[发明专利]实时识别Skype两类语音流的方法

说明书

技术领域

本发明属于网络数据通信领域，具体地讲是从网络流量中实时识别出 Skype的基于UDP语音流和基于TCP语音流的方法。

背景技术

Skype是一种基于P2P(peer-to-peer)技术的经IP传送的语音 (Voice-over-IP，VoIP)应用。它是一种网络即时讯息语音通信系统，同时具备 视频、多人语音会议、多人聊天、文件传送和短信收发等功能。它的高质量、 宽覆盖面的语音远优于其他VoIP系统，可支持PC到PC免费通信，并支持 PC到国内国际固话和移动电话通信。其一经推出就迅速成长为世界上最大的 网络电话系统和多媒体通信系统。

在日益方便了人们日常生活的同时，P2P应用也带来了许多的问题，如色 情、暴力、反动软件/内容的分发扩散，盗版媒体的加速传播增加了知识产权 保护难度等。Skype的流行也严重地影响了传统电信服务商的业务：原有的国 际和国内长途电话业务被蚕食，赢利空间被极大压缩；传统因特网非对称流 量模型被打破，以此理论为基础的包月收费方式不再合理；大量网络带宽和 磁盘空间被消耗，严重时使网络系统性能降低甚至瘫痪，损害了因特网服务 提供商(ISP)和其他网络用户的利益。ISP迫切需要搞清Skype语音流使用和分 布现状，进而对它们实施有效管理措施，而这些工作的基础是建立在能够识 别Skype语音流的基础上。

作为一种P2P应用，Skype采用了动态选取端口、伪装成其他流量、加密 数据和匿名通信等策略来逃避常规流量识别机制的检测。此外，Skype使用了 专用通信协议，并用高强度密码加密了通信内容和部分协议，至今为止没有 公布过任何有关协议或其他技术专题的文档，使其蒙上了神秘的面纱。人们 只能通过逆向工程的方法来剖析了解Skype的协议和机理，这使得识别Skype 语音流成为世界性的难题，至今为止仍缺乏实时高效识别Skype语音流的方 法。所谓Skype语音流是指用于传输Skype语音的报文集合，它们符合五元 组{源IP地址，源端口号，目的IP地址，目的端口号，运输层协议类型}流规 范和64秒超时定义的双向流[1]。分析表明，在Skype支持的PC到PC、PC 到电话的两种通信方式中，具有基于UDP的Skype语音流和基于TCP的Skype 语音流这两种语音流。基于UDP的Skype语音流为默认的语音流，而基于TCP 的Skype语音流是当前者遇防火墙/网络地址转换器(NAT)无法通过而采用 的语音流。在识别Skype这两种语音流方面，已经有了一些研究。例如，文 献[2]提出了一种称为χ²统计检测Skype流量的技术CSC，以检测出Skype流 量具有的加密特性；结合使用贝叶斯分类器的确定过程NBC，基于VoIP流量 的统计特性，以此实时识别Skype两种语音流，但这些方法的准确性通常不 高。

发明内容

本发明的目的是针对现有的识别方法中存在的准确性不高、效率低的问 题，提出一种从网络流量中实时准确识别出Skype基于UDP语音流和基于 TCP语音流的方法。

本发明的技术方案是：

1、一种识别基于UDP的Skype流的方法IUSVF，其特征在于，包括下 列步骤：

A.对每个到达网络链路的新分组，若是TCP分组或周知端口的UDP分 组则丢弃，否则继续。

B.对于其他UDP分组，由四元组{源IP地址，目的IP地址，源端口号， 目的端口号}信息经散列函数判断其是否属于已有流；若该流记录不存在，则 建立之，并初始化后返回；若该流记录已经存在，并没有确定类型，则继续； 否则返回。

C.根据Skype UDP特征进行流序列判别。只对每流的前n(通常n≤10) 个报文进行；若某未知UDP流不符合Skype UDP特征，则将该流标记为非 Skype流并返回；否则继续。

D.根据Skype VoIP特征继续判断每流的报文长度和报文间隔时间，对不 同编码方式具有不同的识别参数(参见表1和表2)；通常取每流前m1(通常 m＝100)个报文进行。

E.若某流符合Skype VoIP特征，进一步则判定其为PC到PC或者PC到 电话的Skype电话；否则，根据是否具有PC到PC的特征，判定其为Skype 流视频或文件共享或者为非Skype流。