DICOM是医学影像交换的标准协议，但许多面向互联网的部署缺乏基本安全控制，导致敏感患者数据暴露。现有测量方法因蜜罐、网络望远镜等欺骗伪影而高估实际暴露量。本文提出一种噪声感知的测量方法，结合主动IPv4全扫描和被动蜜罐部署。主动扫描使用伦理约束的探测（仅限关联协商和C-ECHO），并引入可复现的假阳性过滤方法识别蜜罐、望远镜、畸形响应等欺骗伪影，使暴露量减少39%。过滤后识别出3,979个脆弱的DICOM部署，均无加密且接受未认证连接；其中1,782个运行过时软件，1,551个存在已知远程可利用漏洞。后续扫描显示约50%的暴露服务在5个月内无维护迹象，负责任披露仅带来短暂修复。被动测量方面，部署Dicompot蜜罐发现原始会话日志因通用TCP噪声被误记为DICOM会话而高估活动最多83%。过滤后观察到侦察差距：大多数发送C-ECHO探测的行为者从未升级到数据窃取，与高级行为者识别蜜罐后撤离的行为一致。结果表明，DICOM暴露测量可能被欺骗和日志伪影显著扭曲，但修正后揭示了患者隐私和医疗安全的广泛风险，现有欺骗系统不足以捕获。

沙箱技术是分析可疑程序行为的重要手段，但环境感知型恶意软件越来越善于在检测到分析环境时抑制其恶意行为。以往的沙箱逃逸研究主要关注虚拟化痕迹、时间差异以及系统磨损特征。然而，随着AI软件生态的普及，现代系统中遗留了大量AI相关的人工制品（artifacts），如AI助手配置目录、模型缓存、环境变量、本地推理服务以及包依赖等。本文首次系统性地测量了AI环境与现实沙箱之间的真实性差距，并提出了一个名为AIPrint的探测框架。该框架通过从GitHub上284个开源AI项目中提取450个独特的人工制品，编写成非特权Windows探测程序，在7个商业和开源沙箱后端以及3个具备AI能力的参考主机上进行评估。实验表明，传统的VM检测基线无法可靠地区分真正的AI系统和现代沙箱，而有12个AI环境人工制品在所有参考主机上出现，但未出现在任何评估的沙箱后端。通过214步安装实验，作者建立了AI工具安装与可测量的人工制品积累之间的因果关系。此外，自适应欺骗实验揭示了一个基本的操作不对称性：复现逼真的AI软件环境比检测浅层欺骗的成本高得多。该研究为沙箱设计者提供了新的检测维度，即利用AI环境真实性作为逃逸检测的指标。

该论文针对互联网域间路由系统中的前缀劫持问题，聚焦于 RPKI（资源公钥基础设施）中 ROV（路由来源验证）部署的测量。虽然 ROA（路由来源授权）的部署可以直接从 RPKI 仓库数据获取，但 ROV 的部署测量需要复杂的推理技术。现有工作存在测量范围有限、推理方法不准或效率低的问题。为此，论文提出 ROV-MI 方法，旨在实现大规模、准确且高效的 ROV 部署测量。方法通过设计主动探测与被动观测相结合的混合架构，结合数据驱动的推断算法，以提升覆盖率和准确性。实验部分利用实际互联网数据验证了方法的有效性，相比现有方案在测量范围、精度和效率上均有所提升。该研究为网络运营商和安全研究人员提供了更可靠的 ROV 部署态势感知工具，有助于评估 RPKI 的实际安全效益。

论文研究了僵尸网络规模估计这一基本但困难的问题。由于ISP会动态重新分配IP地址，直接统计观察到的感染IP数量会导致严重高估。现有方法仅能处理短时间窗口（如小时级），且无法提供置信区间。本文提出CARDCount方法，通过建模IP地址重新分配过程，在更长的时间窗口（如数周）内进行更准确的规模估计，并首次给出置信区间。在Hajime和Mirai真实数据集上，CARDCount在28天窗口内的估计准确率比现有最优技术分别提升51.6%和69.1%。

