Kína elkezdte blokkolni az HTTPS kapcsolatok létrehozását a TLS 1.3 és az ESNI protokollal.

Kína bevezette a blokkolást minden HTTPS-kapcsolat esetén, amely a TLS 1.3 protokollt és az ESNI (Encrypted Server Name Indication) TLS-kiterjesztést használja, amely titkosítja a kérdezett hosztra vonatkozó adatokat. A blokkolás tranzitútválasztókon történik, mind a Kínából a külvilágba, mind a külvilágból Kínába irányuló kapcsolatok esetén.

A blokkolás a kliens és a szerver közötti csomagok eldobása révén valósul meg, nem pedig a korábban alkalmazott RST zászlóval rendelkező csomagok behelyettesítésével, amely a SNI tartalmának szelektív blokkolására szolgált. Az ESNI csomag blokkolása után 120 és 180 másodperc között minden, a forrástól származó IP, a céligényelt IP és a célport számának egyesítésével származó hálózati csomag is blokkolásra kerül. A régebbi TLS verziók és az ESNI nélküli TLS 1.3 alapú HTTPS-kapcsolatok normál módon átengedésre kerülnek.

Emlékeztetjük, hogy a több HTTPS-weboldal egy IP-címen történő működtetésére az SNI kiterjesztést fejlesztették ki, amely a ClientHello üzenetben, a titkosított kapcsolat létrehozása előtt, nyílt formában továbbítja a hosztnévét. Ez a tulajdonság lehetővé teszi az internetszolgáltató számára, hogy szelektíven szűrje a HTTPS-forgalmat, és elemezze, hogy a felhasználó milyen weboldalakat nyit meg, ami nem teszi lehetővé a teljes magánélet megőrzését a HTTPS alkalmazásával.

Az új TLS-kiterjesztés, az ECH (korábban ESNI), amely a TLS 1.3-mal együtt alkalmazható, megszünteti ezt a hátrányt, és teljes mértékben kizárja a kért weboldalra vonatkozó információk kiszivárgását a HTTPS-kapcsolatok elemzése során. A tartalomkézbesítő hálózaton való kereséssel kombinálva az ECH/ESNI alkalmazása lehetővé teszi, hogy a szolgáltató elől elrejtsük a kérdezett erőforrás IP-címét is. A forgalmi ellenőrző rendszerek csak a CDN-hez irányuló kérelmeket fogják látni, és nem tudják alkalmazni a blokkolást TLS-munkamenet hamisítása nélkül, amely esetén a felhasználó böngészőjében megfelelő értesítés jelenik meg a tanúsítvány hamisításáról. A DNS továbbra is lehetséges szivárgási csatorna marad, de a kliens DNS-lekérdezésének elrejtésére DNS-over-HTTPS vagy DNS-over-TLS alkalmazható.

A kutatók már felfedeztek Több kiskapu van a kínai blokkolás ügyfél- és szerveroldali megkerülésére, de ezek elavulhatnak, és csak átmeneti megoldásként kell kezelni őket. Például jelenleg csak az ESNI 0xffce (encrypted_server_name) kiterjesztési azonosítóval rendelkező csomagokat blokkolják, amelyet a standard tervezet ötödik verziójábanhasználnak, de a 0xff02 (encrypted_client_hello) aktuális azonosítóval rendelkező csomagok átengedésre kerülnek, amelyet javasoltak a ECH specifikáció hetedik tervezetének.

Másik megoldásként nem szabványos kapcsolódási előkészítési folyamat alkalmazható, például a blokkolás nem lép életbe, ha egy hamis sorrendi számú SYN-csomagot előre küldenek, manipulációk csomagfragmentációs zászlókkal, FIN és SYN zászlókkal rendelkező csomag küldése, hibás ellenőrző összeggel rendelkező RST-csomag becsatolása, vagy a kapcsolódás előkészítése előtt SYN és ACK zászlókkal rendelkező csomag küldése. Az itt leírt módszereket már megvalósították egy plugin formájában a Genf, fejlesztett cenzúrázási módszerek megkerülésére.

Forrás: opennet.ru