Obrázek:
Dnes je značná část veškerého obsahu na internetu šířena pomocí CDN sítí. V tomto ohledu byla provedena řada výzkumů, jak různé cenzory uplatňují svůj vliv na tyto sítě. Vědci z Massachusettského technologického institutu zkoumali možné metody blokování CDN obsahu na příkladu praktik čínských úřadů a také vyvinuli nástroj na obcházení těchto blokací.
Připravili jsme přehledový materiál s hlavními závěry a výsledky tohoto experimentu.
Úvod
Cenzura je globální hrozbou pro svobodu slova na internetu a volný přístup k informacím. To je z velké části možné díky tomu, že internet převzal model "end-to-end komunikace" z telefonních sítí 70. let minulého století. To umožňuje zablokovat přístup k obsahu nebo komunikaci uživatelů bez větších námah nebo nákladů prostě na základě IP adresy. Zde je několik způsobů, jak blokovat samotnou adresu s zakázaným obsahem, až po zablokování možnosti uživatelům dokonce zjistit její existenci pomocí manipulace s DNS.
Vývoj internetu však vedl také k vznikům nových způsobů šíření informací. Jedním z nich je použití cachovaného obsahu pro zlepšení výkonu a zrychlení komunikace. Dnes CDN poskytovatelé zpracovávají značné objemy veškerého provozu na světě – pouze na podíl vedoucí firmy v tomto segmentu, Akamai, připadá až 30 % globálního statického webového provozu.
CDN síť je distribuovaný systém pro doručování internetového obsahu s maximální rychlostí. Typická CDN síť se skládá ze serverů na různých geografických místech, které cachují obsah, aby "předávaly" ho těm uživatelům, kteří se nacházejí nejblíže tomuto serveru. To značně zvyšuje rychlost online komunikace.
Kromě zlepšení kvality služeb pro koncové uživatele, CDN hosting pomáhá tvůrcům obsahu škálovat jejich projekty, a tím snižuje zátěž na infrastrukturu.
Cenzura CDN obsahu
I když již CDN provoz představuje značnou část veškerých informací přenášených přes internet, stále téměř neexistují výzkumy, jak cenzory v reálném světě přistupují k jeho kontrole.
Autoři studie začali zkoumáním technik cenzurování, které mohou být aplikovány na CDN. Poté se zaměřili na skutečné mechanizmy, které používají čínské úřady.
Nejprve si promluvme o možných metodách cenzurování a o možnosti jejich využití pro kontrolu CDN.
Filtrace podle IP
To je nejjednodušší a nejlevnější technika cenzurování internetu. Při použití tohoto přístupu cenzor určuje a zařazuje IP adresy zdrojů, které zveřejňují zakázaný obsah, na černou listinu. Poté poskytovatelé internetových služeb pod kontrolou přestávají doručovat pakety odesílané na takové adresy.
Blokace na základě IP je jednou z nejrozšířenějších metod cenzurování internetu. Většina komerčně dostupných síťových zařízení je vybavena funkcemi pro provádění takových blokací bez výrazných výpočetních nákladů.
Tato metoda však není příliš vhodná pro blokaci CDN provozu z důvodu některých vlastností samotné technologie:
- Distribuované cacheování Aby zajistily nejlepší dostupnost obsahu a optimalizovaly výkon, CDN sítě cacheují uživatelský obsah na velkém počtu edge serverů rozmístěných na geograficky vzdálených místech. Aby bylo možné filtrovat tento obsah na základě IP, cenzor by musel znát adresy všech edge serverů a zahrnout je na černou listinu. To by poškodilo hlavní vlastnosti metody, neboť její hlavní výhodou je, že v běžném schématu blokování jednoho serveru umožňuje 'odříznout' přístup k zakázanému obsahu najednou velkému počtu lidí.
- Sdílené IP Komerční CDN poskytovatelé sdílejí svou infrastrukturu (tj. edge servery, mapovací systém atd.) mezi mnoha klienty. V důsledku toho je zakázaný CDN obsah načítán ze stejných IP adres jako nezakázaný obsah. Jakákoli pokus o filtrování IP tedy povede k tomu, že pod blokací se ocitne také velké množství webů a obsahu, které cenzory nezajímají.
