🥇Eksperiment CacheBrowser: Hiina tulemüüri ületamine ilma proksita sisu vahemälastamise abil

Pilt: Unsplash

Täna levib suur osa kogu interneti sisust CDN-võrkude kaudu. Samuti on uuritud, kuidas erinevad tsensuurijad levitavad oma mõju sellistes võrkudes. Massachusettsi ülikooli teadlased analüüsisid on välja töötanud võimalikke meetodeid CDN-sisu blokeerimise näitel Hiina ametivõimude praktikate, samuti tööriista selle blokeeringu vältimiseks.

Oleme koostanud ülevaate peamistest järeldustest ja katse tulemustest.

Sissejuhatus

Tsensuur on globaalne oht sõnavabadusele internetis ja vaba ligipääsule informatsioonile. Suures osas on see võimalik, kuna internet on laenanud „lõpp-otsaga kommunikatsiooni“ mudeli 70-ndate aastate telefonivõrkudest. See võimaldab blokeerida juurdepääsu sisule või kasutajate suhtlemise ilma tõsiste pingutusteta või kuludeta lihtsalt IP-aadressi põhjal. Siin on mõned meetodid, alates keelatud sisu IP-aadressi täielikust blokeerimisest kuni kasutajate blokeerimiseni, et nad isegi ei saaks selle kohta teavet DNS-manipulatsioonide abil.

Kuid interneti areng on toonud kaasa ka uusi viise info levitamiseks. Üks neist on vahemä cached-sisu kasutamine, et parandada jõudlust ja kiirendada kommunikatsiooni. Täna töötlevad CDN-teenusepakkujad suurt osa kogu maailmas edastatavast liiklusest – ainult juhtiv sellel segmendis olev Akamai vastutab kuni 30% globaalsest staatilisest veebiliiklusest.

CDN-võrk on jaotatud süsteem interneti sisu edastamiseks maksimaalse kiiruseni. Tüüpiline CDN-võrk koosneb serveritest erinevates geograafilistes punktides, mis vahemä cache'ivad sisu, et edastada seda neile kasutajatele, kes asuvad kõige lähemal sellele serverile. See võimaldab märkimisväärselt suurendada online-kommunikatsiooni kiirust.

Peale kasutajakogemuse kvaliteedi parandamise aitab CDN-majutus sisuloojatel oma projekte skaleerida, vähendades infrastruktuurile pandud koormust.

CDN-sisu tsenseerimine

Olgugi et CDN-liiklus moodustab juba märkimisväärse osa kogu interneti kaudu edastatavast informatsioonist, ei ole ikka veel praktiliselt olnud uuringuid selle kohta, kuidas reaalmaailma tsensuurijad selle kontrollimisega tegelevad.

Uuringu autorid alustasid CDN-i tõkestamismeetodite uurimist, uurides seejärel Hiina võimude rakendatavaid reaalmehanisme.

Esiteks räägime võimalike tõkestamismeetodite ja nende rakendamise võimalustest CDN-i kontrollimiseks.

IP-põhine filtreerimine

See on kõige lihtsam ja odavam interneti tõkestamistehnika. Selle lähenemise korral määrab tsensor ja lisab musta nimekirja IP-aadressid, mida sisaldavad keelatud sisu. Seejärel lõpetavad allutatud internetiteenuse pakkujad pakettide edastamise neile aadressidele.

IP-põhine blokeerimine on üks levinumaid interneti tõkestamismeetodeid. Enamikul kaubanduslikest võrgu seadmetest on selliste blokeeringute rakendamiseks funktsioonid, mis ei nõua suuri arvutusressursse.

Kuid see meetod ei sobi hästi CDN-i liikluse blokeerimiseks, kuna selle tehnoloogia omadused:

Jaotatud vahemälud – parima kättesaadavuse ja jõudluse optimeerimise tagamiseks vahemälestavad CDN-võrgud kasutajate sisu paljudes geograafiliselt jaotatud edge-serverites. Selle sisu IP-põhiseks filtreerimiseks peab tsensor teadma kõigi edge-serverite aadresse ja lisama need musta nimekirja. See lööb meetodi peamistele omadustele, kuna selle peamine eelis on see, et ühe serveri blokeerimine võimaldab „katkestada“ juurdepääsu keelatud sisule kohe paljudele inimestele.
Jagatud IP-d – kaubanduslikud CDN-teenuse pakkujad jagavad oma infrastruktuuri (st edge-serverid, kaardistamissüsteem jne) paljude klientide vahel. Selle tulemusena laaditakse keelatud CDN-sisu sama IP-aadressilt, mis ka mitte-keelatud sisu. Selle tulemusena toob igasugune IP-filtreerimise katse kaasa selle, et blokeeritakse palju veebisaite ja sisu, mis ei huvita tsensoreid.
Kõrge dünaamiline IP-anda – koormuse tasakaalu optimeerimise ja teenusete kvaliteedi parandamise huvides kaardistatakse edge-serverid ja lõppkasutajad väga kiiresti ja dünaamiliselt. Näiteks uuendab Akamai tagastatavaid IP-aadresse iga minuti tagant. See muudab peaaegu võimatuks adresseerimise sidumise keelatud sisuga.

