ניסוי CacheBrowser: עקיפת חומת האש הסינית ללא פרוקסי באמצעות שמירת תוכן במטמון

תְמוּנָה: Unsplash

כיום, חלק ניכר מכל התוכן באינטרנט מופץ באמצעות רשתות CDN. במקביל, מחקר כיצד צנזורים שונים מרחיבים את השפעתם על רשתות כאלה. מדענים מאוניברסיטת מסצ'וסטס מְנוּתָח שיטות אפשריות לחסימת תוכן CDN תוך שימוש בדוגמה של שיטות העבודה של הרשויות הסיניות, וכן פיתחו כלי לעקוף חסימה כזו.

הכנו חומר סקירה עם המסקנות והתוצאות העיקריות של ניסוי זה.

מבוא

צנזורה היא איום עולמי על חופש הביטוי באינטרנט וגישה חופשית למידע. זה אפשרי במידה רבה בשל העובדה שהאינטרנט שאל את מודל "תקשורת מקצה לקצה" מרשתות טלפון של שנות ה-70 של המאה הקודמת. זה מאפשר לך לחסום גישה לתוכן או לתקשורת של משתמשים ללא מאמץ או עלות משמעותיים רק על סמך כתובת IP. יש כאן מספר שיטות, מחסימת הכתובת עצמה עם תוכן אסור ועד חסימת היכולת של משתמשים אפילו לזהות אותה באמצעות מניפולציה של DNS.

עם זאת, התפתחות האינטרנט הובילה גם להופעתם של דרכים חדשות להפצת מידע. אחד מהם הוא השימוש בתוכן במטמון כדי לשפר ביצועים ולהאיץ את התקשורת. כיום, ספקי CDN מעבדים כמות משמעותית מכל התעבורה בעולם – Akamai, המובילה בפלח זה, אחראית לבדה עד 30% מתעבורת האינטרנט הסטטית העולמית.

רשת CDN היא מערכת מבוזרת לאספקת תוכן אינטרנט במהירות מרבית. רשת CDN טיפוסית מורכבת משרתים במיקומים גיאוגרפיים שונים ששומרים תוכן במטמון כדי להגיש אותו למשתמשים הקרובים ביותר לאותו שרת. זה מאפשר לך להגביר באופן משמעותי את מהירות התקשורת המקוונת.

בנוסף לשיפור החוויה עבור משתמשי קצה, אירוח CDN עוזר ליוצרי תוכן להגדיל את הפרויקטים שלהם על ידי הפחתת העומס על התשתית שלהם.

צנזורה של תוכן CDN

למרות העובדה שתעבורת CDN כבר מהווה חלק ניכר מכל המידע המועבר דרך האינטרנט, עדיין אין כמעט מחקר על האופן שבו צנזורים בעולם האמיתי ניגשים לשליטתה.

מחברי המחקר החלו בחקר טכניקות צנזורה שניתן ליישם על CDNs. אחר כך הם בחנו את המנגנונים בפועל שבהם השתמשו השלטונות הסיניים.

ראשית, בואו נדבר על שיטות צנזורה אפשריות ועל האפשרות להשתמש בהן כדי לשלוט ב-CDN.

סינון IP

זוהי הטכניקה הפשוטה והזולה ביותר לצנזור האינטרנט. באמצעות גישה זו, הצנזור מזהה ומפרט את כתובות ה-IP של משאבים המארחים תוכן אסור. ואז ספקי האינטרנט המבוקרים מפסיקים לספק מנות שנשלחות לכתובות כאלה.

חסימה מבוססת IP היא אחת השיטות הנפוצות ביותר לצנזור האינטרנט. רוב התקני הרשת המסחריים מצוידים בפונקציות ליישום חסימה כזו ללא מאמץ חישובי משמעותי.

עם זאת, שיטה זו אינה מתאימה במיוחד לחסימת תעבורת CDN עקב כמה מאפיינים של הטכנולוגיה עצמה:

• מטמון מבוזר - כדי להבטיח את הזמינות הטובה ביותר של תוכן ולייעל את הביצועים, רשתות CDN מאחסנות תוכן משתמש במטמון במספר רב של שרתי קצה הממוקמים במיקומים מופצים גיאוגרפית. כדי לסנן תוכן כזה על סמך IP, הצנזור יצטרך לברר את הכתובות של כל שרתי הקצה ולרשום אותם ברשימה השחורה. זה יערער את המאפיינים העיקריים של השיטה, מכיוון שהיתרון העיקרי שלה הוא שבתוכנית הרגילה, חסימת שרת אחד מאפשרת לך "לנתק" גישה לתוכן אסור עבור מספר רב של אנשים בבת אחת.
• כתובות IP משותפות - ספקי CDN מסחריים חולקים את התשתית שלהם (כלומר שרתי קצה, מערכת מיפוי וכו') בין לקוחות רבים. כתוצאה מכך, תוכן CDN אסור נטען מאותן כתובות IP כמו תוכן שאינו אסור. כתוצאה מכך, כל ניסיון לסינון IP יביא לחסימת מספר עצום של אתרים ותכנים שאינם מעניינים את הצנזורים.
• הקצאת IP דינמית ביותר – כדי לייעל איזון עומסים ולשפר את איכות השירות, מיפוי שרתי קצה ומשתמשי קצה מתבצע במהירות ובדינאמיות רבה. לדוגמה, עדכוני Akamai מחזירים כתובות IP בכל דקה. זה יהפוך את זה כמעט בלתי אפשרי עבור כתובות להיות משויכות לתוכן אסור.

