Bild:
Heute wird ein erheblicher Teil aller Inhalte im Internet über CDN-Netzwerke verbreitet. In diesem Zusammenhang wird untersucht, wie verschiedene Zensoren ihren Einfluss auf solche Netzwerke ausüben. Wissenschaftler der Universität Massachusetts haben mögliche Methoden zur Blockierung von CDN-Inhalten am Beispiel der Praktiken der chinesischen Behörden untersucht und ein Werkzeug zur Umgehung solcher Blockaden entwickelt.
Wir haben ein Übersichtsmaterial mit den wichtigsten Ergebnissen und Erkenntnissen dieses Experiments vorbereitet.
Einführung
Zensur ist eine globale Bedrohung für die Meinungsfreiheit im Internet und den freien Zugang zu Informationen. Teilweise ist dies möglich, weil das Internet das Modell der 'End-to-End-Kommunikation' aus den Telefonnetzwerken der 70er Jahre übernommen hat. Dies ermöglicht es, den Zugang zu Inhalten oder die Kommunikation von Nutzern mit wenig Aufwand oder Kosten allein auf Grundlage der IP-Adresse zu blockieren. Hier sind verschiedene Methoden von der Blockierung der IP-Adresse mit unerwünschten Inhalten bis hin zur Blockierung der Möglichkeit für Nutzer, diese durch Manipulation der DNS zu erfahren.
Die Entwicklung des Internets hat jedoch auch zu neuen Wegen der Informationsverbreitung geführt. Eine davon ist die Verwendung von zwischengespeicherten Inhalten, um die Leistung zu verbessern und die Kommunikation zu beschleunigen. Heute verarbeiten CDN-Anbieter einen erheblichen Teil des gesamten Datenverkehrs weltweit – allein auf den Marktführer in diesem Segment Akamai entfallen bis zu 30 % des globalen statischen Web-Traffics.
Ein CDN-Netzwerk ist ein verteiltes System zur Bereitstellung von Internetinhalten mit maximaler Geschwindigkeit. Ein typisches CDN-Netzwerk besteht aus Servern an verschiedenen geografischen Standorten, die Inhalte zwischenspeichern, um sie den Nutzern bereitzustellen, die sich am nächsten zu diesem Server befinden. Dadurch kann die Geschwindigkeit der Online-Kommunikation erheblich erhöht werden.
Neben der Verbesserung der Servicequalität für Endbenutzer hilft das CDN-Hosting Inhalte-Erstellern, ihre Projekte zu skalieren und die Belastung der Infrastruktur zu verringern.
Zensur von CDN-Inhalten
Obwohl der Datenverkehr von CDNs bereits einen erheblichen Anteil an allen über das Internet übertragenen Informationen ausmacht, gibt es bisher fast keine Studien dazu, wie Zensoren in der realen Welt mit dessen Kontrolle umgehen.
Die Autoren der Studie begannen mit der Untersuchung von Zensurtechniken, die auf CDN anwendbar sein könnten. Anschließend analysierten sie die effektiven Mechanismen, die von den chinesischen Behörden verwendet werden.
Zunächst werden wir über mögliche Zensurmethoden und deren Anwendungsmöglichkeiten zur Kontrolle von CDN sprechen.
IP-Filterung
Dies ist die einfachste und kostengünstigste Technik zur Zensur des Internets. Bei diesem Ansatz identifiziert der Zensor IP-Adressen von Ressourcen, die verbotenen Inhalt hosten, und setzt sie auf eine schwarze Liste. Anschließend hören kontrollierte Internetanbieter auf, Pakete an diese Adressen zu liefern.
Die Blockierung auf Basis von IP ist eine der am weitesten verbreiteten Methoden zur Zensur des Internets. Die meisten kommerziellen Netzwerkgeräte sind mit Funktionen ausgestattet, um solche Blockierungen ohne nennenswerte Rechenkosten durchzuführen.
