🥇Esperimento CacheBrowser: come superare il firewall cinese senza proxy usando il caching dei contenuti

Immagine: Unsplash

Oggi una parte significativa di tutto il contenuto su Internet viene distribuita utilizzando reti CDN. In questo contesto, ci sono studi su come i vari censori esercitano la loro influenza su tali reti. Ricercatori dell'Università del Massachusetts hanno analizzato hanno esaminato possibili metodi per bloccare i contenuti CDN prendendo come esempio le pratiche delle autorità cinesi e hanno sviluppato uno strumento per aggirare tali blocchi.

Abbiamo preparato un materiale di sintesi con le principali conclusioni e i risultati di questo esperimento.

Introduzione

La censura è una minaccia globale per la libertà di parola su Internet e per l'accesso alle informazioni. Gran parte di ciò è possibile grazie al fatto che Internet ha preso in prestito il modello di "comunicazione end-to-end" dalle reti telefoniche degli anni '70. Ciò consente di bloccare l'accesso ai contenuti o la comunicazione degli utenti senza seri sforzi o costi, semplicemente basandosi sull'indirizzo IP. Qui ci sono diversi modi che vanno dal blocco dell'indirizzo stesso con contenuti vietati al blocco della possibilità per gli utenti di scoprirlo tramite manipolazioni DNS.

Tuttavia, lo sviluppo di Internet ha portato anche alla nascita di nuovi modi per distribuire le informazioni. Uno di questi è l'uso di contenuti in cache per migliorare le prestazioni e accelerare le comunicazioni. Oggi i fornitori di CDN gestiscono una quantità significativa di tutto il traffico mondiale: solo il leader di questo segmento, Akamai, gestisce fino al 30% del traffico web statico globale.

Una rete CDN è un sistema distribuito per la consegna di contenuti Internet alla massima velocità. Una tipica rete CDN è composta da server in vari punti geografici, che memorizzano i contenuti in cache per "fornire" questi ultimi agli utenti che si trovano più vicini a quel server. Questo consente di aumentare significativamente la velocità delle comunicazioni online.

Oltre a migliorare la qualità del servizio per gli utenti finali, l'hosting CDN aiuta i creatori di contenuti a scalare i propri progetti, riducendo il carico sulle infrastrutture.

Censura dei contenuti CDN

Nonostante il traffico CDN rappresenti già una parte significativa di tutte le informazioni trasmesse su Internet, ci sono ancora pochissimi studi su come i censori nel mondo reale affrontano il suo controllo.

Gli autori dello studio hanno iniziato esaminando le tecniche di censura che possono essere applicate ai CDN. Successivamente, hanno studiato i meccanismi reali utilizzati dalle autorità cinesi.

Iniziamo a parlare dei potenziali metodi di censura e della loro applicabilità al controllo dei CDN.

Filtraggio per IP

Questa è la tecnica di censura più semplice ed economica. Applicando questo approccio, il censore individua e aggiunge alla lista nera gli indirizzi IP delle risorse che ospitano contenuti vietati. Di conseguenza, i fornitori di servizi Internet controllati smettono di consegnare i pacchetti inviati a tali indirizzi.

Il blocco basato su IP è uno dei metodi di censura su internet più comuni. La maggior parte dei dispositivi di rete commerciali è dotata di funzionalità per effettuare tali blocchi senza significativi costi computazionali.

Tuttavia, questo metodo non è molto adatto per bloccare il traffico CDN a causa di alcune caratteristiche stesse della tecnologia:

Caching distribuito Per garantire la massima disponibilità dei contenuti e ottimizzare le prestazioni, le reti CDN memorizzano nella cache i contenuti degli utenti in un gran numero di edge server, situati in posizioni geograficamente distribuite. Per filtrare tali contenuti basandosi su IP, il censore dovrebbe conoscere gli indirizzi di tutti gli edge server e aggiungerli alla lista nera. Questo colpirebbe le principali proprietà del metodo, poiché il suo principale vantaggio è che in uno schema normale il blocco di un server consente di "interrompere" l'accesso ai contenuti vietati immediatamente per un gran numero di persone.
IP condivisi I provider CDN commerciali condividono la loro infrastruttura (cioè edge server, sistema di mapping, ecc.) tra più clienti. Di conseguenza, i contenuti CDN vietati vengono caricati dagli stessi indirizzi IP di quelli non vietati. Pertanto, qualsiasi tentativo di filtraggio IP porterà a bloccare anche un gran numero di siti e contenuti non di interesse per i censori.
Assegnazione IP ad alta dinamicità – per ottimizzare il bilanciamento del carico e migliorare la qualità del servizio, il mapping dei server edge e degli utenti finali viene effettuato in modo molto rapido e dinamico. Ad esempio, Akamai aggiorna gli indirizzi IP restituiti ogni minuto. Questo renderà quasi impossibile il processo di collegamento degli indirizzi ai contenuti vietati.

