ផ្នែកខាងមុខនៃដែនផ្អែកលើ TLS 1.3

សេចក្តីណែនាំ

ប្រព័ន្ធចម្រោះមាតិកាសាជីវកម្មទំនើបពីក្រុមហ៊ុនផលិតល្បីៗដូចជា Cisco, BlueCoat, FireEye មានលក្ខណៈដូចគ្នាច្រើនជាមួយសមភាគីដ៏មានឥទ្ធិពលរបស់ពួកគេ - ប្រព័ន្ធ DPI ដែលកំពុងត្រូវបានអនុវត្តយ៉ាងសកម្មនៅថ្នាក់ជាតិ។ ខ្លឹមសារនៃការងាររបស់អ្នកទាំងពីរគឺត្រួតពិនិត្យចរាចរណ៍អ៊ីនធឺណេតចូល និងចេញ ហើយផ្អែកលើបញ្ជីខ្មៅ/ស ធ្វើការសម្រេចចិត្តហាមឃាត់ការភ្ជាប់អ៊ីនធឺណិត។ ហើយចាប់តាំងពីពួកគេទាំងពីរពឹងផ្អែកលើគោលការណ៍ស្រដៀងគ្នានៅក្នុងមូលដ្ឋាននៃការងាររបស់ពួកគេ វិធីសាស្ត្រសម្រាប់គេចចេញពីពួកគេក៏នឹងមានលក្ខណៈដូចគ្នាផងដែរ។

បច្ចេកវិទ្យាមួយក្នុងចំណោមបច្ចេកវិទ្យាដែលអនុញ្ញាតឱ្យអ្នកឆ្លងកាត់យ៉ាងមានប្រសិទ្ធភាពទាំង DPI និងប្រព័ន្ធសាជីវកម្មគឺ domain-front technology ។ ខ្លឹមសាររបស់វាគឺថាយើងចូលទៅកាន់ធនធានដែលត្រូវបានទប់ស្កាត់ ដោយលាក់ខ្លួននៅពីក្រោយដែនសាធារណៈមួយផ្សេងទៀតដែលមានកេរ្តិ៍ឈ្មោះល្អ ដែលជាក់ស្តែងនឹងមិនត្រូវបានរារាំងដោយប្រព័ន្ធណាមួយឡើយ ឧទាហរណ៍ google.com ។

អត្ថបទជាច្រើនត្រូវបានសរសេររួចហើយអំពីបច្ចេកវិទ្យានេះ ហើយឧទាហរណ៍ជាច្រើនត្រូវបានផ្តល់ឱ្យ។ ទោះជាយ៉ាងណាក៏ដោយ បច្ចេកវិទ្យា DNS-over-HTTPS និងអ៊ិនគ្រីប-SNI ដ៏ពេញនិយម និងថ្មីៗនេះបានពិភាក្សា ក៏ដូចជាកំណែថ្មីនៃពិធីការ TLS 1.3 ធ្វើឱ្យវាអាចពិចារណាជម្រើសមួយផ្សេងទៀតសម្រាប់ដែនខាងមុខ។

ការយល់ដឹងអំពីបច្ចេកវិទ្យា

ជាដំបូង ចូរយើងកំណត់គោលគំនិតជាមូលដ្ឋានបន្តិច ដើម្បីឲ្យអ្នកគ្រប់គ្នាមានការយល់ដឹងថាតើនរណាជានរណា និងហេតុអ្វីចាំបាច់ទាំងអស់នេះ។ យើងបានលើកឡើងអំពីយន្តការ eSNI ប្រតិបត្តិការដែលនឹងត្រូវបានពិភាក្សាបន្ថែមទៀត។ យន្តការ eSNI (ការបញ្ជាក់ឈ្មោះម៉ាស៊ីនមេដែលបានអ៊ិនគ្រីប) គឺជាកំណែសុវត្ថិភាពរបស់ SNI ដែលអាចប្រើបានសម្រាប់តែពិធីការ TLS 1.3 ប៉ុណ្ណោះ។ គំនិតចម្បងគឺការអ៊ិនគ្រីប ក្នុងចំណោមរបស់ផ្សេងទៀត ព័ត៌មានអំពីដែនដែលសំណើត្រូវបានផ្ញើទៅ។