本文针对在DeterLab测试平台上进行大规模Volumetric Denial-of-Service（DoS）洪泛实验时所面临的数据收集与处理挑战展开研究。DeterLab自带的实时数据收集与插入机制在高流量、多实验场景下性能瓶颈显著，严重拖慢实验进度。作者提出采用简单的数据包捕获（pcap）方法替代实时收集，以最小化对实验性能的影响。基于此，他们设计并比较了两种实验分组与分析策略：一种基于固定时间窗口，另一种基于动态流量特征。通过一系列高容量DoS实验，评估了两种方法在数据完整性、采集效率和分析准确性上的表现。实验结果表明，简单的pcap结合动态分组方法能在保证数据质量的同时大幅提升实验吞吐量。该工作的主要贡献在于量化了不同数据收集策略对DoS实验效能的差异，并为大规模网络安全实验的测量基础设施提供了实践指导。适合网络测量、安全实验设计及DoS研究领域的研究者阅读。

该论文对OpenBSD操作系统中pledge和unveil系统调用的采用情况进行了纵向测量研究。pledge和unveil是OpenBSD提供的沙箱机制，用于限制程序对系统资源的访问，从而增强安全性。研究基于覆盖19个OpenBSD版本的完整数据集，分析了大量程序和库如何逐步采用这些系统调用。主要发现包括：许多程序和库在官方版本发布之前就已开始修改以支持pledge和unveil；采用率稳步增长，线性趋势提供了粗略但合理的启发；尽管/usr/bin和/usr/sbin中的程序修改较为普遍，但程序和库的大小与调用的pledge和unveil数量之间没有强相关性；在pledge权限声明中，标准输入输出操作被频繁请求，但pledge提供的细粒度权限集在OpenBSD中得到了较全面的利用；同样，对特定路径的读操作在unveil中频繁被暴露。总体而言，测量结果表明，系统调用最小化和沙箱技术的采用并不像文献中经常讨论的那样困难。该研究为操作系统安全机制的实际部署提供了实证数据，对理解OpenBSD安全生态的演进有重要参考价值。

本文针对网站密码创建策略（password creation policies）的大规模测量问题展开研究。过去学术界虽已深入探讨过密码策略对用户选择密码的安全性与可用性影响，并提出了基于证据的指导建议，但实际网站是否采纳这些建议仍缺乏系统评估。现有工作大多时间久远，且均依赖手动评估，覆盖网站数量有限（最多150个，且偏向顶级站点）。为弥补这一空白，作者开发了一种自动化技术，能够推断网站的密码创建策略（如最小长度、字符要求、禁止常见密码等）。该技术通过分析网页前端JavaScript、HTML属性以及可能的网络请求来提取策略规则，并在超过20,000个网站上进行了大规模应用，覆盖范围相比前人工作提升了两个数量级（约135倍）。研究发现，当前广泛部署的密码策略中，仍存在大量薄弱之处，例如：许多网站仅要求最小长度为8字符，未强制要求混合大小写、数字或特殊字符；部分网站甚至允许极短密码。此外，研究揭示了导致弱策略的潜在原因，包括未遵循业界最佳实践（如NIST指南）以及缺乏对安全与易用性的平衡。最后，论文提出了改进实际认证安全性的方向，例如推动更细致的策略建议、鼓励网站采用基于风险的验证等。该研究为全面理解Web密码策略提供了首个大规模基线，适合安全研究人员、网站开发者和政策制定者阅读。

本文针对 Google 的 Privacy Sandbox 项目（旨在平衡 Web 隐私与广告实用性）中引入的 Web API 进行了长达七年的纵向测量与分析。研究者利用 HTTP Archive 爬虫数据和 Chrome 遥测数据，对 CrUX 排名前 10 万网站中各 Privacy Sandbox 功能的采用率与废弃情况进行了大规模研究。结果显示，这些 API 的采用率长期保持低位且不均衡，仅少数 Web 参与者实现了特定 API，且实现方式各异。通过分析参与者的动机（利益、资源、时间线等）和风险（隐私违规、法律风险等），论文解释了采用率低的原因。最后，作者提出了对下一代 Web 隐私提案的可操作建议，并指出“在浏览器中修复”方法存在局限性与跨浏览器差异——Chrome 中跟踪和第三方 cookie 限制仍主要靠用户主动选择，而 Brave、Firefox、Safari 等浏览器则默认启用。该研究为理解 Web 隐私技术的实际落地困难提供了重要实证。