Interferenza DNS

Oltre alla filtrazione IP, un altro modo popolare di censura è l'interferenza DNS. Questo approccio implica azioni da parte dei censori volte a fare in modo che gli utenti non scoprano affatto gli indirizzi IP delle risorse con contenuti vietati. Ciò significa che l'interferenza avviene a livello di risoluzione dei nomi di dominio. Ci sono diversi modi per farlo, inclusi gli attacchi DNS, l'uso di tecniche di avvelenamento DNS, e il blocco delle richieste DNS ai siti vietati.

Questo è un modo molto efficace di blocco, tuttavia può essere aggirato utilizzando metodi non standard di risoluzione DNS, come i canali out-of-band. Pertanto, di solito i censori combinano il blocco DNS con l'uso della filtrazione IP. Ma, come detto sopra, la filtrazione IP non è efficace per censurare i contenuti CDN.

Filtrazione per URL/Parole chiave tramite DPI

Le moderne attrezzature per il monitoraggio dell'attività di rete possono essere utilizzate per analizzare URL specifici e parole chiave nei pacchetti di dati trasmessi. Questa tecnologia è nota come DPI (deep packet inspection). Tali sistemi trovano menzioni di parole e risorse vietate, dopo di che avviene un intervento nelle comunicazioni online. Di conseguenza, i pacchetti vengono semplicemente scartati.

Questo metodo è efficace, ma più complesso e dispendioso in termini di risorse, poiché richiede la deframmentazione di tutti i pacchetti di dati inviati all'interno di flussi specifici.

I contenuti CDN possono essere protetti da tale filtrazione proprio come i contenuti "normali" – in entrambi i casi l'uso della crittografia (ossia HTTPS) è d'aiuto.

Oltre all'uso del DPI per la ricerca di parole chiave o URL di risorse vietate, questi strumenti possono essere utilizzati per analisi più avanzate. Questi metodi includono analisi statistica del traffico online/offline e analisi dei protocolli di identificazione. Questi metodi sono estremamente dispendiosi in termini di risorse e attualmente non ci sono prove significative del loro utilizzo da parte dei censori.

Auto-censura dei fornitori CDN

Se il censore è lo Stato, ha tutti i mezzi per vietare l'operatività nel paese a quei fornitori CDN che non rispettano le leggi locali che regolano l'accesso al contenuto. Non c'è modo di opporsi all'auto-censura; pertanto, se un'azienda fornitrice di CDN è interessata a operare in un determinato paese, sarà costretta a rispettare le leggi locali, anche se queste limitano la libertà di parola.

Come la Cina censura i contenuti CDN

Il grande firewall cinese è giustamente considerato il sistema più efficace e avanzato per garantire la censura su Internet.

Metodologia della ricerca

Gli studiosi hanno effettuato esperimenti utilizzando un nodo Linux situato all'interno della Cina. Avevano anche accesso a diversi computer al di fuori del paese. Inizialmente, i ricercatori hanno verificato quali contenuti del nodo erano soggetti a censura, simile a quella applicata ad altri utenti cinesi; per fare ciò, hanno provato ad accedere a vari siti vietati da quel computer. In questo modo è stata confermata la presenza di un livello di censura simile.

L'elenco dei siti bloccati in Cina che utilizzano CDN è stato preso dal sito GreatFire.org. Successivamente, è stata condotta un'analisi su come veniva effettuato il blocco in ogni caso.

Secondo dati aperti, l'unico grande attore del mercato CDN con infrastruttura propria in Cina è Akamai. Altri fornitori coinvolti nello studio: CloudFlare, Amazon CloudFront, EdgeCast, Fastly e SoftLayer.