ឥឡូវនេះសូមមើលពីរបៀបដែលយន្តការ eSNI ដំណើរការក្នុងការអនុវត្ត។

ចូរនិយាយថាយើងមានធនធានអ៊ីនធឺណែតដែលត្រូវបានរារាំងដោយដំណោះស្រាយ DPI ទំនើប (សូមយកឧទាហរណ៍កម្មវិធីតាមដាន torrent ដ៏ល្បីល្បាញ rutracker.nl) ។ នៅពេលយើងព្យាយាមចូលប្រើគេហទំព័ររបស់កម្មវិធីតាមដាន torrent យើងឃើញ stub ស្តង់ដាររបស់អ្នកផ្តល់សេវាដែលបង្ហាញថាធនធានត្រូវបានរារាំង៖

នៅលើគេហទំព័រ RKN ដែននេះពិតជាត្រូវបានរាយក្នុងបញ្ជីឈប់៖

នៅពេលអ្នកសួរ whois អ្នកអាចមើលឃើញថាដែនខ្លួនវាត្រូវបាន "លាក់" នៅពីក្រោយអ្នកផ្តល់សេវាពពក Cloudflare ។

ប៉ុន្តែមិនដូច "អ្នកឯកទេស" មកពី RKN ទេ បុគ្គលិកដែលមានជំនាញបច្ចេកទេសកាន់តែច្រើនពី Beeline (ឬត្រូវបានបង្រៀនដោយបទពិសោធន៍ដ៏ជូរចត់របស់និយតករដ៏ល្បីល្បាញរបស់យើង) មិនបានហាមឃាត់គេហទំព័រដោយអាស័យដ្ឋាន IP នោះទេ ប៉ុន្តែបានបន្ថែមឈ្មោះដែនទៅក្នុងបញ្ជីបញ្ឈប់។ អ្នកអាចផ្ទៀងផ្ទាត់វាបានយ៉ាងងាយស្រួល ប្រសិនបើអ្នកក្រឡេកមើលអ្វីដែលដែនផ្សេងទៀតត្រូវបានលាក់នៅពីក្រោយអាសយដ្ឋាន IP ដូចគ្នា សូមចូលទៅកាន់គេហទំព័រមួយក្នុងចំណោមពួកគេ ហើយឃើញថាការចូលប្រើមិនត្រូវបានរារាំងទេ៖

តើរឿងនេះកើតឡើងដោយរបៀបណា? តើ DPI របស់អ្នកផ្តល់សេវាដឹងដោយរបៀបណាថាតើកម្មវិធីរុករករបស់ខ្ញុំបើកដែនមួយណា ចាប់តាំងពីទំនាក់ទំនងទាំងអស់កើតឡើងតាមរយៈពិធីការ https ហើយយើងមិនទាន់បានកត់សម្គាល់ការជំនួសវិញ្ញាបនបត្រ https ពី Beeline ទេ? តើ​គាត់​មាន​ប្រាជ្ញា​ឬ​ក៏​ខ្ញុំ​ត្រូវ​គេ​ធ្វើ​តាម?

តោះព្យាយាមឆ្លើយសំណួរនេះដោយមើលចរាចរណ៍តាមរយៈ wireshark

រូបថតអេក្រង់បង្ហាញថាជាដំបូងកម្មវិធីរុករកទទួលបានអាសយដ្ឋាន IP របស់ម៉ាស៊ីនមេតាមរយៈ DNS បន្ទាប់មកការចាប់ដៃ TCP ស្តង់ដារកើតឡើងជាមួយម៉ាស៊ីនមេគោលដៅ ហើយបន្ទាប់មកកម្មវិធីរុករកព្យាយាមបង្កើតការតភ្ជាប់ SSL ជាមួយម៉ាស៊ីនមេ។ ដើម្បីធ្វើដូចនេះវាផ្ញើកញ្ចប់ SSL Client Hello ដែលមានឈ្មោះដែនប្រភពនៅក្នុងអត្ថបទច្បាស់លាស់។ វាលនេះត្រូវបានទាមទារដោយម៉ាស៊ីនមេ cloudflare frontend ដើម្បីដំណើរការការតភ្ជាប់ឱ្យបានត្រឹមត្រូវ។ នេះគឺជាកន្លែងដែលអ្នកផ្តល់សេវា DPI ចាប់យើង ដោយបំបែកការតភ្ជាប់របស់យើង។ ក្នុងពេលជាមួយគ្នានេះ យើងមិនទទួលបាន stub ណាមួយពីអ្នកផ្តល់សេវាទេ ហើយយើងឃើញកំហុសរបស់កម្មវិធីរុករកតាមអ៊ីនធឺណិតស្តង់ដារ ដូចជាប្រសិនបើគេហទំព័រត្រូវបានបិទ ឬមិនដំណើរការ៖

