Експеримент со CacheBrowser: заобиколување на кинескиот заштитен ѕид без прокси користејќи кеширање содржина

Слика: Unsplash

Денес, значителен дел од целата содржина на Интернет се дистрибуира со помош на CDN мрежите. Во исто време, истражување за тоа како различни цензори го прошируваат своето влијание врз таквите мрежи. Научниците од Универзитетот во Масачусетс анализирани можни методи за блокирање на содржината на ЦДН користејќи го примерот на практиките на кинеските власти, а исто така развија алатка за заобиколување на таквото блокирање.

Подготвивме прегледен материјал со главните заклучоци и резултати од овој експеримент.

Вовед

Цензурата е глобална закана за слободата на говорот на Интернет и слободниот пристап до информации. Ова е во голема мера можно поради фактот што Интернетот го позајми моделот „комуникација од крај до крај“ од телефонските мрежи од 70-тите години на минатиот век. Ова ви овозможува да го блокирате пристапот до содржината или корисничките комуникации без значителен напор или трошоци едноставно врз основа на IP адресата. Тука има неколку методи, од блокирање на самата адреса со забранета содржина до блокирање на способноста на корисниците дури и да ја препознаат користејќи манипулација со DNS.

Сепак, развојот на интернетот доведе и до појава на нови начини на ширење на информации. Една од нив е употребата на кеширана содржина за подобрување на перформансите и забрзување на комуникациите. Денес, провајдерите на CDN обработуваат значителен дел од целиот сообраќај во светот - Akamai, лидерот во овој сегмент, сам сочинува до 30% од глобалниот статичен веб сообраќај.

Мрежата CDN е дистрибуиран систем за доставување содржина на Интернет со максимална брзина. Типична CDN мрежа се состои од сервери на различни географски локации кои кешираат содржина за да ја сервираат на корисниците кои се најблиску до тој сервер. Ова ви овозможува значително да ја зголемите брзината на онлајн комуникацијата.

Покрај подобрувањето на искуството за крајните корисници, хостирањето CDN им помага на креаторите на содржини да ги размерат своите проекти со намалување на оптоварувањето на нивната инфраструктура.

Цензурирање на содржината на ЦДН

И покрај фактот дека сообраќајот CDN веќе сочинува значителен дел од сите информации што се пренесуваат преку Интернет, сè уште нема речиси никакво истражување за тоа како цензорите во реалниот свет пристапуваат кон неговата контрола.

Авторите на студијата започнаа со истражување на техники за цензурирање што може да се применат на CDN. Потоа ги проучувале вистинските механизми што ги користеле кинеските власти.

Прво, да разговараме за можните методи на цензурирање и можноста за нивно користење за контрола на CDN.

Филтрирање на IP

Ова е наједноставната и најевтина техника за цензурирање на Интернет. Користејќи го овој пристап, цензорот ги идентификува и става на црни листи IP адресите на ресурсите што хостираат забранета содржина. Тогаш контролираните интернет провајдери престануваат да доставуваат пакети испратени на такви адреси.

Блокирањето базирано на IP е еден од најчестите методи за цензурирање на Интернет. Повеќето комерцијални мрежни уреди се опремени со функции за спроведување на такво блокирање без значителен пресметковен напор.

Сепак, овој метод не е многу погоден за блокирање на сообраќајот CDN поради некои својства на самата технологија:

• Дистрибуирано кеширање – за да се обезбеди најдобра достапност на содржината и да се оптимизираат перформансите, мрежите CDN кешираат корисничка содржина на голем број раб сервери лоцирани на географски распоредени локации. За да ја филтрира таквата содржина врз основа на IP, цензорот ќе треба да ги дознае адресите на сите сервери на работ и да ги стави на црна листа. Ова ќе ги поткопа главните својства на методот, бидејќи неговата главна предност е што во вообичаената шема, блокирањето на еден сервер ви овозможува да го „отсечете“ пристапот до забранетата содржина за голем број луѓе одеднаш.
• Заеднички IP-адреси – комерцијалните ЦДН провајдери ја споделуваат својата инфраструктура (т.е. сервери на работ, систем за мапирање итн.) помеѓу многу клиенти. Како резултат на тоа, забранетата CDN содржина се вчитува од истите IP адреси како и незабранетите содржини. Како резултат на тоа, секој обид за филтрирање на IP ќе резултира со блокирање на огромен број страници и содржини кои не се од интерес за цензорите.
• Високо динамично доделување на IP – за да се оптимизира балансирањето на оптоварувањето и да се подобри квалитетот на услугата, мапирањето на рабните сервери и крајните корисници се врши многу брзо и динамично. На пример, ажурирањата на Akamai враќаа IP адреси секоја минута. Ова ќе го направи речиси невозможно адресите да бидат поврзани со забранета содржина.

