Seguridad con Enfoque en Privacidad: Clasificación de Tráfico en Túneles Encriptados sin Romper el Sello

2You don’t need to see the data to know it’s an attack. Welcome to the era of behavioral network intelligence.

---

La Paradoja de la Encriptación

La gran victoria en privacidad de internet se ha convertido silenciosamente en su mayor problema de seguridad.

Hoy, la inmensa mayoría del tráfico web está encriptado. TLS 1.3 es ahora el estándar base, Encrypted Client Hello (ECH) oculta incluso los metadatos del apretón de manos inicial, y DNS-over-HTTPS (DoH) enmascara las búsquedas de dominio. Para los usuarios individuales, esto es una victoria clara. Para los defensores de red, ha creado lo que los investigadores llaman cada vez más un “espacio oscuro” — un volumen vasto y opaco de tráfico que las herramientas de seguridad tradicionales simplemente no pueden inspeccionar.

La inspección profunda de paquetes (DPI) tradicional — la columna vertebral de firewalls, plataformas IDS y proxies de inspección SSL — confiaba en una suposición clave: que se podía mirar dentro del paquete. Esa suposición ahora está rota por diseño. Cuando intentas interceptar una conexión protegida por TLS 1.3 o ECH, la conexión se cae. El “middlebox” que durante dos décadas permaneció en silencio entre usuarios e internet se ha vuelto arquitectónicamente obsoleto.

El resultado es una paradoja genuina: nunca hemos encriptado tanto tráfico, y nunca hemos sido menos capaces de ver qué contiene ese tráfico. Los atacantes lo han notado. Botnets DDoS, infraestructura C2 de malware y amenazas persistentes avanzadas ahora ocultan rutinariamente dentro de túneles encriptados que parecen legítimos — OpenVPN, WireGuard, QUIC o HTTPS simple — porque saben que la mayoría de las defensas perimetrales son efectivamente ciegas al payload.

Entonces, ¿cómo aseguras una red que no puedes leer?

La respuesta que surge de la comunidad investigadora y la industria de seguridad es un marco llamado Clasificación y Análisis de Tráfico de Conocimiento Cero — ZKTCA.

---

¿Qué Es ZKTCA?

ZKTCA no es un producto o protocolo único. Es un paradigma de seguridad que combina dos campos distintos: Principios criptográficos de Conocimiento Cero y Análisis de Tráfico Encriptado basado en Machine Learning (ETA). La filosofía unificadora es simple y cambia todo: comportamiento sobre contenido.

En lugar de preguntar “¿qué hay en este paquete?”, un sistema ZKTCA pregunta “¿cómo se comporta este tráfico?”. Trata el túnel encriptado como una caja negra y extrae lo que la encriptación no puede ocultar — los metadatos de canal lateral que cada conexión filtra por necesidad.

El marco se apoya en tres capacidades interconectadas:

Huella digital de tráfico basada en metadatos — extraer características estadísticas de los flujos de paquetes sin tocar la carga útil, incluyendo distribuciones de longitud de paquetes, tiempos entre llegadas, direccionalidad del flujo y patrones de ráfaga.

Clasificación conductual basada en ML — entrenar redes neuronales para distinguir entre tráfico legítimo de aplicaciones (video, voz, transferencia de archivos, navegación) y patrones maliciosos (DDoS, beaconing C2, exfiltración de datos) solo a partir de esas características extraídas.

Análisis que preserva la privacidad — asegurar que el proceso de clasificación en sí no exponga datos del usuario a terceros ni viole marcos regulatorios como GDPR o CCPA, usando principios derivados de criptografía de conocimiento cero.

Es importante ser precisos con la terminología “conocimiento cero” aquí. En el sentido criptográfico estricto, una prueba de conocimiento cero permite a una parte demostrar que una afirmación es verdadera sin revelar por qué lo es. Aplicado a la seguridad de red, esto significa que un proveedor de servicios puede demostrar a un regulador que el 100% de los flujos de tráfico fueron escaneados en busca de patrones maliciosos — sin que el regulador vea nunca los metadatos reales del tráfico o las direcciones IP de los usuarios. La garantía de privacidad es estructural, no procedimental.

---

Por Qué DPI Está Muerto: Las Verdaderas Razones Técnicas

La caída de la inspección profunda de paquetes no es solo por un aumento en el cifrado. Varias fuerzas combinadas han hecho que la inspección SSL — la solución alternativa que mantuvo relevante el DPI durante TLS 1.2 — sea cada vez más insostenible.

