Итальянские исследователи опубликовали работу под названием "Идентификация зашифрованных данных на межсетевом уровне", исследующую вопрос дифференциации обычного ssh или scp трафика и ssh-туннеля. Если технология будет доведена до ума, то интернет провайдеры смогут выделять и блокировать даже зашифрованный P2P-трафик.

В исследовании при «сортировке» пакетов обрабатываются два параметра: размер и промежуток времени между двумя последовательными пакетами. Этого достаточно, что бы с 99% точностью отнести проходящий трафик к обычной ssh-сессии или к шифрованному туннелю. Дополнительно можно так же определить какой тип данных (P2P, POP, SMTP, HTTP) идет через туннель. Точность этой оценки составляет 90%.

С практической точки зрения метод анализа типа трафика еще далек от совершенства. Выявить удается только туннели идущие через предварительно подготовленные ssh-сервера. Это связано с тем, что механизм определения данных жестко завязан на одном типе аутентификации, в то время как обычные сервера позволяют несколько типов (например, PSK, пароль и др.). Другим ограничением является включенная компрессия трафика между ssh-сервером и клиентом. Также повторное подключение пользователя к ssh-серверу, если, например, первое было разорвано из-за неправильного пароля, анализатор ошибочно расценивает как туннель и дает команду на прерывание соединения.

Применение такой механизм контроля найдет в тех местах, где пользователи ограничены определенным списком используемых сетевых протоколов и им позволено устанавливать ssh-соединение только с серверами, контролируемыми заинтересованной организацией.

Хотя, зная на каких принципах строится анализ проходящего ssh-трафика, не составит большого труда создать механизм тунеллирования, использующий переменный размер пакетов и вносящий искусственные задержки. Либо, опять же используя эти параметры, маскировать нежелательные данные под HTTP, SMTP и другие разрешенные протоколы.