本文对中国的“机场”（Airport）——一种订阅制的审查规避代理服务——进行了首次系统性的研究。研究结合了用户调查、社交媒体分析和主动网络测量。通过对1,667名用户的调查发现，“机场”是目前中国最流行的现成审查规避工具，超过一半的受访者使用过，主要原因是易用性、性能以及访问地理限制服务（如ChatGPT和Netflix）的能力。通过扫描互联网和爬取Telegram公告频道，研究者识别出3,431个活跃的“机场”，这些服务基于少数开源工具包构建。研究者订阅了35个“机场”并评估了其性能，发现由于其独特的多跳架构，性能往往优于直接通过中国防火长城（Great Firewall）的连接。然而，“机场”也带来了新的挑战和安全风险：它们通过支付宝等商业服务接受支付，频繁遭受政府打击，且客户端难以进行最优配置。许多“机场”还部署了自身的审查策略。总之，“机场”比学术文献中其他规避工具的使用范围更广，但引入了新的脆弱性和控制点，为未来的审查规避研究提供了经验教训和机遇。本文适合网络安全研究员、政策制定者以及审查规避技术开发者阅读。

本文针对网络追踪从第三方追踪向第一方追踪（FPT）和服务器端追踪（SST）的转变进行了大规模测量研究。随着隐私法规和浏览器限制的加强，追踪者将逻辑迁移到浏览器的第一方上下文或网站后端，使得传统客户端检测工具失效。作者开发了一种独立于供应商的方法来检测FPT和SST，对Alexa top 10万网站进行扫描，发现超过54%的网站部署了此类追踪技术。进一步，通过脚本相似度聚类和网络图分析，揭示该生态系统高度互联，主要由Google等大型供应商主导。实验证明现有广告过滤列表（如EasyList）对第一方追踪几乎无效，作者提出了新的过滤规则，能够比传统列表多阻止63%的追踪请求。该研究为理解现代追踪技术的规模、生态结构以及防御措施提供了重要基础。

该论文对互联网的后量子就绪状态进行了大规模测量研究，重点关注传输层安全（TLS）部署的实际现状。研究覆盖了32,011个域名，分析了不同行业（包括银行、政府、科技等）的TLS协商参数，如协议版本、密码套件、密钥交换机制和证书。主要发现包括：(1) 虽然TLS 1.3和QUIC等现代协议正在被采用，但仍有15.70%的域名（尤其是关键领域的银行和政府机构）依赖于TLS 1.2；(2) 49.3%的域名支持混合后量子密钥交换机制（例如MLKEM768与X25519的组合），而50.7%仍使用经典密钥交换，表明过渡不均衡；(3) 未观察到任何域名采用混合后量子证书，这使得认证层易受量子攻击（如证书伪造）。研究指出，完全实现量子弹性需要同时在密钥交换机制和证书基础设施上进行协调迁移。目前的面貌显示出行业间的不均衡：技术驱动型平台进展较快，而传统基础设施依赖较重的领域滞后。互联网通信系统仍面临长期威胁，包括"先存储后解密"（HNDL）攻击。适合安全工程师、TLS运维人员及政策制定者阅读。

该论文针对现有隐私测量工具（如CFIP、IUIPC、PAQ）早于GDPR超十年、仅关注隐私关切而忽略用户对具体监管权利（如数据可携带权、删除权、自动化决策权）偏好的问题，提出了一种基于GDPR的隐私偏好测量项目库（GPPI）。研究方法包括：从全部99个GDPR条款中提取669条陈述，经过两轮专家审查达成完全共识；通过语义聚类形成10个父主题和87个子主题；再经50名隐私专家（每主题5人）以≥4/5投票保留阈值进行共识审查，最终得到包含9个父主题、73个子主题、共527个项目的测量库。每个父主题包含18-112个项目，每个子主题1-29个项目，专家平均配对一致性约85%。该工作引入了与监管机制对齐的用户偏好互补测量维度，使从业者能够评估用户对GDPR合规政策中各项权利的重视程度。适合隐私研究人员、政策制定者及合规设计从业者阅读。