Pinning de certificados y ECH significan que las aplicaciones y navegadores modernos a menudo rechazan conexiones donde el certificado no coincide exactamente. Un middlebox que realiza inspección SSL presenta su propio certificado, que las aplicaciones con pinning rechazan inmediatamente. ECH va más allá al cifrar el campo Server Name Indication (SNI) en el apretón de manos TLS, por lo que un middlebox ni siquiera puede determinar a qué servidor intenta acceder el cliente antes de establecer la conexión.

El costo computacional es prohibitivo a escala. Descifrar, inspeccionar y volver a cifrar cada paquete en un entorno empresarial o en la nube de alto rendimiento introduce latencia y requiere recursos de cómputo significativos. A medida que crecen los volúmenes de tráfico — y las demandas de baja latencia en edge computing y aplicaciones en tiempo real — esta sobrecarga se vuelve arquitectónicamente inaceptable.

La exposición legal y regulatoria es el factor menos valorado. Descifrar el tráfico de empleados o clientes para escanearlo en busca de amenazas significa que tu dispositivo de seguridad, legalmente hablando, está interceptando comunicaciones privadas. En jurisdicciones con leyes estrictas de protección de datos, esto genera una responsabilidad genuina. La opción arquitectónica más segura es un sistema que nunca accede al texto plano.

ZKTCA aborda los tres problemas simultáneamente. No requiere interceptación de certificados, introduce una latencia mínima (especialmente a medida que la hardware de inferencia especializada madura), y opera completamente sobre metadatos — que se tratan de manera diferente a los contenidos interceptados bajo la mayoría de los marcos de privacidad.

---

La Mecánica: Cómo Clasificar Tráfico que No Puedes Leer

Extracción de Características: La Huella Conductual

Incluso cuando los datos están encriptados, la mecánica de transmisión crea una huella conductual única y estable. Investigaciones publicadas en foros revisados por pares han confirmado que varias clases de características sobreviven a la encriptación intactas y tienen un poder discriminatorio significativo.

Secuencias de longitud de paquetes son particularmente reveladoras. Un flujo de video genera un patrón distintivo de paquetes grandes, relativamente uniformes, intercalados con cuadros de control más pequeños. Una llamada de voz produce una cadencia regular de paquetes pequeños y de tamaño fijo. Un intento de inyección SQL o una inundación DDoS crea una firma completamente diferente — típicamente muchos paquetes pequeños enviados en rápida sucesión, o una uniformidad inusual en los tamaños de los paquetes. Un estudio de 2025 publicado en Scientific Reports demostró que arquitecturas CNN entrenadas con características de tráfico HTTPS encriptado — incluyendo estadísticas a nivel de flujo en seis categorías de tráfico — lograron una precisión de clasificación superior al 99% en datos de prueba reservados, sin acceso a la carga útil.

Tiempo entre llegadas (IAT) captura el ritmo temporal de un flujo de tráfico. El tráfico generado por humanos — teclear en una ventana de chat, navegar entre páginas, ver videos — tiene una cadencia estocástica e irregular. El tráfico automatizado o generado por bots tiende a una regularidad mecánica. El beaconing de malware a un servidor C2 a menudo verifica en intervalos precisos, un patrón que destaca claramente contra el ruido de fondo del tráfico normal.

Direccionalidad del flujo y ráfagas — la proporción de bytes subidos y bajados, y la agrupación de paquetes en ráfagas — diferencian aún más las categorías de tráfico. Una carga de archivos se ve fundamentalmente diferente de una descarga, incluso encriptada, porque la asimetría en volumen de datos se preserva en los metadatos.

Huella TLS usa los parámetros negociados durante el apretón de manos TLS — suites de cifrado ofrecidas, extensiones presentes, preferencias de curvas — para identificar el software cliente y, por extensión, la naturaleza probable del tráfico. El método JA3 (y su sucesor JA3S para huellas del lado servidor) ha sido ampliamente adoptado en herramientas de seguridad precisamente porque estos patrones de apretón de manos son consistentes y difíciles de falsificar sin romper la compatibilidad.

La Capa ML: De Características a Juicios

La capa de extracción de características produce datos en serie temporal. Convertir esos datos en juicios de seguridad confiables requiere modelos capaces de captar tanto patrones espaciales (la forma de un flujo en un momento dado) como temporales (cómo cambia esa forma con el tiempo).

Las investigaciones actuales han convergido en varias arquitecturas particularmente efectivas para la clasificación de tráfico encriptado.

