🥇 Expérience CacheBrowser : contournement du pare-feu chinois sans proxy grâce au caching du contenu

Image : Unsplash

Aujourd'hui, une grande partie de tout le contenu sur Internet est distribué via des réseaux CDN. Des recherches ont été menées sur la manière dont divers censeurs exercent leur influence sur ces réseaux. Des scientifiques de l'université du Massachusetts ont analysé ont examiné les méthodes possibles de blocage du contenu CDN en prenant exemple sur les pratiques des autorités chinoises, et ont également développé un outil pour contourner ces blocages.

Nous avons préparé un document récapitulatif avec les principales conclusions et résultats de cette expérience.

Introduction

La censure est une menace globale pour la liberté d'expression sur Internet et l'accès à l'information. Cela est en grande partie possible parce qu'Internet a emprunté le modèle de « communication de bout en bout » des réseaux téléphoniques des années 70. Cela permet de bloquer l'accès au contenu ou la communication des utilisateurs sans effort ou coût significatif, simplement sur la base de l'adresse IP. Il existe plusieurs méthodes, allant du blocage de l'adresse elle-même avec du contenu interdit jusqu'à empêcher les utilisateurs d'en prendre connaissance en manipulant le DNS.

Cependant, le développement d'Internet a également conduit à l'émergence de nouveaux moyens de diffusion d'informations. L'un d'eux est l'utilisation de contenu mis en cache pour améliorer les performances et accélérer les communications. Aujourd'hui, les fournisseurs de CDN traitent un volume significatif de l'ensemble du trafic mondial, Akamai, qui est le leader dans ce segment, représentant jusqu'à 30 % du trafic web statique mondial.

Un réseau CDN est un système distribué pour la livraison de contenu Internet à la vitesse maximale. Un réseau CDN typique est composé de serveurs situés à différents points géographiques qui mettent en cache le contenu afin de le « livrer » aux utilisateurs qui se trouvent le plus près de ce serveur. Cela permet d'améliorer considérablement la vitesse des communications en ligne.

En plus d'améliorer la qualité de service pour les utilisateurs finaux, l'hébergement CDN aide les créateurs de contenu à faire évoluer leurs projets tout en réduisant la charge sur l'infrastructure.

Censure du contenu CDN

Bien que le trafic CDN représente déjà une part significative de toutes les informations transmises sur Internet, il y a encore très peu de recherches sur la manière dont les censeurs du monde réel abordent son contrôle.

Les auteurs de l'étude ont commencé par examiner les techniques de censure qui peuvent être appliquées aux CDN. Ensuite, ils ont étudié les mécanismes réels utilisés par les autorités chinoises.

Commençons par discuter des méthodes potentielles de censure et de leur applicabilité au contrôle des CDN.

Filtrage par IP

C'est la technique de censure la plus simple et la moins coûteuse pour Internet. En appliquant cette approche, le censeur identifie et inscrit sur liste noire les adresses IP des ressources hébergeant du contenu interdit. Ensuite, les fournisseurs d'accès Internet soumis à ce contrôle cessent de livrer les paquets destinés à ces adresses.

Le blocage basé sur l'IP est l'une des méthodes les plus courantes de censure d'Internet. La plupart des équipements réseau commerciaux sont dotés de fonctionnalités permettant d'effectuer de tels blocages sans coût computationnel significatif.

Cependant, cette méthode n'est pas très adaptée pour bloquer le trafic CDN en raison de certaines propriétés de la technologie elle-même :

Mise en cache distribuée Pour assurer la meilleure disponibilité du contenu et optimiser les performances, les réseaux CDN mettent en cache le contenu des utilisateurs sur un grand nombre de serveurs edge, situés dans des emplacements géographiquement dispersés. Afin de filtrer ce contenu sur la base de l'IP, le censeur doit connaître les adresses de tous les serveurs edge et les inscrire sur liste noire. Cela nuirait aux principales caractéristiques de la méthode, car son principal avantage est qu'avec un schéma classique, le blocage d'un seul serveur permet de « couper » l'accès à un contenu interdit pour un grand nombre de personnes.
IP partagés Les fournisseurs CDN commerciaux partagent leur infrastructure (c'est-à-dire les serveurs edge, le système de cartographie, etc.) entre de nombreux clients. Par conséquent, le contenu CDN interdit est chargé à partir des mêmes adresses IP que le contenu autorisé. Toute tentative de filtrage par IP entraînera donc le blocage d'un grand nombre de sites et de contenus qui n'intéressent pas les censeurs.
Attribution dynamique d'IP Pour optimiser l'équilibrage de la charge et améliorer la qualité du service, le mappage entre les serveurs edge et les utilisateurs finaux se fait très rapidement et dynamiquement. Par exemple, Akamai met à jour les adresses IP retournées chaque minute. Cela rend presque impossible le processus de liaison des adresses à du contenu interdit.