Durante gli esperimenti, i ricercatori hanno identificato gli indirizzi dei server edge Akamai all'interno del paese e hanno quindi tentato di accedere a contenuti autorizzati in cache tramite di essi. Non sono riusciti ad accedere a contenuti vietati (restituendo l'errore HTTP 403 Forbidden) - è evidente che l'azienda pratica l'auto-censura per mantenere la possibilità di operare nel paese. Tuttavia, al di fuori del paese, l'accesso a queste risorse rimaneva aperto.

I provider senza infrastruttura in Cina non usano l'autocensura per gli utenti locali.

Per gli altri provider, il metodo di blocco più comunemente utilizzato è stato il filtraggio DNS: le richieste verso siti bloccati vengono risolte in indirizzi IP errati. In questo modo, il firewall non blocca i server edge della CDN, poiché memorizzano sia informazioni vietate che permesse.

E se nel caso del traffico non crittografato le autorità hanno la possibilità di bloccare singole pagine web tramite DPI, con l'uso di HTTPS possono solo vietare l'accesso all'intero dominio. Questo porta anche al blocco di contenuti autorizzati.

Inoltre, in Cina ci sono anche provider CDN locali, tra cui reti come ChinaCache, ChinaNetCenter e CDNetworks. Tutte queste aziende rispettano pienamente la legislazione nazionale e bloccano contenuti vietati.

CacheBrowser: strumento di bypass dei blocchi tramite CDN

L'analisi ha dimostrato che ai censori è piuttosto difficile bloccare i contenuti CDN. Pertanto, i ricercatori hanno deciso di andare oltre e sviluppare uno strumento di bypass dei blocchi online che non utilizzi la tecnologia proxy.

L'idea principale dello strumento è che i censori, per bloccare i CDN, devono intervenire sul funzionamento del DNS, tuttavia, per caricare il contenuto CDN, non è realmente obbligatorio utilizzare la risoluzione dei nomi di dominio. In questo modo, l'utente può ottenere il contenuto di cui ha bisogno, contattando direttamente il server edge dove è già memorizzato in cache.

Nel diagramma sottostante è presentato il funzionamento del sistema.

Sul computer dell'utente viene installato un software client, e per accedere ai contenuti viene utilizzato un normale browser.

Quando si richiede un URL o parte di un contenuto già richiesto, il browser invia una richiesta al sistema DNS locale (LocalDNS) per ottenere l'indirizzo IP dell'hosting. Il DNS normale viene interrogato solo per i domini che non sono ancora presenti nel database di LocalDNS. Il modulo Scraper passa costantemente tra gli URL richiesti e cerca nell'elenco potenziali nomi di dominio bloccati. Successivamente, Scraper si rivolge al modulo Resolver per risolvere i nuovi domini bloccati trovati; questo modulo svolge il compito e aggiunge una voce a LocalDNS. Infine, la cache DNS del browser viene pulita per rimuovere le voci DNS esistenti per il dominio bloccato.

Se il modulo Resolver non riesce a capire a quale fornitore CDN appartenga il dominio, richiederà assistenza dal modulo Bootstrapper.

Come funziona nella pratica

Il software client del prodotto è stato implementato per Linux, ma può essere facilmente portato anche su Windows. Come browser si utilizza il comune Mozilla
Firefox. I moduli Scraper e Resolver sono scritti in Python, mentre i database Customer-to-CDN e CDN-to-IP sono memorizzati in file .txt. Il database LocalDNS è un semplice file /etc/hosts in Linux.

Di conseguenza, per un URL bloccato del tipo blocked.com lo script otterrà l'indirizzo IP del server edge dal file /etc/hosts e invierà una richiesta HTTP GET per accedere a BlockedURL.html con i campi dell'intestazione HTTP Host:

blocked.com/ e User-Agent: Mozilla/5.0 (Windows NT 5.1; rv:14.0) Gecko/20100101 Firefox/14.0.1

Il modulo Bootstrapper è stato implementato utilizzando l'outil gratuito digwebinterface.com. Questo resolver DNS non può essere bloccato e risponde alle richieste DNS a nome di molti server DNS distribuiti geograficamente in varie regioni di rete.

Grazie a questo strumento, i ricercatori sono riusciti ad accedere a Facebook dalla loro nodo in Cina, anche se il social network è stato bloccato in Cina da tempo.

Conclusione

L'esperimento ha dimostrato che i problemi che i censori affrontano nel tentativo di bloccare i contenuti CDN possono essere sfruttati per creare un sistema per superare i blocchi. Questo strumento consente di eludere i blocchi anche in Cina, dove opera uno dei sistemi di censura online più potenti.