Вышло новое исследование о том, как устроен Великий китайский файрвол.
Известно, что китайская интернет-цензура - это сочетание блокировок по IP-адресу, подмены DNS (то есть запрашиваешь запрещенный домен, а тебя перенаправляют на страницу-"заглушку") и фильтрации HTTPS-трафика по заголовкам SNI (так работает российский ТСПУ и так были устроены недавние внереестровые блокировки в России). Для обхода последнего типа блокировок был разработан зашифрованный SNI (ESNI), но в Китае ESNI просто блокируют целиком.
Так вот, раньше было известно, что блокировками по IP занимается один "черный ящик", по DNS - другой, а по SNI - третий. А теперь выяснилось, что как минимум с 2019 года SNI-ящиков, которые отвечают за HTTPS-трафик, стало два. Они выполняют одну и ту же задачу, но работают по-разному и весь пользовательский трафик проходит через оба, последовательно. За счет этого китайские цензоры добиваются большей точности фильтрации (например,
вот тут говорят, что первый дает точность 87%, второй 88%, а вместе они дают 98%). В PDF исследователи рассказывают, как они пришли к такому выводу и как можно обходить фильтрацию "первого" и "второго" ящика.
Что в этой истории интересного: в Китае не заменяют старое оборудование для онлайн-цензуры на новое, а подключают новое к старому, цепочками. Это делает всю систему менее надежной (например, в августе 200 тысяч российских абонентов
сидели 40 минут без интернета из-за аварии ТСПУ), а значит, для разработчиков качество онлайн-цензуры приоритетнее надежности. А может, такое дублирование дает возможность отключать один из двух черных ящиков во время аварии и все-таки не оставлять китайских интернет-пользователей совсем без цензуры)
Ссылка на исследование:
geneva.cs.umd.edu_______
Источник | #rks_tech_talk