Redes Neuronales de Grafos (GNNs) modelan los flujos de tráfico como grafos, capturando relaciones entre paquetes y entre flujos que los modelos secuenciales no detectan. Un artículo de 2025 en Scientific Reports presentó un codificador de representación de grafos ligero — convirtiendo secuencias de bytes de paquetes en grafos y procesándolos mediante una arquitectura basada en transformadores — que mejoró la precisión de clasificación y redujo la carga computacional en comparación con enfoques previos basados en LSTM.

Modelos de Lenguaje Grandes aplicados a datos de tráfico representan la frontera más reciente. Investigaciones publicadas en Computer Networks en principios de 2026 introdujeron TrafficLLM, que aplica LLMs preentrenados (GPT-2 y LLaMA-2-7B) a la clasificación de trazas de tráfico con un mínimo ajuste fino. Los resultados son sorprendentes: TrafficLLM supera a enfoques especializados como ET-BERT y CNN en 12–21 puntos porcentuales en escenarios de clasificación en abierto — el entorno realista donde el modelo debe distinguir tráfico objetivo de flujos de fondo desconocidos.

Aprendizaje contrastivo y meta-aprendizaje abordan uno de los desafíos persistentes del campo: nuevas aplicaciones con datos de tráfico etiquetados limitados emergen continuamente, y los modelos entrenados en datos existentes pueden fallar en generalizar. CL-MetaFlow, publicado en Electronics a finales de 2025, combina aprendizaje contrastivo de representaciones con meta-aprendizaje para permitir una clasificación precisa con muy pocos ejemplos etiquetados — un avance práctico importante para despliegues reales donde los datos maliciosos etiquetados son escasos por definición.

Una constante en esta literatura es que los enfoques tradicionales basados en CNN, aunque precisos, carecen de capacidad de generalización — requieren reentrenamiento cuando la distribución del tráfico subyacente cambia (nuevos protocolos, aplicaciones actualizadas, patrones de ataque novedosos). La tendencia apunta hacia arquitecturas basadas en transformadores y LLM que generalizan mejor entre conjuntos de datos sin necesidad de reentrenamiento completo.

La Carrera Armamentística Adversarial

Los sistemas ZKTCA no operan contra un adversario estático. Los atacantes sofisticados son conscientes de la clasificación conductual y han desarrollado contramedidas — principalmente morfing de tráfico y relleno — que intentan alterar la firma estadística de flujos maliciosos para que parezcan benignos.

La investigación está en marcha para abordar esto. Un artículo de 2025 en Frontiers in Computer Science propuso RobustDetector, que usa un mecanismo de dropout durante el entrenamiento para simular el efecto de ruido artificialmente inyectado — haciendo que el modelo entrenado sea resistente a atacantes que añaden paquetes dummy o alteran el timing para evadir detección. La idea central es que agregar suficiente ruido para engañar a un clasificador robusto introduce una sobrecarga y latencia significativas, haciendo que el ataque sea prácticamente menos efectivo.

La estrategia más amplia — usar entrenamiento adversarial para producir modelos resistentes a la evasión deliberada — ya es práctica estándar en la investigación seria de ZKTCA, reflejando el enfoque usado para fortalecer clasificadores de imágenes contra ejemplos adversariales.

---

DDoS en la Oscuridad: Un Ejemplo Concreto

El ataque HTTP/2 Rapid Reset (CVE-2023-44487) ilustra bien cómo es el DDoS encriptado moderno y por qué importa el análisis conductual.

El ataque explota la función de multiplexación de streams en HTTP/2, que permite a los clientes abrir múltiples streams de solicitud concurrentes sobre una sola conexión TCP. El cliente atacante abre streams y los cancela rápidamente, forzando al servidor a asignar y desasignar recursos para cada uno mientras mantiene la conexión activa. En agosto y septiembre de 2023, Google, Cloudflare y AWS revelaron que esta técnica se había usado a escala sin precedentes: Google observó un pico de 398 millones de solicitudes por segundo, Cloudflare registró más de 201 millones de rps — casi tres veces su récord anterior — logrado con una botnet de solo 20,000 máquinas.