DNS пречки

Покрај филтрирањето IP, друг популарен метод за цензурирање е пречки во DNS. Овој пристап вклучува активности на цензори насочени кон спречување на корисниците да ги научат IP адресите на ресурсите со забранета содржина. Односно, интервенцијата се случува на ниво на резолуција на името на доменот. Постојат неколку начини да го направите ова, вклучително и киднапирање на DNS конекции, користење на техники за труење со DNS и блокирање на барања за DNS до забранети сајтови.

Ова е многу ефикасен метод за блокирање, но може да се заобиколи ако користите нестандардни методи за резолуција на DNS, на пример, канали надвор од опсегот. Затоа, цензорите обично комбинираат блокирање на DNS со филтрирање на IP. Но, како што е наведено погоре, филтрирањето IP не е ефективно при цензурирање на содржината на CDN.

Филтрирајте по URL/Клучни зборови користејќи DPI

Модерната опрема за следење на активностите на мрежата може да се користи за анализа на одредени URL-адреси и клучни зборови во пренесените пакети со податоци. Оваа технологија се нарекува DPI (длабока проверка на пакети). Таквите системи наоѓаат спомнување на забранети зборови и ресурси, по што тие се мешаат во онлајн комуникацијата. Како резултат на тоа, пакетите едноставно се испуштаат.

Овој метод е ефикасен, но покомплексен и поинтензивен за ресурси бидејќи бара дефрагментација на сите пакети со податоци испратени во одредени текови.

Содржината на CDN може да се заштити од такво филтрирање на ист начин како и „редовната“ содржина - во двата случаи помага употребата на шифрирање (т.е. HTTPS).

Покрај користењето на DPI за наоѓање клучни зборови или URL-адреси на забранети ресурси, овие алатки може да се користат за понапредна анализа. Овие методи вклучуваат статистичка анализа на онлајн/офлајн сообраќај и анализа на протоколи за идентификација. Овие методи се екстремно интензивни за ресурси и во моментот едноставно нема докази за нивната употреба од страна на цензорите во доволно сериозна мера.

Самоцензура на давателите на ЦДН

Ако цензорот е државата, тогаш таа ги има сите можности да им забрани на оние ЦДН провајдери да работат во земјата кои не ги почитуваат локалните закони кои го регулираат пристапот до содржината. На никаков начин не може да и се одолее на самоцензурата - затоа, ако компанија давател на CDN е заинтересирана да работи во одредена земја, ќе биде принудена да се придржува до локалните закони, дури и ако тие ја ограничуваат слободата на говорот.

Како Кина ја цензурира содржината на ЦДН

Големиот заштитен ѕид на Кина со право се смета за најефикасен и најнапреден систем за обезбедување цензура на Интернет.

Методологија на истражување

Научниците спроведоа експерименти користејќи јазол Линукс лоциран во Кина. Имаа пристап и до неколку компјутери надвор од државата. Прво, истражувачите проверија дали јазолот е подложен на цензура слична на онаа што се применува кај другите кинески корисници - за да го направат ова, тие се обидоа да отворат разни забранети страници од оваа машина. Така беше потврдено присуството на исто ниво на цензура.

Списокот на веб-локации блокирани во Кина кои користат CDN е преземен од GreatFire.org. Потоа беше анализиран методот на блокирање во секој случај.

Според јавните податоци, единствениот голем играч на пазарот ЦДН со сопствена инфраструктура во Кина е Акамаи. Други провајдери кои учествуваат во студијата: CloudFlare, Amazon CloudFront, EdgeCast, Fastly и SoftLayer.

За време на експериментите, истражувачите ги открија адресите на серверите на Akamai edge во земјата, а потоа се обидоа да добијат кеш дозволена содржина преку нив. Не беше возможно да се пристапи до забранети содржини (вратена е грешка HTTP 403 Forbidden) - очигледно компанијата се самоцензурира за да ја задржи способноста да работи во земјата. Во исто време, пристапот до овие ресурси остана отворен надвор од земјата.

Интернет провајдерите без инфраструктура во Кина не се самоцензурираат локалните корисници.