ឥឡូវនេះសូមបើកយន្តការ eSNI នៅក្នុងកម្មវិធីរុករក ដូចដែលបានសរសេរនៅក្នុងការណែនាំសម្រាប់ របស់ Firefox :
ដើម្បីធ្វើដូចនេះយើងបើកទំព័រកំណត់រចនាសម្ព័ន្ធ Firefox អំពី: config ហើយបើកដំណើរការការកំណត់ខាងក្រោម៖

network.trr.mode = 2;
network.trr.uri = https://mozilla.cloudflare-dns.com/dns-query
network.security.esni.enabled = true

បន្ទាប់ពីនេះ យើងនឹងពិនិត្យមើលថាការកំណត់ដំណើរការត្រឹមត្រូវនៅលើគេហទំព័រ cloudflare។ តំណភ្ជាប់ ហើយសូមសាកល្បងល្បិចជាមួយកម្មវិធីតាមដាន torrent របស់យើងម្តងទៀត។

វ៉ូឡា។ កម្មវិធីតាមដានសំណព្វរបស់យើងបានបើកដោយគ្មាន VPN ឬម៉ាស៊ីនមេប្រូកស៊ី។ ឥឡូវនេះ សូមក្រឡេកមើលកន្លែងចាក់សំរាមក្នុង wireshark ដើម្បីដឹងថាមានអ្វីកើតឡើង។

លើកនេះ កញ្ចប់ hello client ssl មិនមានដែនគោលដៅច្បាស់លាស់ទេ ប៉ុន្តែផ្ទុយទៅវិញ វាលថ្មីមួយបានបង្ហាញខ្លួននៅក្នុងកញ្ចប់ - encrypted_server_name - នេះគឺជាកន្លែងដែលតម្លៃរបស់ rutracker.nl មាន ហើយមានតែម៉ាស៊ីនមេ cloudflare frontend ប៉ុណ្ណោះដែលអាចឌិគ្រីបនេះបាន វាល។ ហើយប្រសិនបើដូច្នេះមែន នោះអ្នកផ្តល់សេវា DPI មិនមានជម្រើសអ្វីក្រៅពីលាងដៃ និងអនុញ្ញាតឱ្យចរាចរបែបនេះទេ។ មិនមានជម្រើសផ្សេងទៀតជាមួយនឹងការអ៊ិនគ្រីបទេ។

ដូច្នេះ យើងបានមើលពីរបៀបដែលបច្ចេកវិទ្យាដំណើរការនៅក្នុងកម្មវិធីរុករក។ ឥឡូវនេះ ចូរយើងព្យាយាមអនុវត្តវាទៅអ្វីដែលកាន់តែជាក់លាក់ និងគួរឱ្យចាប់អារម្មណ៍។ ហើយជាដំបូង យើងនឹងបង្រៀន curl ដូចគ្នាដើម្បីប្រើ eSNI ដើម្បីធ្វើការជាមួយ TLS 1.3 ហើយក្នុងពេលតែមួយយើងនឹងឃើញពីរបៀបដែល eSNI-based domain fronting ដំណើរការដោយខ្លួនវាផ្ទាល់។