- Vysoce dynamické přidělování IP – pro optimalizaci vyvažování zatížení a zvýšení kvality služeb je mapování edge serverů a koncových uživatelů prováděno velmi rychle a dynamicky. Například, Akamai aktualizuje vracené IP adresy každou minutu. To znemožní téměř jakýkoliv proces spojování adres s zakázaným obsahem.
DNS interference
Kromě filtrace IP je dalším oblíbeným způsobem cenzurování interference DNS. Tento přístup zahrnuje kroky cenzorů, které mají za cíl, aby se uživatelé vůbec nedozvěděli IP adresy zdrojů se zakázaným obsahem. To znamená, že zásah je na úrovni překladů doménových jmen. Existuje několik způsobů, jak to udělat, včetně útoků na DNS spojení, použití techniky DNS poisoning a blokování DNS dotazů na zakázané weby.
Je to velmi efektivní způsob blokování, nicméně lze jej obejít, pokud se používají nestandardní způsoby překladů DNS, například out-of-band kanály. Proto cenzory obvykle kombinují blokace DNS s použitím IP filtrace. Ale, jak bylo uvedeno výše, IP filtrace není efektivní pro cenzurování obsahu CDN.
Filtrace podle URL/Klíčových slov pomocí DPI
Moderní zařízení pro monitorování síťové aktivity mohou být použita k analýze konkrétních URL a klíčových slov v přenášených datových paketech. Tato technologie se nazývá DPI (deep packet inspection). Takové systémy vyhledávají zmínky zakázaných slov a zdrojů, načež dochází k zásahu do online komunikace. V důsledku toho jsou pakety jednoduše vyhozeny.
Tato metoda je efektivní, ale složitější a náročnější na zdroje, protože vyžaduje defragmentaci všech datových paketů odesílaných v rámci konkrétních toků.
CDN obsah lze chránit před podobnou filtrací stejně jako "běžný" obsah – v obou případech pomáhá použití šifrování (tedy HTTPS).
Kromě používání DPI pro vyhledávání klíčových slov nebo URL zakázaných zdrojů mohou být tyto nástroje použity pro pokročilejší analýzu. Mezi tyto metody patří statistická analýza online/offline provozu a analýza identifikačních protokolů. Tyto metody jsou extrémně náročné na zdroje a v současné době neexistují dostatečné důkazy o jejich používání cenzory v významném objemu.
Sebecenzura poskytovatelů CDN
Pokud je cenzorem stát, má všechny možnosti zakázat činnost v zemi těm poskytovatelům CDN, kteří se nepodřizují místním zákonům regulujícím přístup k obsahu. Sebecenzura se nedá nijak odporovat – proto pokud je poskytovatel CDN zainteresován na činnosti v nějaké zemi, bude nucen dodržovat místní zákony, i když omezují svobodu projevu.
Jak Čína cenzuruje obsah CDN
Velká čínská firewall je oprávněně považována za nejefektivnější a nejpokročilejší systém pro zajištění internetové cenzury.
Metodologie výzkumu
Vědci prováděli experimenty pomocí Linuxového uzlu umístěného uvnitř Číny. Také měli přístup k několika počítačům mimo zemi. Nejprve výzkumníci ověřili, co z uzlu podléhá cenzuře podobné té, která se uplatňuje na jiné čínské uživatele – k tomu zkoušeli otevřít na tomto stroji různé zakázané weby. To potvrdilo přítomnost stejné úrovně cenzury.
Seznam webových stránek blokovaných v Číně, které používají CDN, byl převzat z webu GreatFire.org. Poté byla prováděna analýza způsobu blokace v každém případě.
Podle veřejných údajů je jediným velkým hráčem na trhu CDN s vlastní infrastrukturou v Číně společnost Akamai. Další poskytovatelé, kteří se zúčastnili výzkumu: CloudFlare, Amazon CloudFront, EdgeCast, Fastly a SoftLayer.
Během experimentů výzkumníci zjistili adresy edge-serverů Akamai uvnitř země, a poté se pokusili získat přes ně cacheovaný schválený obsah. Přístup k zakázanému obsahu se nezdařil (byla vrácena chyba HTTP 403 Forbidden) – je zřejmé, že společnost provádí sebecenzuru, aby si udržela možnost fungovat v zemi. Přitom mimo zemi zůstával přístup k těmto zdrojům otevřený.