Interférence DNS

Outre le filtrage IP, une autre méthode populaire de censure est l'interférence DNS. Cette approche implique des actions des censeurs visant à empêcher les utilisateurs de connaître les adresses IP des ressources contenant du contenu interdit. En d'autres termes, l'intervention se produit au niveau de la résolution des noms de domaine. Il existe plusieurs façons de faire cela, y compris l'empoisonnement de connexions DNS, l'utilisation de la technique de DNS poisoning, et le blocage des requêtes DNS vers des sites interdits.

C'est une méthode de blocage très efficace, mais elle peut être contournée en utilisant des méthodes non conventionnelles de résolution DNS, telles que des canaux hors bande. Par conséquent, les censeurs combinent généralement le blocage DNS avec l'utilisation de filtrage IP. Cependant, comme mentionné ci-dessus, le filtrage IP n'est pas efficace pour censurer le contenu CDN.

Filtrage par URL/Mots-clés via DPI

Les équipements modernes de surveillance de l'activité réseau peuvent être utilisés pour analyser des URL spécifiques et des mots-clés dans les paquets de données transmis. Cette technologie est appelée DPI (deep packet inspection). De tels systèmes identifient les mentions de mots et de ressources interdites, entraînant une intervention dans les communications en ligne. En fin de compte, les paquets sont simplement rejetés.

Cette méthode est efficace, mais plus complexe et gourmande en ressources, car elle nécessite la défragmentation de tous les paquets de données envoyés dans le cadre de flux définis.

Le contenu CDN peut être protégé contre ce type de filtrage de la même manière que le contenu « normal » – dans les deux cas, l'utilisation du chiffrement (c'est-à-dire HTTPS) est bénéfique.

En plus d'utiliser le DPI pour rechercher des mots-clés ou des URL de ressources interdites, ces outils peuvent être utilisés pour une analyse plus avancée. Ces méthodes incluent l'analyse statistique du trafic en ligne/hors ligne et l'analyse des protocoles d'identification. Ces méthodes sont extrêmement gourmandes en ressources et, à l'heure actuelle, il n'existe tout simplement pas de preuves suffisamment convaincantes de leur utilisation par les censeurs dans un volume significatif.

Autocensure des fournisseurs de CDN

Si le censeur est l'État, il a tous les moyens d'interdire l'activité dans le pays à ceux des fournisseurs de CDN qui ne se conforment pas à la législation locale régissant l'accès au contenu. On ne peut rien faire contre l'autocensure - donc si une entreprise de CDN est intéressée à opérer dans un pays donné, elle sera contrainte de respecter les lois locales, même si celles-ci limitent la liberté d'expression.

Comment la Chine censure le contenu CDN

Le grand pare-feu chinois est non sans raison considéré comme le système le plus efficace et avancé pour garantir la censure d'internet.

Méthodologie de recherche

Les chercheurs ont réalisé des expériences à l'aide d'un nœud Linux situé en Chine. Ils avaient également accès à plusieurs ordinateurs à l'étranger. Tout d'abord, les chercheurs ont vérifié ce qui était censuré à partir du nœud, de manière analogue à celle appliquée à d'autres utilisateurs chinois – pour cela, ils ont essayé d'ouvrir divers sites interdits depuis cette machine. Ainsi, la présence du même niveau de censure a été confirmée.

La liste des sites bloqués en Chine utilisant des CDN a été obtenue à partir du site GreatFire.org. Ensuite, une analyse de la méthode de blocage a été effectuée dans chaque cas.

Selon les données ouvertes, le seul grand acteur du marché CDN avec une infrastructure propre en Chine est Akamai. D'autres fournisseurs impliqués dans l'étude comprennent : CloudFlare, Amazon CloudFront, EdgeCast, Fastly et SoftLayer.

Au cours des expériences, les chercheurs ont découvert les adresses des serveurs edge d'Akamai dans le pays, puis ont essayé d'accéder à un contenu autorisé mis en cache via ceux-ci. L'accès à un contenu interdit n'a pas pu être obtenu (une erreur HTTP 403 Forbidden était renvoyée) – il est évident que l'entreprise effectue une autocensure pour conserver la possibilité d'opérer dans le pays. Cependant, en dehors du pays, l'accès à ces ressources restait ouvert.

