383.

[51] 谭庆丰， 时金桥， 方滨兴， 等.匿名通信系统不可观测性度量方法［J］.计算机研究与发展， 2015， 52（10）： 2373-2383.

[52] Kwon A， Lazar D， Devadas S， et al.Circuit fingerprinting attacks： Passive deanonymization of Tor hidden services ［C］//Proceedings of the 24th USENIX Security Symposium （USENIX Security 15）， 2015： 287-302.

[53] Rimmer V， Preuveneers D， Juarez M，et al.Automated website fingerprinting through deep learning ［PP/OL］.V2.arxiv（2017-12-05）［2025-05-21］.

[54] Sirinam P， Imani M， Juarez M， et al.Deep fingerprinting： Undermining website fingerprinting defenses with deep learning ［C］//Proceedings of the 2018 ACM SIGSAC Conference on Computer and Communications Security， 2018： 1928-1943.

[55] Wang T， Goldberg I.Improved website fingerprinting on tor ［C］//Proceedings of the 12th ACM Workshop on Workshop on Privacy in the Electronic Society， 2013： 201-212.

[56] Aceto G， Ciuonzo D， Montieri A，et al.Encrypted multitask traffic classification via multimodal deep learning ［C］//ICC 2021-IEEE International Conference on Communications， 2021： 1-6.

[57] Dai J， Xu X， Xiao F.GLADS： A global-local attention data selection model for multimodal multitask encrypted traffic classification of IoT［J］.Comput Netw，2023，225： 109652-109672.

[58] Zhou G， Guo X， Liu Z，et al.TrafficFormer： An efficient pre-trained model for traffic data［C］//2025 IEEE Symposium on Security and Privacy （SP）， 2025： 1844-1861.

[59] Sun Y， Edmundson A， Vanbever L， et al.RAPTOR： Routing attacks on privacy in Tor ［C］// Proceedings of the 24th USENIX Security Symposium （USENIX Security 15）， 2015： 271-286.

[60] Nasr M， Bahramali A， Houmansadr A.DeepCorr： Strong flow correlation attacks on tor using deep learning［C］//Proceedings of the 2018 ACM SIGSAC Conference on Computer and Communications Security， 2018： 1962-1976.

[61] Oh S E， Yang T， Mathews N，et al.DeepCoFFEA： Improved flow correlation attacks on tor via metric learning and amplification ［C］//2022 IEEE Symposium on Security and Privacy （SP）， 2022： 1915-1932.

[62] Lopes D， Dong J D， Castro D，et al.Flow correlation attacks on tor onion service sessions with sliding subset sum ［C］//Proceedings 2024 Network and Distributed System Security Symposium， 2024.

[63] Yuan Y， Niu Q， Yuan Y.Early-MFC： Enhanced flow correlation attacks on Tor via Multi-view Triplet Networks with Early Network Traffic ［PP/OL］V1.arxiv（2025-03-21）［2025-05-21］.

[64] Mei H T， Cheng G， Zhu Y L， et al.A survey on passive traffic analysis of Tor ［J］.Journal of Software， 2025， 36（1）： 253.

[65] 梅汉涛， 程光， 朱怡霖， 等.Tor被动流量分析综述［J］.软件学报， 2025， 36（1）： 253-272.

[66] Yang Y Y， Du Y H， Liu H M， et al.A Dark Web user alignment method based on attention-enhanced convolution ［J］.Journal of Xidian University， 2023， 50（4）： 206-214.

[67] 杨燕燕，杜彦辉，刘洪梦，等.一种利用注意力增强卷积的暗网用户对齐方法［J］.西安电子科技大学学报， 2023， 50（4）： 206-214.

[68] Huo Y X， Zhao J P， Shi J Q， et al.Automatic extraction of Deep Dark Web threat intelligence based on conversational robots ［J］.Journal of Cybersecurity Science， 2024， 2（2）： 47-55.

[69] 霍艺璇，赵佳鹏，时金桥，等.基于会话机器人的深暗网威胁情报自动套取方法［J］.网络空间安全科学学报， 2024， 2（2）： 47-55.

[70] Yan X X， Xie W H， Tang Y L. Dynamic fuzzy searchable encryption scheme supporting robustness and backward security ［J］.Journal of Chongqing University of Posts and Telecommunications（Natural Science Edition）， 2025， 37（6）： 975-985.

[71] 闫玺玺，谢文豪，汤永利.支持鲁棒性和后向安全的动态模糊可搜索加密方案［J］.重庆邮电大学学报（自然科学版）， 2025， 37（6）： 975-985.

[72] Luo J Z， Yang M， Ling Z， et al.A survey on anonymous communication and the Dark Web ［J］.Journal of Computer Research and Development， 2019， 56（1）： 103-134.

[73] 罗军舟，杨明，凌振，等.匿名通信与暗网研究综述［J］.计算机研究与发展， 2019， 56（1）： 103-134.

基金资助

国家重点研发计划青年科学家项目(2023YFB3106700)

国家自然科学基金面上项目(62272440)