Изображение:
Днес значителна част от съдържанието в интернет се разпространява с помощта на CDN мрежи. Въпреки това, изследванията върху начина, по който различни цензори упражняват своето влияние върху тези мрежи, са ограничени. Учените от университета на Масачузетс изследват възможните методи за блокиране на CDN съдържанието, използвайки практиките на китайските власти, както и са разработили инструмент за заобикаляне на тези блокировки.
Подготвили сме обзорен материал с основните изводи и резултати от този експеримент.
Въведение
Цензурата е глобална заплаха за свободата на словото в интернет и за свободния достъп до информация. Това е до голяма степен възможно, защото интернет е заел модела на 'end-to-end комуникация' от телефонните мрежи през 70-те години на миналия век. Това позволява блокирането на достъп до съдържание или комуникация на потребителите без сериозни усилия или разходи, просто на базата на IP адрес. Тук има няколко метода от блокиране на самия адрес с нежелано съдържание до блокиране на възможността потребителите дори да го намерят чрез манипулации с DNS.
Въпреки това, развитието на интернет доведе и до появата на нови методи за разпространение на информация. Един от тях е използването на кеширано съдържание за подобряване на производителността и ускоряване на комуникацията. Днес CDN доставчиците обработват значителен обем от целия трафик в света – само делът на водещия в този сегмент Akamai е до 30% от глобалния статичен уеб трафик.
CDN мрежата е разпределена система за доставка на интернет съдържание с максимална скорост. Типична CDN мрежа се състои от сървъри в различни географски точки, които кешират съдържание, за да "предоставят" него на потребителите, които са най-близо до този сървър. Това значително увеличава скоростта на онлайн комуникацията.
В допълнение към подобряването на качеството на услугата за крайните потребители, CDN хостингът помага на създателите на съдържание да мащабират своите проекти, като намаляват натоварването на инфраструктурата.
Цензуриране на CDN съдържание
Въпреки че трафикът на CDN вече представлява значителна част от цялата информация, предавана през интернет, все още почти не съществуват изследвания върху това как цензорите в реалния свят подхождат към контрола му.
Авторите на изследването започнаха с разглеждане на техники за цензуриране, които могат да се прилагат към CDN. След това анализираха реалните механизми, които използват властите в Китай.
Първо да поговорим за възможните методи за цензуриране и как те могат да бъдат приложени за контрол върху CDN.
IP филтриране
Това е най-простата и евтина техника за цензуриране на интернет. Прилагането на този подход означава, че цензорът идентифицира и добавя в черен списък IP адресите на ресурсите, които съдържат забранено съдържание. След това, контролирани интернет доставчици спират да изпращат пакети към такива адреси.
Блокиране на основа IP е един от най-разпространените методи за цензуриране на интернет. Повечето търговски мрежови устройства са оборудвани с функции за реализиране на такива блокировки без сериозни изчислителни разходи.
Въпреки това, този метод не е много подходящ за блокиране на CDN трафик поради някои свойства на самата технология:
- Разпределено кеширане – за осигуряване на най-добра наличност на съдържанието и оптимизация на производителността, CDN мрежите кешират потребителското съдържание на голям брой edge сървъри, разположени в географски разпределени локации. За да филтрира такова съдържание на основа IP, цензорът трябва да знае адресите на всички edge сървъри и да ги добави в черен списък. Това ще нанесе удар на основните свойства на метода, тъй като основното му предимство е, че в обичайната схема блокирането на един сървър позволява да „уреждате“ достъпа до забранено съдържание веднага за голямо количество хора.
- Споделени IP – търговските CDN доставчици споделят своята инфраструктура (тоест edge сървъри, система за картографиране и др.) между множество клиенти. В резултат на това забраненото CDN съдържание се зарежда от същите IP адреси, от които и незабраненото съдържание. В крайна сметка всяка опит за IP филтриране ще доведе до блокиране на голямо количество сайтове и съдържание, които не интересуват цензорите.
