HTTPS puede ser bueno para asegurar transacciones financieras, pero no es de mucha utilidad como herramienta de privacidad: Investigadores estadounidenses descubrieron que un análisis de tráfico de 10 sitios web HTTPS, arrojó datos personales de carácter médico, legal, financiero y de información de orientación sexual.

En "Yo sé por qué fuiste a la clínica: Riesgos y realización de análisis de tráfico HTTPS" [Reporte en inglés], investigadores de la universidad de Berkeley California, Brad Miller, AD Joseph, JD Tygar y Ling Huang de Laboratorios Intel, muestran que, incluso el tráfico web cifrado, puede dejar suficientes rastros en el camino.

Los sitios probados en el estudio incluyeron servicios de salud, banca, finanzas y servicios legales, así como Netflix y YouTube. Su "ataque de análisis de tráfico" cubrió 6 mil páginas personales en 10 sitios web y se acercó al 90 por ciento de precisión a la hora de asociar a los usuarios con las páginas que vieron.

No es la primera vez que este tipo de trabajo se lleva a cabo, pero los autores del estudio dicen que han obtenido una reconstrucción de la más alta calidad en cuanto a la navegación de sitios por HTTPS de usuarios de Internet. Los investigadores fueron capaces de averiguar qué páginas estaban viendo los usuarios con una precisión del 89 por ciento.

Los investigadores llaman a su análisis "Bag of Gaussians" (BoG), debido a la similitud de la palabra bag con la clasificación de documentos.

"Nuestro ataque aplica técnicas de agrupamiento para identificar patrones en el tráfico. Utilizamos una distribución de Gauss para determinar la similitud de cada grupo y asignar muestras de tráfico dentro de una representación de ancho fijo compatible con una amplia gama de técnicas de aprendizaje automático".

El ataque no es trivial: como señalan los autores, el atacante tiene que ser capaz de visitar las mismas páginas web del objetivo y tiene que ser capaz de capturar el tráfico de la víctima. De esa manera, el atacante identificará patrones en el tráfico cifrado para compararse contra las páginas que, tanto el atacante como la víctima, visitaban.

Sin embargo, señalan que los ISP y quienes contratan (asimismo los espías y censores) tienen exactamente la misma vista del tráfico de los usuarios.

El ataque de análisis puede ser mitigado con una técnica de padding, a la que se refieren como "padding Burst" que cambiaría la firma de las páginas cifradas en visitas separadas.