DNS-sekkumine

Lisaks IP-filtreerimisele on veel üks populaarne tsenseerimise meetod DNS-sekkumine. See lähenemine hõlmab tsenseerijate tegevusi, mis on suunatud sellele, et kasutajad ei saaks isegi keelatud sisu IP-aadresse teada. See tähendab, et sekkumine toimub domeeninimede lahendamise tasandil. On mitmeid viise, kuidas seda teha, sealhulgas DNS-seoste häkkimine, DNS-mürgitamise tehnika kasutamine, keelatud saitide DNS-päringute blokeerimine.

See on väga tõhus blokeerimismeetod, kuid seda saab ületada, kui kasutada mittejärgnevate DNS-lahendamise meetodeid, näiteks väljaspool bändi kanaleid. Seetõttu kombineerivad tsenseerijad tavaliselt DNS-blokeerimise IP-filtreerimisega. Kuid nagu eelnevalt mainitud, ei ole IP-filtreerimine CDN-sisu tsenseerimiseks tõhus.

URL-i / võtmesõnade filtreerimine DPI kaudu

Kaasaegset võrgutegevuse jälgimise seadmed saab kasutada edastatud andmepakkides konkreetsete URL-ide ja võtmesõnade analüüsimiseks. Seda tehnoloogiat nimetatakse DPI (sügavpaketi kontroll). Sellised süsteemid leiavad keelatud sõnade ja ressursside mainimisi, pärast mida sekkutakse veebikommunikatsiooni. Lõpuks pakette lihtsalt visatakse välja.

See meetod on tõhus, kuid keerulisem ja ressursimahukam, kuna see nõuab kõigi andmepakkide defragmentimist, mis saadetakse teatud voogude raames.

CDN-sisu saab kaitsta sellise filtreerimise eest nagu ka 'tavalist' sisu - mõlemal juhul aitab krüpteerimise kasutamine (st HTTPS).

Lisaks DPI kasutamisele, et tuvastada keelatud ressursside võtmesõnu või URL-e, saab neid tööriistu kasutada ka täiustatud analüüsi jaoks. Nendeks meetoditeks on statistiline analüüs võrgu-/offline-liiklusest ja identifitseerimisprotokollide analüüs. Need meetodid on äärmiselt ressursimahukad ja hetkel puuduvad tõendid nende rohkest kasutamisest tsensuurijate seas.

Enesetsensuur CDN-teenusepakkujatelt

Kui tsensor on riik, siis on tal kõik võimalused keelata tegevus riigis neile CDN-teenusepakkujatele, kes ei järgi kohalikke seadusi, mis reguleerivad juurdepääsu sisule. Enesetsensuurile ei saa kuidagi vastu seista – seega, kui CDN-teenusepakkuja on huvitatud tegevusest mõnes riigis, peab ta järgima kohalikke seadusi, isegi kui need piiravad sõnavabadust.

Kuidas Hiina tsensoreerib CDN-sisu

Suure Hiina tulemüür on põhjusega üks tõhusamaid ja arenenumaid süsteeme interneti tsensuuri tagamiseks.

Uuringu metodoloogia

Teadlased viisid eksperimente läbi Linuxi sõlmega, mis asus Hiinas. Neil oli samuti juurdepääs mitmele arvutile riigist väljas. Esiteks kontrollisid teadlased, mis on lahti lukustatud Hiina kasutajatele kehtiva tsensuuri järgi – selleks prooviti avada nende masinate kaudu erinevaid keelatud veebisaite. Nii kinnitati, et tsensuuritase on sama.

Hiinas blokeeritud CDN-i veebisaitide nimekiri laeti GreatFire.org lehelt. Seejärel analüüsiti blokeerimise meetodeid igas konkreetses juhtumis.

Avatud andmete kohaselt on ainus suur mängija CDN-turul, kellel on Hiinas oma infrastruktuur, Akamai. Teised uurimises osalenud teenusepakkujad: CloudFlare, Amazon CloudFront, EdgeCast, Fastly ja SoftLayer.

Eksperimentide käigus leidsid teadlased Akamai ääreserverite aadressid riigis ja proovisid neist tuua vahemälustatud lubatud sisu. Keelatud sisule juurdepääsu ei saadud (tagastati viga HTTP 403 Forbidden) – ilmselt praktiseerib ettevõte enesetsensuuri, et säilitada võimalus riigis tegutseda. Samas, riigist väljas oli sellele sisule juurdepääs endiselt avatud.