- Високодинамичното присвояване на IP – за оптимизиране на натоварването и повишаване на качеството на услугата, мапингът на edge-сървъри и крайни потребители се извършва много бързо и динамично. Например, Akamai актуализира връщаните IP адреси на всяка минута. Това почти ще направи невъзможен процеса на свързване на адресите с забранено съдържание.
DNS интерференция
Освен филтрацията на IP адреси, друг популярен начин за цензуриране е DNS интерференцията. Този подход предполага действия на цензорите, насочени към това, за да не узнавят потребителите IP адресите на ресурсите със забранено съдържание. Тоест, намесата става на ниво разрешаване на домейни. Съществуват няколко начина да се постигне това, включително взлом на DNS връзки, използване на техники за DNS отравяне и блокиране на DNS запитвания към забранени сайтове.
Това е много ефективен начин за блокиране, но може да бъде заобиколен, ако се използват нестандартни начини за разрешаване на DNS, например, out-of-band канали. Затова обикновено цензорите комбинират блокировките на DNS с IP филтрацията. Но, както бе споменато по-горе, IP филтрацията не е ефективна за цензуриране на CDN съдържание.
Филтрация по URL/Ключови думи с помощта на DPI
Съвременните устройства за мониторинг на мрежовата активност могат да бъдат използвани за анализ на конкретни URL адреси и ключови думи в предаваните пакетни данни. Тази технология е известна като DPI (дълбока инспекция на пакетите). Такива системи намират споменавания на забранени думи и ресурси, след което се намесват в онлайн комуникацията. В крайна сметка пакетите просто се отхвърлят.
Този метод е ефективен, но по-сложен и ресурсоемък, тъй като изисква дефрагментация на всички пакетни данни, предавани в рамките на определени потоци.
CDN съдържанието може да бъде защитено от подобна филтрация, също както и "обикновеното" съдържание – и в двата случая помага използването на криптиране (тоест HTTPS).
Освен че DПI се използва за търсене на ключови думи или URL адреси на забранени ресурси, тези инструменти могат да бъдат използвани и за по-напреднал анализ. Тези методи включват статистически анализ на онлайн/офлайн трафика и анализ на идентификационни протоколи. Тези методи са изключително ресурсно интензивни и в момента не съществуват съществени доказателства за тяхното използване от цензори в достатъчно голям обем.
Самозасекретяване на CDN доставчиците
Ако цензорът е държавата, то тя разполага с всички възможности да забрани дейността на тези CDN доставчици, които не се подчиняват на местните закони, регулиращи достъпа до съдържание. Няма начин да се противодейства на самозасекретяването – затова, ако компанията-доставчик на CDN желае да работи в дадена страна, тя ще бъде принудена да спазва местните закони, дори и те да ограничават свободата на словото.
Как Китай цензурира CDN съдържание
Великият китайски защитен стена основателно се счита за най-ефективната и напреднала система за осигуряване на интернет цензура.
Методология на изследването
Учени провеждаха експерименти с помощта на Linux възел, разположен в Китай. Също така те имаха достъп до няколко компютъра извън страната. Първо, изследователите провериха какво от възела е обект на цензура, подобна на тази, която се прилага към другите китайски потребители – за да направят това, те опитаха да отворят различни забранени сайтове от този компютър. Така наличие на същото ниво на цензура беше потвърдено.
Списъкът на забранени сайтове в Китай, използващи CDN, беше взет от сайта GreatFire.org. След това беше направен анализ на начина на блокиране във всеки случай.
Съгласно публично достъпни данни, единственият голям играч на пазара на CDN с собствена инфраструктура в Китай е Akamai. Други доставчици, участвали в проучването, са: CloudFlare, Amazon CloudFront, EdgeCast, Fastly и SoftLayer.
В хода на експериментите изследователите установиха адресите на edge-сървърите на Akamai в страната и след това опитаха да получат кеширано разрешено съдържание през тях. Достъпът до забранено съдържание не успя (върна се HTTP 403 Forbidden) – очевидно, компанията провежда самозасекретяване, за да запази възможността за работа в страната. В същото време, извън страната достъпът до тези ресурси оставаше открит.