El ataque se realizó dentro de conexiones HTTP/2 encriptadas estándar — indistinguible del tráfico HTTPS legítimo para un DPI. Sin embargo, un clasificador conductual notaría algo anómalo de inmediato: la rápida alternancia entre creación y cancelación de streams produce un patrón de inter-arrival de paquetes con regularidad mecánica y una proporción direccional inusual (muchos cuadros RST_STREAM pequeños, desproporcionados al volumen real de datos de solicitud). La entropía de la secuencia de longitud de paquetes colapsa — la variedad de tamaños de paquetes se reduce drásticamente en comparación con el tráfico de navegación genuino.

El ataque ha seguido evolucionando. En agosto de 2025, los investigadores divulgaron CVE-2025-8671 (“MadeYouReset”), una variante que evita las mitigaciones implementadas tras la divulgación original de Rapid Reset al forzar al servidor a emitir resets de stream en lugar del cliente — explotando desajustes en la implementación de cómo se contabilizan los cuadros RST_STREAM iniciados por el servidor. La firma conductual es más sutil, pero aún detectable: el patrón de asignación y liberación de recursos del servidor diverge de las normas esperadas en formas que el análisis estadístico a nivel de flujo puede detectar.

La detección conductual en el borde — antes de que el tráfico llegue a la infraestructura central — es la única estrategia de mitigación que no requiere romper el cifrado. Esto es precisamente lo que permite una capa ZKTCA desplegada.

---

Detección de APT: Leer el Latido del Malware

Las amenazas persistentes avanzadas representan el otro extremo del espectro de amenazas en volumen DDoS: pacientes, de bajo volumen, y diseñadas deliberadamente para mezclarse. Cuando un dispositivo está comprometido, típicamente establece un túnel encriptado con un servidor Command-and-Control (C2) y verifica en intervalos regulares — un patrón que los investigadores de seguridad llaman beaconing.

Los firewalls tradicionales ven una conexión HTTPS o VPN normal. Los sistemas ZKTCA se entrenan en huellas digitales C2 — los patrones específicos de tamaño de paquete, timing y direccionalidad que distinguen Cobalt Strike, Metasploit y otros frameworks post-explotación de tráfico legítimo. El intervalo de beaconing (a menudo un período fijo con pequeña variación), los tamaños de paquetes de las cargas de verificación, y la asimetría entre flujos salientes (pequeños comandos) y entrantes (mayor exfiltración de datos) contribuyen a una firma detectable.

Los enfoques de detección de anomalías basados en ML son particularmente adecuados aquí: en lugar de requerir firmas conocidas, aprenden el perfil conductual base de cada túnel y detectan desviaciones estadísticamente significativas. Un dispositivo que ha estado comunicándose en silencio con una red de distribución de contenido durante meses y de repente comienza a mostrar regularidad de tipo C2 puede ser detectado para investigación sin necesidad de actualizar firmas.

---

Privacidad y Cumplimiento Regulatorio

El GDPR, CCPA y un creciente conjunto de marcos de protección de datos nacionales y regionales han convertido la descifrado en un campo minado legal para los equipos de seguridad. Interceptar comunicaciones encriptadas — incluso con fines legítimos de seguridad — plantea dudas sobre la base legal, minimización de datos, limitación de propósito y transferencia transfronteriza de datos que muchos equipos legales no están preparados para navegar.

La arquitectura de privacidad por diseño de ZKTCA evita la mayoría de estas preocupaciones. El sistema nunca accede al contenido en texto plano. Opera sobre metadatos estadísticos — tamaños de paquetes, timing, volúmenes de flujo — que, bajo la mayoría de los marcos de privacidad, se tratan de manera diferente a la interceptación del contenido de la comunicación. Esto no exime completamente a ZKTCA de la supervisión regulatoria (el análisis de metadatos a gran escala plantea sus propias cuestiones de privacidad), pero la postura legal es mucho menos problemática que la inspección SSL.

La capa de prueba de conocimiento cero añade una capacidad de cumplimiento adicional que es especialmente valiosa en industrias reguladas y entornos de nube multi-inquilino. Un proveedor de servicios puede demostrar criptográficamente a un auditor que cada flujo de tráfico fue sometido a análisis de seguridad — sin exponer los patrones de tráfico, identidades de usuario o metadatos al auditor. La prueba certifica el proceso sin revelar las entradas.

---

Aprendizaje Federado: Construir un Sistema Inmunológico Compartido

Una de las limitaciones más importantes de cualquier sistema de seguridad basado en ML es la calidad y diversidad de los datos de entrenamiento. Un clasificador entrenado solo con tráfico de una organización reflejará esa combinación particular de aplicaciones, comportamientos de usuario y exposición a amenazas — y puede fallar estrepitosamente cuando se despliega en otro entorno.

