本文研究HTTP/2协议在网页指纹（Website Fingerprinting, WF）攻击下的隐私保护潜力。网页指纹攻击能够仅从加密的HTTPS流量中推断用户访问的网页，从而在不解密的情况下泄露用户隐私。现有WF防御手段通常通过噪声、填充、延迟或流量拆分等方式重塑流量模式，但多数研究聚焦于Tor或VPN等封装协议，而较少关注应用层（即HTTP）本身提供的防御能力。为此，作者将目光投向当前广泛部署的HTTP/2协议，探索其内置特性在客户端和服务器端实现已知防御策略的可能性。具体而言，文章展示了如何利用HTTP/2特性在客户端模拟HTTPOS、LLaMA、FRONT、Tamaraw等防御，在服务器端模拟ALPaCA和Tamaraw等防御。此外，作者发现HTTP/2的主动资源推送、多路复用和流量控制等机制，为在两端部署轻量级且有效的防御提供了尚未被充分发掘的空间。为了系统评估这些防御，文章提出了一套统一的评估蓝图：首先针对每个数据集校准防御参数，然后综合运用实际攻击、信息论泄漏估计和开销测量。该框架能够为每种防御识别出最强超参数调优的指纹识别模型，并利用两种信息论泄漏估计器评估防御带来的剩余不确定性，同时权衡防御的隐私保护效果与性能开销。实验结果表明，HTTP/2的应用层特性确实能够以较低开销提供有意义的隐私防护，为未来在真实网络环境中部署网页指纹防御提供了新思路。本文适合对流量分析防御、HTTP协议安全及隐私增强技术感兴趣的研究人员和网络安全工程师阅读。

该论文研究了Google提出的Shared Storage API，该API是Privacy Sandbox的一部分，旨在替代第三方cookie，允许第三方存储不被顶层网站划分的数据，但限制读取访问以保护隐私。作者发现该API的设计和实现存在缺陷，允许跨站用户重识别以及泄露比预期更多的数据。论文提出了多种攻击方法，能够绕过Google设定的关键隐私目标，并讨论了潜在的扩展和缓解策略。作者已向Google负责任地披露了这些攻击，但大多数攻击在Chrome中仍然可能实现。该研究揭示了当前隐私保护方案的安全风险，对Web隐私和广告技术领域具有重要影响。