Доставчиците без инфраструктура в Китай не използват самоцензура за местните потребители.
При останалите доставчици, най-често прилаганият метод за блокиране е DNS филтрирането – поисканите забранени сайтове се разрешават на неверни IP адреси. При това, защитната стена не блокира самите edge-сървъри на CDN, понеже те съхраняват както забранена, така и разрешена информация.
И ако при незашифрован трафик властите имат възможност да блокират отделни страници на сайтове чрез DPI, то при използване на HTTPS те могат само да забранят достъпа до целия домейн. Това води до блокиране и на разрешено съдържание.
Освен това, в Китай съществуват и собствени доставчици на CDN, сред които мрежи като ChinaCache, ChinaNetCenter и CDNetworks. Всички тези компании напълно изпълняват законодателството на страната и блокират забранено съдържание.
CacheBrowser: инструмент за заобикаляне на блокировките чрез CDN
Както показа анализът, цензорите им е доста трудно да блокират CDN съдържание. Затова изследователите решиха да продължат напред и да разработят инструмент за заобикаляне на онлайн блокировките, който няма да използва прокси технологии.
Основната идея на инструмента е, че за блокировка на CDN, цензорите трябва да се намесват в работата на DNS, но за зареждане на CDN съдържание всъщност не е задължително да се използва разрешение на домейн имена. Така потребителят може да получи нужното съдържание, като се обърне директно към edge-сървъра, на който вече е кеширано.
На диаграмата по-долу е представена структурата на системата.
На компютъра на потребителя се инсталира клиентски софтуер, за достъп до съдържанието се използва обикновен браузър.
Когато се запита URL или част от вече запитвано съдържание, браузърът изпраща заявка към локалната DNS система (LocalDNS), за да получи IP адреса на хостинга. Обикновената DNS система се запитва само за домейни, които все още не са налични в базата данни на LocalDNS. Модулът Scraper постоянно преглежда заявените URL адреси и търси в списъка потенциално блокирани домейни. След това Scraper се обръща към модула Resolver, за да разреши новооткритите блокирани домейни, този модул изпълнява задачата и добавя запис в LocalDNS. Накрая кешът на DNS в браузъра се изчиства, за да бъдат премахнати съществуващите DNS записи за блокирания домейн.
Ако модулът Resolver не може да разбере на кой CDN доставчик принадлежи домейнът, той ще поиска помощ от модула Bootstrapper.
Как работи това на практика
Клиентският софтуер на продукта е реализиран за Linux, но лесно може да се пренесе и за Windows. Използва се обикновен браузър Mozilla
Firefox. Модулите Scraper и Resolver са написани на Python, а базите данни Customer-to-CDN и CDN-to-IP се съхраняват в .txt файлове. За база данни LocalDNS се използва обикновен файл /etc/hosts в Linux.
В резултат за блокиран URL от вида скриптът ще получи IP адреса на edge сървъра от файла /etc/hosts и ще изпрати HTTP GET заявка за достъп до BlockedURL.html с полета на HTTP заглавката Host:
blocked.com/ and User-Agent: Mozilla/5.0 (Windows NT 5.1; rv:14.0) Gecko/20100101 Firefox/14.0.1Модулът Bootstrapper е реализиран с помощта на безплатен инструмент digwebinterface.com. Този DNS резолвър не може да бъде блокиран и отговаря на DNS запитвания от името на множество географски разпределени DNS сървъри в различни мрежови региони.
С помощта на този инструмент изследователите успяха да получат достъп до Facebook от своя китайски нод – въпреки че социалната мрежа отдавна е блокирана в Китай.
Заключение
Експериментът показа, че проблемите, които цензорите изпитват при опити за блокиране на CDN съдържание, могат да бъдат използвани за създаване на система за заобикаляне на блокадите. Този инструмент позволява заобикаляне на блокадите дори в Китай, където действа една от най-силните системи за онлайн цензура.
Други статии по темата за използването на за бизнес:
Източник: habr.com