Dieser Ansatz eignet sich jedoch nicht gut zur Blockierung von CDN-Verkehr aufgrund einiger Eigenschaften der Technologie selbst:
- Verteiltes Caching Um die Verfügbarkeit von Inhalten zu maximieren und die Leistung zu optimieren, cachen CDN-Netzwerke Benutzerdaten auf einer großen Anzahl von Edge-Servern, die an geografisch verteilten Standorten positioniert sind. Um Inhalte auf IP-Basis filtern zu können, muss der Zensor die Adressen aller Edge-Server kennen und auf eine schwarze Liste setzen. Dies würde die Hauptmerkmale der Methode beeinträchtigen, da der große Vorteil darin besteht, dass bei einer normalen Blockierung eines Servers der Zugang zu verbotenen Inhalten sofort für eine Vielzahl von Nutzern gesperrt wird.
- Geteilte IPs Kommerzielle CDN-Anbieter teilen ihre Infrastruktur (also Edge-Server, Mapping-System usw.) zwischen vielen Kunden. Infolgedessen wird verbotener CDN-Inhalt von den gleichen IP-Adressen geladen wie nicht verbotener Inhalt. Jeglicher Versuch der IP-Filterung führt daher dazu, dass eine große Anzahl von Websites und Inhalten, die für die Zensoren uninteressant sind, ebenfalls blockiert wird.
- Hochdynamische IP-Zuweisung – Zur Optimierung der Lastenverteilung und zur Verbesserung der Servicequalität erfolgt die Zuordnung von Edge-Servern und Endbenutzern sehr schnell und dynamisch. Zum Beispiel aktualisiert Akamai die zurückgegebenen IP-Adressen jede Minute. Dies wird den Prozess, Adressen mit verbotenen Inhalten zu verknüpfen, nahezu unmöglich machen.
DNS-Interferenz
Neben der IP-Filterung ist ein weiterer beliebter Weg zur Zensur die DNS-Interferenz. Dieser Ansatz umfasst Maßnahmen der Zensoren, um sicherzustellen, dass Benutzer die IP-Adressen von Ressourcen mit verbotenen Inhalten überhaupt nicht erfahren. Das heißt, das Eingreifen erfolgt auf der Ebene der Namensauflösung. Es gibt verschiedene Möglichkeiten, dies zu tun, einschließlich der Manipulation von DNS-Verbindungen, der Verwendung von DNS-Poisoning-Techniken und der Blockierung von DNS-Anfragen an verbotene Websites.
Das ist eine sehr effektive Methode zur Sperrung, allerdings kann sie umgangen werden, wenn nicht standardisierte Methoden zur DNS-Auflösung verwendet werden, wie zum Beispiel Out-of-Band-Kanäle. Daher kombinieren Zensoren normalerweise DNS-Blockaden mit der Verwendung von IP-Filterung. Aber, wie bereits erwähnt, ist die IP-Filterung nicht effektiv für die Zensur von CDN-Inhalten.
URL-/Schlüsselwortfilterung mit DPI
Moderne Geräte zur Überwachung der Netzwerkaktivität können verwendet werden, um bestimmte URLs und Schlüsselwörter in den übertragenen Datenpaketen zu analysieren. Diese Technologie wird als DPI (Deep Packet Inspection) bezeichnet. Solche Systeme finden Erwähnungen verbotener Wörter und Ressourcen, wonach Eingriffe in die Online-Kommunikation stattfinden. Dadurch werden die Pakete einfach verworfen.
Diese Methode ist effizient, aber komplizierter und ressourcenintensiver, da sie die Defragmentierung aller Datenpakete erfordert, die innerhalb bestimmter Flüsse gesendet werden.
CDN-Inhalte können vor solcher Filterung genauso geschützt werden wie "normale" Inhalte – in beiden Fällen hilft der Einsatz von Verschlüsselung (d. h. HTTPS).