ដែនខាងមុខជាមួយ eSNI

ដោយសារតែការពិតដែលថា curl ប្រើបណ្ណាល័យ openssl ស្តង់ដារដើម្បីភ្ជាប់តាមរយៈពិធីការ https ជាដំបូងយើងត្រូវផ្តល់ការគាំទ្រ eSNI នៅទីនោះ។ មិនមានការគាំទ្រ eSNI នៅក្នុងសាខាមេ openssl នៅឡើយទេ ដូច្នេះយើងត្រូវទាញយកសាខា openssl ពិសេស ចងក្រង និងដំឡើងវា។

យើងក្លូនឃ្លាំងពី GitHub ហើយចងក្រងដូចធម្មតា៖

$ git clone https://github.com/sftcd/openssl
$ cd openssl
$ ./config

$ make
$ cd esnistuff
$ make

បន្ទាប់មក យើងក្លូនឃ្លាំងជាមួយ curl ហើយកំណត់រចនាសម្ព័ន្ធការចងក្រងរបស់វាដោយប្រើបណ្ណាល័យ openssl ដែលបានចងក្រងរបស់យើង៖

$ cd $HOME/code
$ git clone https://github.com/niallor/curl.git curl-esni
$ cd curl-esni

$ export LD_LIBRARY_PATH=/opt/openssl
$ ./buildconf
$ LDFLAGS="-L/opt/openssl" ./configure --with-ssl=/opt/openssl --enable-esni --enable-debug

នៅទីនេះវាមានសារៈសំខាន់ណាស់ក្នុងការបញ្ជាក់ឱ្យបានត្រឹមត្រូវនូវថតទាំងអស់ដែល openssl មានទីតាំងនៅ (ក្នុងករណីរបស់យើងនេះគឺជា /opt/openssl/) ហើយត្រូវប្រាកដថាដំណើរការកំណត់រចនាសម្ព័ន្ធដំណើរការដោយគ្មានកំហុស។

ប្រសិនបើការកំណត់រចនាសម្ព័ន្ធបានជោគជ័យ យើងនឹងឃើញបន្ទាត់៖

ការព្រមាន៖ esni ESNI បានបើក ប៉ុន្តែបានសម្គាល់ការពិសោធន៍។ ប្រើដោយប្រុងប្រយ័ត្ន!

$ make

បន្ទាប់ពីបង្កើតកញ្ចប់ដោយជោគជ័យ យើងនឹងប្រើឯកសារ bash ពិសេសពី openssl ដើម្បីកំណត់រចនាសម្ព័ន្ធ និងដំណើរការ curl ។ តោះចម្លងវាទៅថតជាមួយ curl ដើម្បីភាពងាយស្រួល៖

cp /opt/openssl/esnistuff/curl-esni 

ហើយធ្វើការសាកល្បង https ទៅកាន់ម៉ាស៊ីនមេ cloudflare ខណៈពេលដែលកំពុងថតកញ្ចប់ DNS និង TLS ក្នុង Wireshark ក្នុងពេលដំណាលគ្នា។

$ ESNI_COVER="www.hello-rkn.ru" ./curl-esni https://cloudflare.com/

នៅក្នុងការឆ្លើយតបរបស់ម៉ាស៊ីនមេ បន្ថែមពីលើព័ត៌មានបំបាត់កំហុសជាច្រើនពី openssl និង curl យើងនឹងទទួលបានការឆ្លើយតប HTTP ជាមួយលេខកូដ 301 ពី cloudflare ។

HTTP/1.1 301 Moved Permanently
< Date: Sun, 03 Nov 2019 13:12:55 GMT
< Transfer-Encoding: chunked
< Connection: keep-alive
< Cache-Control: max-age=3600
< Expires: Sun, 03 Nov 2019 14:12:55 GMT
< Location: https://www.cloudflare.com/

ដែលបង្ហាញថាសំណើរបស់យើងត្រូវបានបញ្ជូនដោយជោគជ័យទៅកាន់ម៉ាស៊ីនមេគោលដៅ ឮ និងដំណើរការ។

ឥឡូវនេះសូមក្រឡេកមើលកន្លែងចាក់សំរាមនៅក្នុង wireshark, i.e. អ្វីដែលអ្នកផ្តល់សេវា DPI បានឃើញក្នុងករណីនេះ។