הפרעות DNS

מלבד סינון IP, שיטת צנזורה פופולרית נוספת היא הפרעות DNS. גישה זו כוללת פעולות של צנזורים שמטרתן למנוע ממשתמשים לזהות את כתובות ה-IP של משאבים עם תוכן אסור. כלומר, ההתערבות מתרחשת ברמת רזולוציית שם הדומיין. ישנן מספר דרכים לעשות זאת, כולל חטיפת חיבורי DNS, שימוש בטכניקות הרעלת DNS וחסימת בקשות DNS לאתרים אסורים.

זוהי שיטת חסימה יעילה מאוד, אך ניתן לעקוף אותה אם אתה משתמש בשיטות רזולוציית DNS לא סטנדרטיות, למשל, ערוצים מחוץ לפס. לכן, צנזורים משלבים בדרך כלל חסימת DNS עם סינון IP. אבל, כפי שצוין לעיל, סינון IP אינו יעיל בצנזור תוכן CDN.

סנן לפי כתובת URL/מילות מפתח באמצעות DPI

ניתן להשתמש בציוד מודרני לניטור פעילות רשת כדי לנתח כתובות URL ומילות מפתח ספציפיות בחבילות נתונים משודרות. טכנולוגיה זו נקראת DPI (בדיקת מנות עמוקה). מערכות כאלה מוצאות אזכורים של מילים ומשאבים אסורים, ולאחר מכן הם מפריעים לתקשורת מקוונת. כתוצאה מכך, החבילות פשוט נשמטות.

שיטה זו יעילה, אך מורכבת יותר ועתירת משאבים מכיוון שהיא דורשת איחוי של כל מנות הנתונים הנשלחות בתוך זרמים מסוימים.

ניתן להגן על תוכן CDN מפני סינון כזה באותו אופן כמו תוכן "רגיל" - בשני המקרים השימוש בהצפנה (כלומר HTTPS) עוזר.

בנוסף לשימוש ב-DPI למציאת מילות מפתח או כתובות URL של משאבים אסורים, ניתן להשתמש בכלים אלה לניתוח מתקדם יותר. שיטות אלו כוללות ניתוח סטטיסטי של תעבורה מקוונת/לא מקוונת וניתוח של פרוטוקולי זיהוי. שיטות אלו הן עתירות משאבים, וכרגע פשוט אין עדויות לשימוש בהן על ידי הצנזורים במידה רצינית מספיק.

צנזורה עצמית של ספקי CDN

אם הצנזורה היא המדינה, אז יש לה כל הזדמנות לאסור על אותם ספקי CDN לפעול במדינה שאינם מצייתים לחוקים המקומיים המסדירים גישה לתוכן. לא ניתן להתנגד לצנזורה עצמית בשום אופן - לכן, אם חברת ספקית CDN מעוניינת לפעול במדינה מסוימת, היא תיאלץ לציית לחוקים המקומיים, גם אם הם מגבילים את חופש הביטוי.

כיצד סין מצנזרת תוכן CDN

חומת האש הגדולה של סין נחשבת בצדק למערכת היעילה והמתקדמת ביותר להבטחת צנזורה באינטרנט.

מתודולוגיית מחקר

מדענים ביצעו ניסויים באמצעות צומת לינוקס שנמצא בתוך סין. הייתה להם גם גישה לכמה מחשבים מחוץ למדינה. ראשית, החוקרים בדקו שהצומת נתון לצנזורה דומה לזו שחלה על משתמשים סיניים אחרים - לשם כך ניסו לפתוח אתרים אסורים שונים מהמכונה הזו. אז נוכחותה של אותה רמה של צנזורה אושרה.

רשימת האתרים החסומים בסין המשתמשים ב-CDN נלקחה מ-GreatFire.org. לאחר מכן נותחה שיטת החסימה בכל מקרה.

לפי נתונים ציבוריים, השחקן הגדול היחיד בשוק ה-CDN עם ​​תשתית משלו בסין הוא Akamai. ספקים נוספים המשתתפים במחקר: CloudFlare, Amazon CloudFront, EdgeCast, Fastly ו-SoftLayer.

במהלך הניסויים, החוקרים גילו את הכתובות של שרתי הקצה של Akamai במדינה, ולאחר מכן ניסו להעביר דרכם תוכן מותר לקובץ שמור. לא ניתן היה לגשת לתכנים אסורים (הוחזרה שגיאה אסורה של HTTP 403) - ככל הנראה החברה מבצעת צנזורה עצמית על מנת לשמור על יכולת הפעולה בארץ. יחד עם זאת, הגישה למשאבים אלו נותרה פתוחה מחוץ למדינה.

ספקי אינטרנט ללא תשתית בסין אינם מצנזרים בעצמם משתמשים מקומיים.

