Проект Geneva разработва двигател за автоматизация на обхода на цензурирането на трафика

Изследователи от Университета в Мериленд в рамките на проекта Женева предприели опит за създаване на движкa за автоматизиране на определянето на методите, използвани за цензуриране на достъпа до съдържание. Опитът да се прегледат на ръка възможните дупки в системите за дълбочинна инспекция на пакети (DPI) е достатъчно труден и дълъг процес. В Женева се опитали да използват генетичен алгоритъм за оценка на особеностите на DPI, откриване на грешки в имплементацията и разработване на оптимална стратегия за заобикаляне на блокировките от страна на клиента. Кодът на проекта е написан е написан на Python.

Използваното за блокиране DPI оборудване има своите недостатъци, които позволяват скриването на достъпа до забранен ресурс или избягване на блокировка. Например, в най-простия случай при организиране на блокировка чрез подмяна на фиктивен отговор (използва се от пасивни DPI), е достатъчно от страната на клиента да се отхвърли фиктивният отговор, изпратен от DPI. В случай на активни DPI може да се опита да се скрие самият факт на достъпа до забранения сайт, като се променят параметрите на HTTP заявката (например, добавяйки излишно пространство след "GET"), разделяйки данните за съгласуване на TLS връзката на няколко пакета или извършвайки атаки TCB Teardown и TCB Desync. Същността на споменатите атаки е в изпращането от клиента първоначален фиктивен пакет с данни или флагове RST/ACK, който не получава целевият хост, но улавя DPI, което от своя страна взима решение на базата на него и не анализира следващия пакет с реалната заявка (например, в фиктивния първи пакет може да се посочи друг SNI, а за да бъде скрит този пакет от целевия хост, може да се зададе нисък TTL, а също и неправилна контрольна сума, флагове или номер на последователността TCP).

Женева се опитва да изработи работен метод за заобикаляне на DPI, използвайки четири основни примитиви за манипулация с мрежови пакети — отхвърляне, промяна на заглавия, дублиране и фрагментация. За подбиране на оптималната стратегия се прилага генетичен алгоритъм, който моделира процеси, подобни на естествения отбор, чрез случайно комбиниране на различни варианти на манипулации с пакети. В крайна сметка примитивите се комбинират в "дърво на действията", определящо алгоритъма за заобикаляне на DPI.

align=top

Работата на Geneva успешно е тествана за заобикаляне на методите за цензура, използвани в Китай, Индия и Казахстан. С помощта на Geneva бяха открити няколко нови пропуска, за които преди това не се знаеше. Важно е да се отбележи, че Geneva е ефективен само в случай на блокировки, основани на DPI, докато при блокиране по IP-адреси е безполезен и е необходима VPN връзка. разкрито няколко десетки типични стратегии за заобикаляне на DPI, които могат да се тестват незабавно без необходимост от пълен анализ, например:

python3 engine.py —server-port 80 —strategy «[TCP:flags:PA]-duplicate(tamper{TCP:dataofs:replace:10} tamper{TCP:chksum:corrupt},),)-|» —log debug

2020-01-24 20:54:41 DEBUG:[ENGINE] Двигателят е създаден с стратегия \/ (ID bm3kdw3r) за порт 80
2020-01-24 20:54:41 DEBUG:[ENGINE] Конфигуриране на правилата на iptables
2020-01-24 20:54:41 DEBUG:[ENGINE] iptables -A OUTPUT -p tcp —sport 80 -j NFQUEUE —queue-num 1
2020-01-24 20:54:41 DEBUG:[ENGINE] iptables -A INPUT -p tcp —dport 80 -j NFQUEUE —queue-num 2
2020-01-24 20:54:41 DEBUG:[ENGINE] iptables -A OUTPUT -p udp —sport 80 -j NFQUEUE —queue-num 1
2020-01-24 20:54:41 DEBUG:[ENGINE] iptables -A INPUT -p udp —dport 80 -j NFQUEUE —queue-num 2

Източник: opennet.ru