Neben der Nutzung von DPI zur Suche nach Schlüsselwörtern oder URLs von gesperrten Ressourcen können diese Tools für eine fortgeschrittene Analyse verwendet werden. Zu solchen Methoden gehören die statistische Analyse von Online-/Offline-Traffic und die Analyse von Identifizierungsprotokollen. Diese Methoden sind äußerst ressourcenintensiv, und bisher gibt es keine Beweise für die Anwendung durch Zensoren in einem signifikanten Umfang.
Selbstzensur von CDN-Anbietern
Wenn der Zensor der Staat ist, hat er alle Möglichkeiten, die Tätigkeit von CDN-Anbietern, die sich nicht an die lokalen Gesetze zur Regulierung des Zugangs zu Inhalten halten, im Land zu verbieten. Gegen die Selbstzensur kann man nichts tun – daher wird ein CDN-Anbieter, der an einer Tätigkeit in einem bestimmten Land interessiert ist, gezwungen sein, die lokalen Gesetze einzuhalten, auch wenn diese die Meinungsfreiheit einschränken.
Wie China CDN-Inhalte zensiert
Die Great Firewall von China gilt zu Recht als das effektivste und fortschrittlichste System zur Gewährleistung von Internetzensur.
Methodologie der Forschung
Die Wissenschaftler führten Experimente mit einem in China befindlichen Linux-Knoten durch. Sie hatten auch Zugang zu mehreren Computern im Ausland. Zuerst überprüften die Forscher, ob der Knoten der Zensur unterliegt, die derjenigen ähnelt, die auf andere chinesische Nutzer angewendet wird – dafür probierten sie, verschiedene gesperrte Websites von diesem Rechner aus zu öffnen. So wurde bestätigt, dass das gleiche Zensurniveau vorliegt.
Die Liste der in China gesperrten Websites, die CDN verwenden, wurde von der Website GreatFire.org entnommen. Anschließend wurde die Art der Sperrung in jedem Einzelfall analysiert.
Laut öffentlichen Daten ist Akamai der einzige große Anbieter von CDN mit eigener Infrastruktur in China. Andere Anbieter, die an der Untersuchung beteiligt waren: CloudFlare, Amazon CloudFront, EdgeCast, Fastly und SoftLayer.
Im Verlauf der Experimente fanden die Forscher die Adressen von Edge-Servern von Akamai im Land und versuchten dann, über diese auf gecachten, zugelassenen Inhalt zuzugreifen. Der Zugriff auf gesperrte Inhalte war nicht möglich (es wurde der HTTP-Fehler 403 Forbidden zurückgegeben) – offensichtlich betreibt das Unternehmen Selbstzensur, um die Möglichkeit der Tätigkeit im Land zu erhalten. Gleichzeitig blieb der Zugang zu diesen Ressourcen außerhalb des Landes offen.
Anbieter ohne Infrastruktur in China nutzen keine Selbstzensur für lokale Benutzer.
Bei den übrigen Anbietern ist die am häufigsten verwendete Methode zur Sperrung die DNS-Filterung – Anfragen an gesperrte Websites werden auf falsche IP-Adressen umgeleitet. Dabei blockiert die Firewall nicht die eigentlichen Edge-Server von CDN, da diese sowohl verbotene als auch erlaubte Informationen speichern.
Wenn es bei unverschlüsseltem Datenverkehr für die Behörden möglich ist, einzelne Seiten von Websites mithilfe von DPI zu blockieren, können sie bei der Verwendung von HTTPS nur den Zugang zur gesamten Domain insgesamt verbieten. Dies führt auch zur Blockierung von erlaubten Inhalten.
Darüber hinaus gibt es in China auch eigene CDN-Anbieter, darunter Netzwerke wie ChinaCache, ChinaNetCenter und CDNetworks. Alle diese Unternehmen befolgen vollständig die Gesetze des Landes und blockieren verbotene Inhalte.