វាអាចត្រូវបានគេមើលឃើញថា curl ដំបូងបានងាកទៅរកម៉ាស៊ីនមេ DNS សម្រាប់សោ eSNI សាធារណៈសម្រាប់ម៉ាស៊ីនមេ cloudflare - សំណើ DNS TXT ទៅ _esni.cloudflare.com (កញ្ចប់លេខ 13) ។ បន្ទាប់មកដោយប្រើបណ្ណាល័យ openssl curl បានផ្ញើសំណើ TLS 1.3 ទៅម៉ាស៊ីនមេ cloudflare ដែលវាល SNI ត្រូវបានអ៊ិនគ្រីបជាមួយនឹងសោសាធារណៈដែលទទួលបានក្នុងជំហានមុន (កញ្ចប់លេខ 22) ។ ប៉ុន្តែ បន្ថែមពីលើវាល eSNI កញ្ចប់ព័ត៌មាន SSL-hello ក៏រួមបញ្ចូលផងដែរនូវវាលមួយដែលមាន SNI ធម្មតាដែលយើងអាចបញ្ជាក់តាមលំដាប់ណាមួយ (ក្នុងករណីនេះ - www.hello-rkn.ru).

វាល SNI បើកចំហនេះមិនត្រូវបានគេយកមកពិចារណាតាមវិធីណាមួយឡើយ នៅពេលដំណើរការដោយម៉ាស៊ីនមេ cloudflare ហើយបានបម្រើតែជារបាំងសម្រាប់អ្នកផ្តល់ DPI ប៉ុណ្ណោះ។ ម៉ាស៊ីនមេ cloudflare បានទទួលកញ្ចប់ព័ត៌មាន ssl-hello របស់យើង ឌិគ្រីប eSNI ទាញយក SNI ដើមពីទីនោះ ហើយដំណើរការវាហាក់ដូចជាគ្មានអ្វីកើតឡើង (វាធ្វើអ្វីៗគ្រប់យ៉ាងដូចដែលបានគ្រោងទុកនៅពេលបង្កើត eSNI)។

រឿងតែមួយគត់ដែលអាចចាប់បានក្នុងករណីនេះតាមទស្សនៈ DPI គឺសំណើ DNS ចម្បងទៅកាន់ _esni.cloudflare.com ។ ប៉ុន្តែយើងបានបើកសំណើ DNS ដើម្បីបង្ហាញពីរបៀបដែលយន្តការនេះដំណើរការពីខាងក្នុង។

ដើម្បីទាញកម្រាលព្រំចេញពីក្រោម DPI យើងប្រើយន្តការ DNS-over-HTTPS ដែលបានរៀបរាប់រួចហើយ។ ការពន្យល់តិចតួច - DOH គឺជាពិធីការដែលអនុញ្ញាតឱ្យអ្នកការពារប្រឆាំងនឹងការវាយប្រហារដោយមនុស្សនៅកណ្តាលដោយផ្ញើសំណើ DNS លើ HTTPS ។

សូមអនុវត្តសំណើម្តងទៀត ប៉ុន្តែលើកនេះ យើងនឹងទទួលបានសោសាធារណៈ eSNI តាមរយៈពិធីការ https មិនមែន DNS៖

ESNI_COVER="www.hello-rkn.ru" DOH_URL=https://mozilla.cloudflare-dns.com/dns-query ./curl-esni https://cloudflare.com/

សំណើរចាក់សំរាមចរាចរត្រូវបានបង្ហាញនៅក្នុងរូបថតអេក្រង់ខាងក្រោម៖

វាអាចត្រូវបានគេមើលឃើញថា curl ដំបូងចូលប្រើម៉ាស៊ីនមេ mozilla.cloudflare-dns.com តាមរយៈពិធីការ DoH (ការតភ្ជាប់ https ទៅកាន់ម៉ាស៊ីនមេ 104.16.249.249) ដើម្បីទទួលបានតម្លៃនៃសោសាធារណៈសម្រាប់ការអ៊ិនគ្រីប SNI ពីពួកគេ ហើយបន្ទាប់មកទៅកាន់គោលដៅ។ server, លាក់ខ្លួននៅពីក្រោយដែន www.hello-rkn.ru.