El campo está abordando esto mediante aprendizaje federado, que permite a múltiples organizaciones entrenar colaborativamente un modelo compartido sin que ningún participante comparta sus datos de tráfico en bruto con los demás. Cada organización entrena con sus datos locales y comparte solo actualizaciones de parámetros del modelo — no los paquetes o flujos subyacentes. Un servidor central agrega estas actualizaciones en un modelo global que incorpora la inteligencia colectiva de amenazas de todos los participantes.

Investigaciones publicadas hasta 2025 confirman que los enfoques federados pueden lograr una precisión de clasificación comparable a la capacitación centralizada, preservando la localización de datos — la propiedad clave de privacidad. Bajo condiciones IID (independientes e idénticamente distribuidos), los modelos federados han demostrado una precisión superior al 96% en clasificación de flujos de tráfico multiclase. La investigación continúa abordando el caso más difícil de no IID, donde diferentes participantes tienen distribuciones de tráfico muy distintas, lo que tiende a reducir tanto la precisión como la velocidad de convergencia.

Una encuesta de 2025 en ScienceDirect categoriza las aplicaciones de FL en clasificación de tráfico de red en tres áreas: preservación de privacidad, clasificación escalable y inteligencia compartida de seguridad. La última categoría es probablemente la más estratégicamente significativa: el aprendizaje federado permite crear un sistema distribuido de inteligencia de amenazas donde las observaciones locales de cada participante fortalecen el modelo para todos, sin que nadie pierda visibilidad en su propia red.

La robustez adversarial es una preocupación activa en entornos federados. Debido a que las actualizaciones del modelo de cualquier participante se agregan en el modelo global, un participante malicioso podría intentar envenenar el modelo enviando actualizaciones deliberadamente corruptas. Las defensas incluyen agregación robusta, privacidad diferencial y detección de anomalías en las actualizaciones del modelo, que son áreas de investigación activa.

---

El Desafío Computacional: La Silicon al Rescate

Ejecutar inferencias con transformers o LSTM en cada flujo de red en un entorno de alto rendimiento no es gratuito. El costo computacional ha sido históricamente una barrera para el despliegue en tiempo real de ZKTCA, especialmente en el borde de la red donde los presupuestos de latencia son ajustados.

Dos tendencias convergen para solucionar esto. Primero, las arquitecturas mismas son cada vez más eficientes: el codificador de representación de grafos ligero mencionado antes, y enfoques similares orientados a compresión y cuantización de modelos, reducen significativamente el costo de inferencia sin pérdida sustancial de precisión.

Segundo, y más importante, hardware de inferencia diseñado específicamente se está integrando cada vez más en la infraestructura de red. Unidades de Procesamiento Neural (NPUs) y ASICs aceleradores de IA ya se están enviando en switches, routers y tarjetas de interfaz de red de nivel empresarial de múltiples proveedores. La trayectoria apunta a que ZKTCA se convierta en una capacidad de silicio nativa en lugar de una capa de software — funcionando a velocidad de línea sin añadir latencia adicional.

---

Limitaciones Honestas

ZKTCA no es una solución completa para la seguridad del tráfico encriptado, y un tratamiento responsable requiere reconocer sus limitaciones.

El problema del conjunto de datos es real y subestimado. Un artículo de sistematización del conocimiento de 2025 (arxiv.org/abs/2503.20093) revisó una amplia gama de clasificadores de tráfico encriptado publicados y encontró que muchos dependen de conjuntos de datos que contienen cantidades sustanciales de tráfico sin cifrar — lo que significa que no están realmente probando lo que afirman. Muchos conjuntos de datos de referencia populares no reflejan TLS 1.3 ni ECH, haciendo que las cifras de precisión publicadas sean poco predictivas del rendimiento en el mundo real. El artículo introdujo CipherSpectrum, un conjunto de datos compuesto enteramente por tráfico TLS 1.3, precisamente para abordar esta brecha. Las prácticas de evaluación del campo deben ponerse al día con sus ambiciones de despliegue.

El morfing de tráfico es una amenaza real. Un atacante suficientemente motivado que entienda la clasificación conductual puede añadir ruido, ajustar el timing o rellenar paquetes para hacer que el tráfico malicioso parezca benigno. La dificultad y el overhead de hacerlo efectivamente varía — engañar a un clasificador estadístico simple es más fácil que engañar a un transformador entrenado adversarialmente — pero no es imposible.