本文针对保护性 DNS（Protective DNS, PDNS）服务进行了大规模测量研究。PDNS 是一种新兴安全服务，通过主动重写 DNS 响应，将恶意域名解析到受控主机，从而阻止用户访问有害内容。然而，由于不同 PDNS 提供商的实现存在差异，安全社区对其部署状况、运行策略及安全影响缺乏系统性理解。为此，作者首先对 28 个主流 PDNS 提供商进行实证分析，归纳出 DNS 重写策略的主要格式。基于这些规则，设计了一套方法论，用于在真实环境中识别由开放 PDNS 服务器强制执行的意图性 DNS 重写。研究发现具有多面性：积极方面，PDNS 部署已初具规模——在探测的 DNS 服务器中识别出 17,601 台（占比 9.1%）提供此类服务；从客户端角度看，从普通 DNS 切换到 PDNS 仅引入可忽略的查询延迟，尽管服务器端需额外执行威胁情报检查及 DNS 重写步骤。然而，研究也揭示了 PDNS 实现中的缺陷与漏洞，包括对拦截策略的规避以及拒绝服务风险。通过负责任地披露漏洞，作者已收到 12 份高危漏洞审计评估结果。该研究呼吁为安全的 PDNS 操作制定适当的指导原则和最佳实践。

该论文针对移动通信生态系统中基础设施测量工具匮乏、地理覆盖不均以及商业复杂性等问题，提出了一套开放的、可扩展的、地理多样化的测量方法。研究指出，蜂窝网络作为全球通信骨干网，其架构创新（如VoIP、eSIM）和商业动态（如漫游、虚拟运营商、零费率）导致网络复杂度急剧上升，但缺乏独立的测量手段。此外，移动接入方式已不仅限于传统无线电接口，语音WiFi（VoWiFi）通过第三方互联网基础设施提供替代连接，而OTT消息服务（如WhatsApp、Signal）已承担大量全球消息和语音流量，完全绕过运营商控制。为应对这些挑战，作者设计、实现并开源了多个测量平台，支持对蜂窝无线电网络、运营商提供的服务以及OTT消息应用进行受控实验，不依赖网络或平台运营商的合作。实验涵盖全球多个地区，评估了关键基础设施的安全性、性能及隐私风险，并揭示了集中化趋势带来的新威胁。论文主要贡献包括：构建独立的测量框架、提供公开可用的数据集、以及提出改进当前通信生态系统安全性的建议。适合网络研究人员、安全分析师、政策制定者以及移动运营商工程师阅读。

本研究首次系统性地测量和分析了中国的DNS审查（即“防火长城”中的一部分）。作者开发了一套分布式测量方法，在全球多个位置部署探测点，针对数千个已知被屏蔽的域名以及随机域名进行DNS查询，并收集响应数据。通过分析DNS劫持、伪造的响应以及超时等异常现象，他们量化了审查的覆盖范围、准确性和延迟。研究发现，中国的DNS审查并非完美无缺：存在绕过手段（如使用境外DNS服务器），且审查策略在不同地区和时间段存在差异。论文还评估了审查对网络性能的影响，并讨论了审查机制的工作原理。核心贡献包括：一个大规模、长期运行的测量框架；对审查效果的定量评估；以及公开可用的数据集，供后续研究使用。适合网络安全研究人员、网络测量领域学者及关注互联网审查的从业者阅读。

该论文提出了一种名为OSAVRoute的新型非协作测量方法，用于检测网络中的出站源地址验证（Outbound Source Address Validation, OSAV）部署情况。OSAV是一种重要的网络安全机制，旨在防止源地址伪造攻击，但其实际部署比例一直缺乏有效的测量手段。现有方法多依赖协作式测量或仅针对入站方向，难以全面评估OSAV部署。OSAVRoute通过向目标网络发送精心构造的探测包，并分析返回流量特征，无需网络运营方协作即可推断OSAV策略。论文详细设计了探测方案和推断算法，并在全球多个网络中进行实验验证。结果表明，OSAVRoute能够准确识别OSAV部署状态，成功发现部分网络存在部署但未启用的情况。该工作为互联网源地址验证的测绘提供了新工具，有助于推动反伪造技术的普及。

本文研究了网络时间协议（NTP）池对垄断攻击的鲁棒性。NTP池是一个由志愿者提供的时间服务器集群，供全球设备同步时间。垄断攻击指某些恶意节点通过控制大量池成员来操纵时间响应，可能导致时间同步偏差，进而影响依赖精确时间的应用（如TLS证书验证、日志审计等）。作者通过大规模测量分析，评估了当前NTP池的拓扑结构、成员分布及治理机制，发现其在面临协同垄断攻击时存在脆弱性。具体而言，攻击者无需获取绝对多数节点，只需控制关键路径或地理区域内的足够节点即可造成影响。研究还提出了一些缓解措施，包括改进成员验证机制、增强监控和异常检测。该工作为NTP池的安全性提供了定量理解，对运维人员和协议设计师具有参考价值。