បន្ថែមពីលើកម្មវិធីដោះស្រាយ DoH ខាងលើ mozilla.cloudflare-dns.com យើងអាចប្រើប្រាស់សេវាកម្ម DoH ដ៏ពេញនិយមផ្សេងទៀត ជាឧទាហរណ៍ ពីសាជីវកម្មអាក្រក់ដ៏ល្បីល្បាញ។
តោះដំណើរការសំណួរខាងក្រោម៖

ESNI_COVER="www.kremlin.ru" DOH_URL=https://dns.google/dns-query ./curl-esni https://rutracker.nl/

ហើយយើងទទួលបានចម្លើយ៖

< HTTP/1.1 301 Moved Permanently
< Date: Sun, 03 Nov 2019 14:10:22 GMT
< Content-Type: text/html
< Transfer-Encoding: chunked
< Connection: keep-alive
< Set-Cookie: __cfduid=da0144d982437e77b0b37af7d00438b1a1572790222; expires=Mon, 02-Nov-20 14:10:22 GMT; path=/; domain=.rutracker.nl; HttpOnly; Secure
< Location: https://rutracker.nl/forum/index.php
< CF-Cache-Status: DYNAMIC
< Expect-CT: max-age=604800, report-uri="https://report-uri.cloudflare.com/cdn-cgi/beacon/expect-ct"
< Server: cloudflare
< CF-RAY: 52feee696f42d891-CPH

ក្នុងករណីនេះ យើងបានងាកទៅម៉ាស៊ីនមេ rutracker.nl ដែលត្រូវបានរារាំង ដោយប្រើ DoH solver dns.google (មិនមានការវាយអក្សរនៅទីនេះទេ ឥឡូវនេះសាជីវកម្មដ៏ល្បីល្បាញមានដែនកម្រិតទីមួយរបស់វា) និងគ្របដណ្តប់ខ្លួនយើងជាមួយនឹងដែនមួយផ្សេងទៀត ដែលតឹងរ៉ឹង។ ត្រូវបានហាមឃាត់សម្រាប់ DPIs ទាំងអស់ដើម្បីទប់ស្កាត់នៅក្រោមការឈឺចាប់នៃការស្លាប់។ ដោយផ្អែកលើការឆ្លើយតបដែលទទួលបាន អ្នកអាចយល់ថាសំណើរបស់យើងត្រូវបានដំណើរការដោយជោគជ័យ។

ជាការត្រួតពិនិត្យបន្ថែមថា DPI របស់អ្នកផ្តល់សេវាឆ្លើយតបទៅនឹង SNI បើកចំហ ដែលយើងបញ្ជូនជាគម្រប យើងអាចធ្វើការស្នើសុំទៅកាន់ rutracker.nl ក្រោមការក្លែងបន្លំនៃធនធានហាមឃាត់ផ្សេងទៀត ឧទាហរណ៍ កម្មវិធីតាមដាន torrent "ល្អ" មួយផ្សេងទៀត៖

$ ESNI_COVER="rutor.info" DOH_URL=https://dns.google/dns-query ./curl-esni https://rutracker.nl/

យើងនឹងមិនទទួលបានការឆ្លើយតបពីម៉ាស៊ីនមេទេ ដោយសារតែ... សំណើរបស់យើងនឹងត្រូវបានរារាំងដោយប្រព័ន្ធ DPI ។

ការសន្និដ្ឋានខ្លីទៅផ្នែកទីមួយ

ដូច្នេះ យើងអាចបង្ហាញមុខងាររបស់ eSNI ដោយប្រើ openssl និង curl និងសាកល្បងប្រតិបត្តិការនៃដែនខាងមុខដោយផ្អែកលើ eSNI ។ ដូចគ្នាដែរ យើងអាចសម្របឧបករណ៍ដែលអ្នកចូលចិត្តដែលប្រើបណ្ណាល័យ openssl ដើម្បីដំណើរការ "ក្រោមការក្លែងបន្លំ" នៃដែនផ្សេងទៀត។ ព័ត៌មានលម្អិតបន្ថែមអំពីរឿងនេះនៅក្នុងអត្ថបទបន្ទាប់របស់យើង។

ប្រភព: www.habr.com