Kina Sve HTTPS veze koje koriste TLS 1.3 protokol i TLS ekstenziju ESNI (Encrypted Server Name Indication), koja šifrira podatke o traženom hostu, blokirane su na tranzitnim usmjerivačima, kako za veze iz Kine prema vanjskom svijetu, tako i iz vanjskog svijeta prema Kini.
Blokiranje se izvodi odbacivanjem paketa s klijenta na poslužitelj, umjesto zamjenom paketa RST zastavom, što se prije izvodilo tijekom selektivnog blokiranja na temelju SNI sadržaja. Nakon što je paket s ESNI-jem blokiran, svi mrežni paketi koji odgovaraju izvornoj IP adresi, odredišnoj IP adresi i broju odredišnog porta također se blokiraju na 120 do 180 sekundi. HTTPS veze temeljene na starijim verzijama TLS-a i TLS 1.3 bez ESNI-ja dopuštene su kao i obično.
Podsjećamo, SNI ekstenzija je razvijena kako bi omogućila rad više HTTPS stranica na jednoj IP adresi. Prenosi naziv hosta u običnom tekstu u poruci ClientHello, koja se šalje prije uspostavljanja šifriranog komunikacijskog kanala. Ova značajka omogućuje pružateljima internetskih usluga selektivno filtriranje HTTPS prometa i analizu stranica koje korisnik posjećuje, što sprječava potpunu privatnost pri korištenju HTTPS-a.
Novo TLS proširenje ECH (ranije ESNI), koje se može koristiti zajedno s TLS 1.3, rješava ovaj nedostatak i u potpunosti eliminira curenje informacija o traženoj web stranici prilikom analize HTTPS veza. U kombinaciji s pristupom putem mreže za isporuku sadržaja, korištenje ECH/ESNI također omogućuje skrivanje IP adrese traženog resursa od davatelja usluga. Sustavi za inspekciju prometa vidjet će samo zahtjeve prema CDN-u i neće moći blokirati promet bez lažiranja TLS sesije, u kojem slučaju će se u pregledniku korisnika prikazati odgovarajuća obavijest o lažiranju certifikata. DNS ostaje mogući kanal curenja, ali klijent može koristiti DNS-over-HTTPS ili DNS-over-TLS za skrivanje DNS pristupa.
Istraživači već Postoji nekoliko zaobilaznih rješenja za zaobilaženje kineskog blokiranja i na strani klijenta i na strani poslužitelja, ali ona mogu postati zastarjela i treba ih smatrati samo privremenom mjerom. Na primjer, trenutno se primaju samo paketi s ESNI identifikatorom ekstenzije 0xffce (šifrirani_naziv_poslužitelja), koji se koristio u , ali za sada paketi s trenutnim identifikatorom 0xff02 (encrypted_client_hello), predloženi u .
Drugo rješenje je korištenje nestandardnog postupka pregovora o vezi. Na primjer, blokiranje se ne pokreće prethodnim slanjem dodatnog SYN paketa s nevažećim slijednim brojem, manipuliranjem zastavicama fragmentacije paketa, slanjem paketa s postavljenim i FIN i SYN zastavicama, zamjenom RST paketa netočnim kontrolnim zbrojem ili slanjem paketa s obje SYN i ACK zastavicama prije početka pregovora o vezi. Ove metode su već implementirane kao dodatak za alat. , zaobići metode cenzure.
Izvor: opennet.ru