Les fournisseurs sans infrastructure en Chine n'utilisent pas d'auto-censure pour les utilisateurs locaux.

Pour les autres fournisseurs, la méthode de blocage la plus couramment utilisée est la filtration DNS : les requêtes vers des sites bloqués sont résolues en adresses IP incorrectes. Ainsi, le pare-feu ne bloque pas les serveurs edge du CDN, car ils contiennent à la fois des informations interdites et autorisées.

Et si, dans le cas du trafic non crypté, les autorités ont la possibilité de bloquer des pages spécifiques de sites Web à l'aide de DPI, lors de l'utilisation de HTTPS, elles ne peuvent que restreindre l'accès à l'ensemble du domaine. Cela entraîne également le blocage de contenu autorisé.

De plus, en Chine, il existe également des fournisseurs de CDN locaux, tels que ChinaCache, ChinaNetCenter et CDNetworks. Toutes ces entreprises respectent pleinement la législation du pays et bloquent le contenu interdit.

CacheBrowser : un outil pour contourner les blocages à l'aide de CDN

Une analyse a montré qu'il est assez difficile pour les censeurs de bloquer le contenu CDN. Par conséquent, les chercheurs ont décidé d'aller plus loin et de développer un outil pour contourner les blocages en ligne qui ne s'appuie pas sur la technologie proxy.

L'idée principale de l'outil est que pour bloquer le CDN, les censeurs doivent interférer avec le fonctionnement du DNS, mais pour charger le contenu CDN, il n'est en réalité pas nécessaire d'utiliser la résolution des noms de domaine. Ainsi, l'utilisateur peut obtenir le contenu souhaité en s'adressant directement au serveur edge, où il est déjà mis en cache.

Le schéma ci-dessous présente le dispositif du système.

Un logiciel client est installé sur l'ordinateur de l'utilisateur, et un navigateur standard est utilisé pour accéder au contenu.

Lorsque l'URL ou une partie d'un contenu déjà demandé est sollicitée, le navigateur envoie une requête au serveur DNS local (LocalDNS) pour obtenir l'adresse IP de l'hébergement. Le DNS normal n'est interrogé que pour les domaines qui ne sont pas encore dans la base de données LocalDNS. Le module Scraper parcourt en permanence les URL demandées et recherche dans la liste des noms de domaine potentiellement bloqués. Ensuite, le Scraper fait appel au module Resolver pour résoudre les nouveaux domaines bloqués découverts, ce module exécute la tâche et ajoute l'entrée au LocalDNS. Le cache DNS du navigateur est ensuite vidé pour supprimer les enregistrements DNS existants pour le domaine bloqué.

Si le module Resolver ne parvient pas à comprendre à quel fournisseur CDN appartient le domaine, il demandera de l'aide au module Bootstrapper.

Comment cela fonctionne en pratique

Le logiciel client du produit a été réalisé pour Linux, mais il peut facilement être porté également sous Windows. Un navigateur standard est utilisé, à savoir Mozilla
Firefox. Les modules Scraper et Resolver sont écrits en Python, et les bases de données Customer-to-CDN et CDN-to-IP sont stockées dans des fichiers .txt. Le fichier /etc/hosts sous Linux sert de base de données pour LocalDNS.

Au final, pour une URL bloquée de type blocked.com le script obtiendra l'adresse IP du serveur d'edge à partir du fichier /etc/hosts et enverra une requête HTTP GET pour accéder à BlockedURL.html avec les champs d'en-tête HTTP Host :

blocked.com/ et User-Agent : Mozilla/5.0 (Windows NT 5.1; rv:14.0) Gecko/20100101 Firefox/14.0.1

Le module Bootstrapper a été réalisé avec l'outil gratuit digwebinterface.com. Ce résolveur DNS ne peut pas être bloqué et répond aux requêtes DNS au nom de nombreux serveurs DNS géographiquement dispersés dans diverses régions réseau.

Grâce à cet outil, les chercheurs ont pu accéder à Facebook depuis leur nœud chinois, bien que le réseau social soit depuis longtemps bloqué en Chine.

Conclusion

L'expérience a montré que les difficultés rencontrées par les censeurs pour tenter de bloquer le contenu CDN peuvent être utilisées pour créer un système de contournement des blocages. Un tel outil permet de contourner les blocages même en Chine, où l'un des systèmes de censure en ligne les plus puissants est en vigueur.

D'autres articles sur l'utilisation de proxy résidentiels pour les entreprises :

Source : habr.com

Expérience CacheBrowser : contourner le pare-feu chinois sans proxy en utilisant le caching de contenu