במקרה של ספקים אחרים, שיטת החסימה הנפוצה ביותר הייתה סינון DNS - בקשות לאתרים חסומים נפתרות לכתובות IP שגויות. יחד עם זאת, חומת האש אינה חוסמת את שרתי הקצה של CDN עצמם, מכיוון שהם מאחסנים מידע אסור ומותר כאחד.

ואם במקרה של תעבורה לא מוצפנת יש לרשויות את היכולת לחסום דפים בודדים של אתרים באמצעות DPI, אז בעת שימוש ב-HTTPS הם יכולים רק למנוע גישה לכל הדומיין בכללותו. זה מוביל גם לחסימת תוכן מותר.

בנוסף, לסין יש ספקי CDN משלה, כולל רשתות כמו ChinaCache, ChinaNetCenter ו-CDNetworks. כל החברות הללו עומדות במלואן בחוקי המדינה וחוסמות תוכן אסור.

CacheBrowser: כלי מעקף CDN

כפי שהראה הניתוח, די קשה לצנזורים לחסום תוכן CDN. לכן, החוקרים החליטו ללכת רחוק יותר ולפתח כלי מקוון לעקוף בלוק שאינו משתמש בטכנולוגיית פרוקסי.

הרעיון הבסיסי של הכלי הוא שהצנזורים צריכים להתערב ב-DNS כדי לחסום CDNs, אך למעשה אינך צריך להשתמש ברזולוציית שם דומיין כדי להוריד תוכן CDN. כך, המשתמש יכול לקבל את התוכן הדרוש לו על ידי פנייה ישירה לשרת הקצה, שם הוא כבר שמור.

התרשים שלהלן מציג את עיצוב המערכת.

תוכנת לקוח מותקנת במחשב המשתמש, ודפדפן רגיל משמש לגישה לתוכן.

כאשר כבר התבקשו כתובת URL או פיסת תוכן, הדפדפן מבקש למערכת ה-DNS המקומית (LocalDNS) לקבל את כתובת ה-IP המארחת. DNS רגיל מתבצע רק עבור דומיינים שאינם נמצאים כבר במסד הנתונים LocalDNS. מודול ה-Scraper עובר ברציפות על כתובות ה-URL המבוקשות ומחפש ברשימה שמות דומיינים שעלולים לחסום. Scraper מתקשר לאחר מכן למודול Resolver כדי לפתור את הדומיינים החסומים החדשים שהתגלו, מודול זה מבצע את המשימה ומוסיף ערך ל- LocalDNS. לאחר מכן מטמון ה-DNS של הדפדפן מנוקה כדי להסיר רשומות DNS קיימות עבור התחום החסום.

אם מודול Resolver לא יכול להבין לאיזה ספק CDN שייך הדומיין, הוא יבקש עזרה ממודול Bootstrapper.

איך זה עובד בפועל

תוכנת הלקוח של המוצר יושמה עבור לינוקס, אך ניתן להעביר אותה בקלות גם עבור Windows. מוזילה רגילה משמשת כדפדפן
פיירפוקס. מודולי Scraper ו-Resolver נכתבים ב-Python, ומסדי הנתונים Customer-to-CDN ו-CDN-toIP מאוחסנים בקבצי txt. מסד הנתונים LocalDNS הוא קובץ /etc/hosts הרגיל בלינוקס.

כתוצאה מכך, עבור כתובת URL חסומה כמו blocked.com הסקריפט יקבל את כתובת ה-IP של שרת הקצה מהקובץ /etc/hosts וישלח בקשת HTTP GET לגשת ל-BlockedURL.html עם שדות הכותרת Host HTTP:

blocked.com/ and User-Agent: Mozilla/5.0 (Windows
NT 5.1; rv:14.0) Gecko/20100101 Firefox/14.0.1

מודול Bootstrapper מיושם באמצעות הכלי החינמי digwebinterface.com. לא ניתן לחסום את פותר ה-DNS הזה והוא עונה לשאילתות DNS בשם מספר שרתי DNS המופצים גיאוגרפית באזורי רשת שונים.

באמצעות כלי זה הצליחו החוקרים לקבל גישה לפייסבוק מהצומת הסיני שלהם, למרות שהרשת החברתית נחסמה זה מכבר בסין.

מסקנה

הניסוי הראה כי ניצול הבעיות שחווים צנזורים בעת ניסיון לחסום תוכן CDN יכול לשמש ליצירת מערכת לעקוף חסימות. כלי זה מאפשר לך לעקוף חסימות אפילו בסין, שיש לה את אחת ממערכות הצנזורה המקוונות החזקות ביותר.

מאמרים נוספים בנושא השימוש נציגי תושבים לעסקים:

• איך פרוקסי מגורים עוזרים בעסק: מקרה אמיתי של שימוש ב-Infatica בתחום כריית הנתונים
• ניתוח. כיצד פועל פרוקסי SOCKS: יתרונות, חסרונות, הבדלים מטכנולוגיות אחרות
• כיצד לבחור רשת פרוקסי לעסקים: 3 טיפים מעשיים

מקור: www.habr.com