Во случај на други провајдери, најчесто користениот метод за блокирање беше филтрирање DNS - барањата до блокираните страници се решаваат на неточни IP адреси. Во исто време, заштитниот ѕид не ги блокира самите CDN сервери, бидејќи тие ги складираат и забранетите и дозволените информации.

И ако во случај на нешифриран сообраќај, властите имаат можност да блокираат поединечни страници на сајтови користејќи DPI, тогаш кога користат HTTPS тие можат само да го забранат пристапот до целиот домен како целина. Ова исто така води до блокирање на дозволената содржина.

Покрај тоа, Кина има свои провајдери CDN, вклучувајќи мрежи како ChinaCache, ChinaNetCenter и CDNetworks. Сите овие компании целосно ги почитуваат законите на земјата и блокираат забранети содржини.

CacheBrowser: Алатка за бајпас на CDN

Како што покажа анализата, за цензорите е доста тешко да ја блокираат содржината на CDN. Затоа, истражувачите одлучија да одат подалеку и да развијат онлајн алатка за бајпас на блокови која не користи прокси технологија.

Основната идеја на алатката е дека цензорите треба да се мешаат со DNS за да ги блокираат CDN-ите, но всушност не мора да користите резолуција на името на доменот за да ја вчитате содржината на CDN. Така, корисникот може да ја добие потребната содржина со директно контактирање на серверот на работ, каде што е веќе кеширана.

Дијаграмот подолу го прикажува дизајнот на системот.

Клиентскиот софтвер е инсталиран на компјутерот на корисникот и се користи обичен прелистувач за пристап до содржината.

Кога URL-то или дел од содржината е веќе побарано, прелистувачот поднесува барање до локалниот DNS систем (LocalDNS) за да ја добие IP адресата за хостирање. Редовниот DNS се бара само за домени кои веќе не се во базата на податоци LocalDNS. Модулот Scraper континуирано поминува низ бараните URL-адреси и ја пребарува листата за потенцијално блокирани имиња на домени. Скрепер потоа го повикува модулот Resolver за да ги реши новооткриените блокирани домени, овој модул ја извршува задачата и додава запис во LocalDNS. DNS кешот на прелистувачот потоа се брише за да се отстранат постоечките записи DNS за блокираниот домен.

Ако модулот Resolver не може да открие на кој CDN провајдер му припаѓа доменот, ќе побара помош од модулот Bootstrapper.

Како функционира во пракса

Клиентскиот софтвер на производот беше имплементиран за Linux, но може лесно да се пренесе и за Windows. Редовната Mozilla се користи како прелистувач
Firefox. Модулите Scraper и Resolver се напишани во Python, а базите на податоци Customer-to-CDN и CDN-toIP се зачувани во .txt датотеки. Базата на податоци LocalDNS е редовната датотека /etc/hosts во Linux.

Како резултат на тоа, за блокирана URL како блокирани.com Скриптата ќе ја добие IP адресата на рабниот сервер од датотеката /etc/hosts и ќе испрати барање HTTP GET за пристап до BlockedURL.html со полињата за заглавие на Host HTTP:

blocked.com/ and User-Agent: Mozilla/5.0 (Windows
NT 5.1; rv:14.0) Gecko/20100101 Firefox/14.0.1

Модулот Bootstrapper се имплементира со помош на бесплатната алатка digwebinterface.com. Овој разрешувач на DNS не може да се блокира и одговара на прашања за DNS во име на повеќе географски дистрибуирани DNS сервери во различни мрежни региони.

Користејќи ја оваа алатка, истражувачите успеаја да добијат пристап до Facebook од нивниот кинески јазол, иако социјалната мрежа одамна е блокирана во Кина.

Заклучок

Експериментот покажа дека искористувањето на проблемите што ги доживуваат цензорите кога се обидуваат да ја блокираат содржината на CDN може да се искористи за создавање систем за заобиколување блокови. Оваа алатка ви овозможува да ги заобиколите блоковите дури и во Кина, која има еден од најмоќните онлајн системи за цензура.

Други статии на тема употреба резидентни полномошници за бизнис:

• Како резиденцијалните прокси помагаат во бизнисот: вистински случај на користење на Infatica во областа на податоци за рударство
• Парсирање. Како работи SOCKS прокси: добрите, лошите страни, разликите од другите технологии
• Како да изберете прокси мрежа за бизнис: 3 практични совети

Извор: www.habr.com