Poskytovatelé bez infrastruktury v Číně nepoužívají autocenzuru pro místní uživatele.
V případě ostatních poskytovatelů se nejčastěji používanou metodou blokování stala filtraci DNS – dotazy na blokované weby jsou směrovány na nesprávné IP adresy. Firewall přitom neblokuje samotné edge servery CDN, protože ty uchovávají jak zakázané, tak povolené informace.
A pokud mají úřady v případě nešifrovaného provozu možnost blokovat jednotlivé stránky webů pomocí DPI, při použití HTTPS mohou pouze zakázat přístup k celému doméně jako celku. To vede také k blokaci povoleného obsahu.
Kromě toho v Číně existují i vlastní poskytovatelé CDN, mezi nimiž jsou takové sítě jako ChinaCache, ChinaNetCenter a CDNetworks. Všechny tyto společnosti plně dodržují legislativu země a blokují zakázaný obsah.
CacheBrowser: nástroj pro obcházení blokací pomocí CDN
Jak ukázal analýza, cenzorům se blokování CDN obsahu dost obtížně daří. Tedy výzkumníci se rozhodli jít dál a vyvinout nástroj pro obcházení online blokací, který nebude používat technologii proxy.
Hlavní myšlenkou nástroje je, že cenzorům k blokování CDN musí zasahovat do provozu DNS, ale pro načítání CDN obsahu ve skutečnosti není nutné používat překlad doménových jmen. Takto může uživatel získat potřebný obsah přímo přístupem k edge serveru, kde je již vyrovnaný.
Na níže uvedeném diagramu je znázorněna struktura systému.
Na uživatelském počítači je nainstalován klientský software a pro přístup k obsahu se používá běžný prohlížeč.
Při požadavku URL nebo části již dříve požadovaného obsahu, webový prohlížeč odešle žádost místnímu systému DNS (LocalDNS), aby získal IP adresu hostingu. Obvyklé DNS je dotazováno pouze pro domény, které ještě nejsou obsaženy v databázi LocalDNS. Modul Scraper neustále prochází požadované URL a hledá v seznamu potenciálně blokovaná doménová jména. Poté Scraper kontaktuje modul Resolver, aby vyřešil nově objevené blokované domény, tento modul provede úkol a přidá záznam do LocalDNS. Následně se DNS cache prohlížeče vyčistí, aby byly odstraněny existující DNS záznamy pro blokovanou doménu.
Pokud modul Resolver nedokáže určit, ke kterému CDN poskytovateli doména patří, požádá o pomoc modul Bootstrapper.
Jak to funguje v praxi
Klientský software produktu byl realizován pro Linux, ale lze ho snadno portovat také pro Windows. Jako prohlížeč se používá klasický Mozilla
Firefox. Moduly Scraper a Resolver jsou napsány v Pythonu, a databáze Customer-to-CDN a CDN-to-IP jsou uchovávány v .txt souborech. Jako databáze LocalDNS slouží běžný soubor /etc/hosts v Linuxu.
Nakonec pro blokované URL typu skript získá IP adresu edge serveru ze souboru /etc/hosts a odešle HTTP GET požadavek pro přístup k BlockedURL.html s poli HTTP hlavičky Host:
blocked.com/ a User-Agent: Mozilla/5.0 (Windows
NT 5.1; rv:14.0) Gecko/20100101 Firefox/14.0.1Modul Bootstrapper je realizován pomocí bezplatného nástroje digwebinterface.com. Tento DNS resolver nelze zablokovat a odpovídá na DNS dotazy z pohledu mnoha geograficky rozložených DNS serverů v různých síťových regionech.
S pomocí tohoto nástroje se výzkumníkům podařilo ze své čínské uzlu získat přístup na Facebook – ačkoli je sociální síť v Číně již dlouho blokována.
Závěr
Experiment ukázal, že použití problémů, které cenzory pociťují při pokusech zablokovat CDN obsah, lze využít k vytvoření systému obcházení blokací. Takový nástroj umožňuje obejít blokace i v Číně, kde působí jeden z nejsilnějších systémů online cenzury.
Další články na téma použití pro podnikání:
Zdroj: habr.com
