Интернет цензурата в Русия се превърна в състезание по инженерство, в което потребителите използват все по-екзотични мрежови конфигурации, за да изпреварят блокировките на държавно ниво. VPN мрежите вече не успяват да преминат през цифровата „Желязна завеса“.

Много цифрови услуги са блокирани. Търговските VPN мрежи са прекъснати. Дори популярните протоколи за VPN тунелиране се откриват и се забавят или блокират. Какво да направите тогава, за да получите достъп до по-широкия интернет, без да бъдете ограничавани? Създавате свой собствен прокси сървър, маскиран като обикновен уеб трафик, който връща автентични отговори от Microsoft или друга популярна услуга, когато бъде проверен от цензорите. Това е само един от методите, които потребителите в Русия споделят. В играта на котка и мишка руснаците изграждат вериги, които издържат няколко месеца, преди да бъдат преустроени.

Прокопаване на цифрови тунели

„Намирам се в Русия. Моят противник не е някакъв случаен скенер – това са самите интернет доставчици, които работят под надзора на регулатор, извършващ дълбока инспекция на пакети в цялата страна и способен да блокира достъпа до чуждестранни IP диапазони по географски принцип. Предполагайте, че мрежовият оператор е враждебно настроен и има пълен достъп до данните.“

написа наскоро в Reddit потребител под никнейма DaimonGroup

Цифровият дисидент е „изкопал“ самостоятелно хостван тунел и го споделя с няколко други хора за достъп до интернет без цензура. Но той не разчита на OpenVPN или WireGuard – популярните в Русия протоколи се откриват по техните „ръкостискания“ или други „характеристики“ на връзката.

Ето как работи методът накратко:

Първо, създавате вътрешен рилей/прокси сървър, вместо да се свързвате директно с чуждестранен краен пункт на тунела. В идеалния случай рилей сървърът използва IP диапазон, споделен с правителствени, банкови или други важни услуги. Тези IP адреси е по-малко вероятно да бъдат блокирани и се подлагат на по-леко филтриране: „Страничните разходи са действителният защитен механизъм – а не скритостта.“ Потребителите се свързват с прокси сървъра чрез обикновен HTTPS. Клиентът скрива криптографски публичен ключ и го представя по време на първоначалния TLS handshake (ClientHello) в „полето за услуга“. Това позволява на сървъра да разпознава легитимните потребители. За външни инспектори трафикът изглежда нормален. Ако потребителят е валиден, прокси сървърът приема сам установяването на връзката и използва стойността на SNI (Server Name Indication), зададена като www.microsoft.com или друг голям сайт. Ако потребителят е някой друг, прокси сървърът препраща връзката към истинския сървър на Microsoft и връща автентичен отговор. Прокси сървърът препраща трафика през чуждата крайна точка (виртуален частен сървър). Вероятно е той да бъде блокиран в даден момент или нещо друго да се повреди „на всеки няколко месеца“, поради което потребителят предлага да се планира по-скоро скорост на възстановяване, отколкото постоянство.

За софтуерния стек DaimonGroup използва VLESS с Reality (работещ на Xray-core). Xray е сървърният софтуер, който обработва връзките и препращането на трафика. VLESS е тунелният протокол, който удостоверява потребителите и пренася данните. Reality е това, което маскира връзката като нормален TLS/HTTPS трафик, като използва SNI на истински уебсайт.

„Активното проучване връща автентичен отговор от Microsoft. Истински сертификат, истинска верига, истинско съдържание. Няма никакъв „отпечатък“, който да може да бъде открит. Нямам собствен сертификат, който да може да бъде изтеглен, нито собствен домейн, който да бъде вписан в регистъра. Изобщо не е нужен домейн.“

обяснява DaimonGroup

Дали това е идеалното решение за скриване от интернет доставчика? Разбира се, че не. Руснаците вероятно избират работещото решение, което изисква най-малко усилия. DaimonGroup призна, че продължителният трафик с голям обем към един-единствен IP адрес е един от сигналите, които могат лесно да бъдат разпознати.

Подлите тактики на Русия за „тровене“ на трафика

Умните вериги от прокси сървъри в крайна сметка престават да работят, тъй като Русия усъвършенства своите контрамерки. Един руски потребител, използващ подобна комбинация от VLESS и Reality се оплака, че тя е престанала да работи в мобилните мрежи, а промяната на SNI адресите е помогнала само за кратко. Други твърдяха, че мобилните оператори блокират чуждестранните IP адреси в по-широк мащаб. Според доклад на Human Rights Watch, Русия използва централизирана система, контролирана от държавата, за поддържане на инфраструктурата си за цензура.

Доставчиците на интернет услуги (ISP) в Русия са задължени да инсталират в мрежите си оборудване „за технологични средства за противодействие на заплахи“ (TSPU). Включената DPI технология блокира трафика въз основа на конкретно съдържание, модели и типове приложения и проверява целия потребителски трафик. TSPU позволява на властите да блокират целия трафик, който не е насочен към уебсайтове от „белия списък“. Отделно от това държавата поддържа черен списък със забранени уебсайтове.

Активната намеса обаче (влошаването на достъпа) е най-коварната от мерките. Чрез DPI властите идентифицират услуги, протоколи и модели на трафик и често ограничават скоростта или прекъсват връзката, вместо просто да блокират домейни. Потребителите съобщават, че TSPU не блокира напълно трафика, а вместо това го поврежда избирателно.

„В TCP връзките се вмъкват грешки, TLS handshake-овете се прекъсват по средата, а DNS отговорите се подправят. Ето защо VPN връзките понякога зациклят в състояние на „свързване“ за неопределено време.“

обясни един потребител в Reddit

Ентусиастите също така предлагат трафикът да се пренасочва през „чисти“ IP диапазони на руски хостинг доставчици, които не са били маркирани от „Роскомнадзор“ – федералната агенция, която цензурира, наблюдава и контролира всички цифрови медии и телекомуникации.

В миналото най-ефективният начин да се скриеш от интернет доставчиците беше използването на „мостове“ – частен или полутаен списък с прокси крайни точки, към които потребителите първо се свързват. Тези прокси сървъри могат след това да се използват за установяване на действителен VPN тунел през по-трудно разпознаваема входна точка.

Дискусиите в Reddit показват, че надпреварата вече не се води толкова около технологиите за криптиране и тунелиране, колкото все повече се фокусира върху метаданните: кой къде се свързва, кои пътища остават използваеми, как изглеждат моделите на трафика, колко дълго траят сесиите и други характеристики, които разкриват поведението на тунела пред властите.