Le projet Geneva développe un moteur pour automatiser la contournement de la censure du trafic.

Des chercheurs de l'université du Maryland, dans le cadre d'un projet Genève ont tenté de créer un moteur pour automatiser l'identification des méthodes utilisées pour censurer l'accès au contenu. Essayer manuellement de contourner les failles des systèmes d'inspection approfondie des paquets (DPI) est un processus assez difficile et long. À Genève, ils ont essayé d'utiliser un algorithme génétique pour évaluer les caractéristiques des DPI, identifier les erreurs d'implémentation et élaborer une stratégie optimale de contournement pour le client. Le code du projet est écrite est écrit en Python.

Le matériel DPI utilisé pour le blocage a ses lacunes, permettant de masquer l'accès à des ressources interdites ou d'éviter le blocage. Par exemple, dans le cas le plus simple, lors de l'organisation du blocage via une réponse fictive (utilisée par les DPI passifs), il suffit pour le client de rejeter la réponse fictive envoyée par le DPI. En cas de DPI actif, il est possible d'essayer de cacher le fait même d'accéder à un site bloqué, en modifiant légèrement les paramètres de la requête HTTP (par exemple, en ajoutant un espace supplémentaire après « GET »), en divisant en plusieurs paquets les données de négociation de la connexion TLS ou en exécutant des attaques TCB Teardown et TCB Desync. L'essence des attaques mentionnées consiste à envoyer d'abord un paquet fictif avec des données ou des drapeaux RST/ACK, qui ne sera pas reçu par l'hôte ciblé, mais capté par le DPI, lequel prendra une décision sur cette base et n'analysera pas le paquet suivant contenant la véritable requête (par exemple, dans le premier paquet fictif, on peut spécifier un autre SNI, et pour masquer ce paquet de l'hôte ciblé, on peut attribuer un TTL faible, ainsi qu'un checksum, des drapeaux ou un numéro de séquence TCP incorrect).

Genève essaie d'élaborer une méthode de contournement du DPI, en utilisant quatre primitives de base pour manipuler les paquets réseau : rejet, modification des en-têtes, duplication et fragmentation. Pour déterminer la stratégie optimale, un algorithme génétique est appliqué, modélisant des processus similaires à la sélection naturelle, à travers la combinaison aléatoire de différentes options de manipulation des paquets. En fin de compte, les primitives sont combinées en un « arbre d'actions » qui définit l'algorithme de contournement du DPI.

align=top

Le projet Geneva a été testé avec succès pour contourner les méthodes de censure utilisées en Chine, en Inde et au Kazakhstan, notamment grâce à Geneva, plusieurs nouvelles failles ont été découvertes qui n'étaient pas connues auparavant. Cependant, Geneva est efficace uniquement pour contourner les blocages basés sur le DPI, et il est inutile en cas de blocage par adresse IP, rendant l'utilisation d'un VPN indispensable. détecté des dizaines de stratégies types de contournement du DPI qui peuvent être testées immédiatement sans analyse complète, par exemple :

python3 engine.py —server-port 80 —strategy «[TCP:flags:PA]-duplicate(tamper{TCP:dataofs:replace:10} tamper{TCP:chksum:corrupt},),)-|» —log debug

2020-01-24 20:54:41 DEBUG:[ENGINE] Moteur créé avec la stratégie \/ (ID bm3kdw3r) pour le port 80
2020-01-24 20:54:41 DEBUG:[ENGINE] Configuration des règles iptables
2020-01-24 20:54:41 DEBUG:[ENGINE] iptables -A OUTPUT -p tcp —sport 80 -j NFQUEUE —queue-num 1
2020-01-24 20:54:41 DEBUG:[ENGINE] iptables -A INPUT -p tcp —dport 80 -j NFQUEUE —queue-num 2
2020-01-24 20:54:41 DEBUG:[ENGINE] iptables -A OUTPUT -p udp —sport 80 -j NFQUEUE —queue-num 1
2020-01-24 20:54:41 DEBUG:[ENGINE] iptables -A INPUT -p udp —dport 80 -j NFQUEUE —queue-num 2

Source : opennet.ru