CacheBrowser: ein Tool zum Umgehen von Blockierungen mithilfe von CDN
Die Analyse hat gezeigt, dass es für Zensoren ziemlich schwierig ist, CDN-Inhalte zu blockieren. Daher haben die Forscher beschlossen, weiterzugehen und ein Tool zum Umgehen von Online-Blockierungen zu entwickeln, das keine Proxy-Technologie verwenden wird.
Die Hauptidee des Tools besteht darin, dass Zensoren zur Blockierung von CDN in das DNS eingreifen müssen. Allerdings ist es für das Laden von CDN-Inhalten nicht unbedingt erforderlich, die Namensauflösung zu verwenden. So kann der Benutzer die benötigten Inhalte direkt von einem Edge-Server abrufen, auf dem sie bereits zwischengespeichert sind.
Das folgende Diagramm zeigt die Funktionsweise des Systems.
Auf dem Computer des Benutzers wird Client-Software installiert, um auf die Inhalte zuzugreifen, wird ein gewöhnlicher Browser verwendet.
Bei der Anforderung einer URL oder eines bereits angeforderten Inhalts sendet der Browser eine Anfrage an das lokale DNS-System (LocalDNS), um die IP-Adresse des Hostings zu erhalten. Normales DNS wird nur für Domains abgefragt, die noch nicht im LocalDNS gespeichert sind. Das Modul Scraper durchläuft ständig die angeforderten URLs und sucht in der Liste nach potenziell blockierten Domainnamen. Danach kontaktiert der Scraper das Modul Resolver, um neu entdeckte blockierte Domains aufzulösen; dieses Modul führt die Aufgabe aus und fügt den Eintrag in das LocalDNS hinzu. Anschließend wird der DNS-Cache des Browsers gelöscht, um bestehende DNS-Einträge für die blockierte Domain zu entfernen.
Wenn das Modul Resolver nicht verstehen kann, zu welchem CDN-Anbieter die Domain gehört, wird es um Hilfe vom Modul Bootstrapper bitten.
Wie es in der Praxis funktioniert
Die Client-Software des Produkts wurde für Linux implementiert, kann jedoch problemlos auch für Windows portiert werden. Als Browser wird der normale Mozilla
Firefox verwendet. Die Module Scraper und Resolver sind in Python geschrieben, und die Datenbanken Customer-to-CDN und CDN-to-IP werden in .txt-Dateien gespeichert. Als LocalDNS-Datenbank dient eine gewöhnliche Datei /etc/hosts in Linux.
Für eine blockierte URL wie wird das Skript die IP-Adresse des Edge-Servers aus der Datei /etc/hosts abrufen und eine HTTP GET-Anfrage an BlockedURL.html mit den HTTP-Headerfeldern Host:
blocked.com/ und User-Agent: Mozilla/5.0 (Windows NT 5.1; rv:14.0) Gecko/20100101 Firefox/14.0.1Das Modul Bootstrapper wurde mit dem kostenlosen Tool digwebinterface.com implementiert. Dieser DNS-Resolver kann nicht blockiert werden und er antwortet auf DNS-Anfragen im Namen vieler geografisch verteilter DNS-Server in verschiedenen Netzwerkregionen.
Mit diesem Tool gelang es Forschern, von ihrem chinesischen Knoten auf Facebook zuzugreifen – obwohl das soziale Netzwerk seit langem in China blockiert ist.
Fazit
Das Experiment zeigte, dass man die Probleme, die Zensoren beim Versuch, CDN-Inhalte zu blockieren, haben, nutzen kann, um ein Umgehungssystem zu erstellen. Ein solches Tool ermöglicht es, auch in China, wo eines der leistungsstärksten Systeme der Online-Zensur aktiv ist, Blockaden zu umgehen.
Weitere Artikel zum Thema Nutzung für Unternehmen:
Quelle: habr.com