Ilma infrastruktuuriga teenusepakkujad Hiinas ei kasuta kohalike kasutajate jaoks enesetsensuuri.

Muude teenusepakkujate puhul on kõige sagedamini kasutatud blokaadimeetodiks DNS-i filtreerimine – blokeeritud veebilehtedele tehtud päringud suunatakse valele IP-aadressile. Samas, tulemüür ei blokeeri ise CDN-i edge-servereid, kuna need salvestavad nii keelatud kui ka lubatud teavet.

Ja kui määramata liikluse puhul on ametivõimudel võimalik blokeerida konkreetseid veebilehtede lehti DPI abil, siis HTTPS-i kasutamisel saavad nad keelata ligipääsu kogu domeenile. See toob kaasa ka lubatud sisu blokeerimise.

Lisaks on Hiinas ka omad CDN-teenusepakkujad, mille hulka kuuluvad sellised võrgud nagu ChinaCache, ChinaNetCenter ja CDNetworks. Kõik need ettevõtted järgivad riigi seadusi ja blokeerivad keelatud sisu.

CacheBrowser: tööriist, mis aitab üle saada blokeeringutest kasutades CDN-i

Analüüsi põhjal on tsensoreil piisavalt raske blokeerida CDN-i sisu. Seetõttu otsustasid teadlased minna edasi ja töötada välja veebiblokeeringute ületamise tööriist, mis ei kasutaks proksi-tehnoloogiat.

Tööriista põhieesmärk on see, et tsensoreil on CDN-i blokeerimiseks vaja sekkuda DNS-i toimimisse, kuid CDN-i sisu laadimiseks pole tegelikult oluline kasutada domeeninimede lahendamist. Sel viisil saab kasutaja vajaliku sisu otse edge-serverisse pöördudes, kus see juba vahemälus on.

Alloleval diagrammil on kujutatud süsteemi seadistust.

Kasutaja arvutisse paigaldatakse klienditarkvara, et sisu juurde pääseda kasutatakse tavalist brauserit.

URL-i või osa juba küsitletud sisust pärides saadab veebibrauser päringu kohaliku DNS-süsteemi (LocalDNS) IP-aadressi saamiseks. Tavaline DNS-päringuv hõlmab vaid domeene, mis ei ole veel LocalDNS-i andmebaasis. Scraperi moodul sirvib pidevalt küsitud URL-e ja otsib potentsiaalselt blokeeritud domeeninimesid. Seejärel pöördub Scraper Resolveri mooduli poole, et lahendada uued tuvastatud blokeeritud domeenid, see moodul täidab ülesande ja lisab kirje LocalDNS-i. Seejärel puhastatakse brauseri DNS-vahemälu, et eemaldada olemasolevad DNS-kirjed blokeeritud domeeni jaoks.

Kui Resolveri moodul ei saa aru, millisele CDN-teenuse pakkujale domeen kuulub, palub ta abi Bootstrapperi moodulilt.

Kuidas see praktikas toimib

Toote klienditarkvara on realiseeritud Linuxile, kuid seda on lihtne ka Windowsile portida. Brauserina kasutatakse tavalist Mozilla
Firefoxi. Scraperi ja Resolveri moodulid on kirjutatud Pythonis ning Customer-to-CDN ja CDN-to-IP andmebaasid on talletatud .txt-failides. LocalDNS andmebaasiks on tavaline fail /etc/hosts Linuxis.

Lõppkokkuvõttes, blokeeritud URL-i puhul nagu blocked.com käsib skript edge-serveri IP-aadressi saada failist /etc/hosts ja saadab HTTP GET päringu, et pääseda juurde BlockedURL.html, mille HTTP-pealkirjas on väljad Host:

blocked.com/ ja User-Agent: Mozilla/5.0 (Windows NT 5.1; rv:14.0) Gecko/20100101 Firefox/14.0.1

Bootstrapperi moodul on rakendatud tasuta tööriista digwebinterface.com abil. Seda DNS-resoluutorit ei saa blokeerida ja see vastab DNS-päringutele mitmesugustelt geograafiliselt jaotatud DNS-serveritelt erinevates võrgupiirkondades.

Selle tööriista abil suutsid teadlased oma hiina sõlme kaudu pääseda Facebooki – kuigi sotsiaalmeediateenus on Hiinas juba ammu blokeeritud.

Kokkuvõte

Eksperiment näitas, et sensuuride poolt CDN-sisu blokeerimiseks esinevaid probleeme saab kasutada blokeeringuülese süsteemi loomiseks. Selline tööriist võimaldab blokeeringud ületada isegi Hiinas, kus toimib üks kõige võimsamaid online-tsensuuri süsteeme.