La generalización entre entornos es difícil. Un modelo entrenado en el tráfico de una organización puede no generalizar bien a otra, incluso con aprendizaje federado. El problema no IID en entornos federados — donde diferentes participantes tienen distribuciones de tráfico muy distintas — sigue sin resolverse a gran escala.

Los metadatos no son nada. La afirmación de que operar sobre metadatos es privacidad-preservante merece análisis. Los metadatos del tráfico — timing, volumen, patrones de flujo, destinos de conexión — pueden revelar información significativa sobre el comportamiento del usuario y el contenido de la comunicación incluso sin acceso a la carga útil. Las ventajas de privacidad de ZKTCA son reales en comparación con DPI y inspección SSL, pero no deben ser sobrevaloradas.

---

El Camino por Delante

La convergencia de varias tendencias hace que los próximos dos a tres años sean particularmente decisivos para ZKTCA.

El análisis de tráfico basado en LLM pasa de la investigación a la implementación temprana. Las ventajas de generalización de los grandes modelos preentrenados — su capacidad de transferir representaciones entre dominios con mínimo ajuste — son directamente aplicables al problema de clasificación de tráfico, donde los datos maliciosos etiquetados son escasos y la distribución del tráfico normal cambia constantemente.

El soporte de hardware se está acelerando. A medida que las NPUs se vuelven estándar en hardware de red empresarial, la barrera computacional para la inferencia conductual en tiempo real cae. Esto cambia la pregunta de despliegue de “¿podemos costear estos modelos?” a “¿cómo los gestionamos, actualizamos y auditamos?”

El entorno regulatorio se está endureciendo. A medida que los marcos de privacidad proliferan y la inspección SSL se vuelve legalmente más arriesgada, la arquitectura de privacidad por diseño de ZKTCA no solo es técnicamente atractiva sino también comercialmente necesaria. Las organizaciones que han dependido de la inspección basada en descifrado necesitarán alternativas.

La carrera armamentística adversarial continúa. ZKTCA no es un problema resuelto. Los atacantes adaptarán sus técnicas de morfing de tráfico a medida que mejoren los clasificadores conductuales. La respuesta del campo — entrenamiento adversarial, agregación robusta, aprendizaje continuo — es activa y bien financiada, pero la dinámica gato y ratón es estructural.

---

Conclusión

La transición a un mundo de cifrado generalizado está completa. No hay vuelta atrás, y no hay buena razón para intentarlo. La cuestión no es si aceptar el cifrado como base — sino cómo construir una infraestructura de seguridad que opere eficazmente dentro de él.

ZKTCA representa la respuesta más coherente disponible actualmente. Al centrarse en señales conductuales en lugar de contenido, evita los problemas legales, técnicos y arquitectónicos que han hecho que DPI y la inspección SSL sean cada vez más inviables. Al incorporar principios de conocimiento cero, ofrece un camino hacia un análisis de seguridad compatible con fuertes requisitos de privacidad. Al aprovechar el aprendizaje federado, distribuye la inteligencia de amenazas sin centralizar datos sensibles.

La base de investigación es sólida y crece rápidamente. La infraestructura de despliegue se está madurando. Los incentivos regulatorios son claros.

La era de la inteligencia conductual en redes no está llegando. Ya está aquí.

---

Lecturas adicionales

• Ginige et al., “TrafficLLM: LLMs for improved open-set encrypted traffic analysis,” Computer Networks, Vol. 274, 2026. doi:10.1016/j.comnet.2025.111847
• Chen, Wei & Wang, “Encrypted traffic classification encoder based on lightweight graph representation,” Scientific Reports, 15, 28564, 2025. doi:10.1038/s41598-025-05225-4
• Elshewey & Osman, “Enhancing encrypted HTTPS traffic classification based on stacked deep ensembles models,” Scientific Reports, 15, 35230, 2025. doi:10.1038/s41598-025-21261-6
• Li et al., “Unlocking Few-Shot Encrypted Traffic Classification: A Contrastive-Driven Meta-Learning Approach,” Electronics, 14(21), 4245, 2025. doi:10.3390/electronics14214245
• Cloudflare, “HTTP/2 Rapid Reset: deconstructing the record-breaking attack,” 2023. blog.cloudflare.com
• CYFIRMA, “CVE-2025-8671 – HTTP/2 MadeYouReset Vulnerability,” 2025. cyfirma.com
• arXiv, “SoK: Decoding the Enigma of Encrypted Network Traffic Classifiers,” 2025. arxiv.org/abs/2503.20093