Imagem:
Hoje, uma parte significativa de todo o conteúdo na internet é distribuída usando redes CDN. No entanto, estudos sobre como diferentes censores exercem influência sobre essas redes são escassos. Pesquisadores da Universidade de Massachusetts analisaram métodos potenciais de bloqueio de conteúdo CDN com base nas práticas das autoridades chinesas e desenvolveram uma ferramenta para contornar tais bloqueios.
Preparámos um material de análise com as principais conclusões e resultados deste experimento.
Introdução
A censura é uma ameaça global à liberdade de expressão na internet e ao acesso livre à informação. Em grande parte, isso é possível porque a internet adotou o modelo de comunicação 'end-to-end' das redes telefônicas dos anos 70. Isso permite bloquear o acesso a conteúdos ou comunicações de usuários sem grandes esforços ou custos, apenas com base no endereço IP. Existem várias formas de bloquear o próprio endereço com conteúdo proibido, até proibir os usuários de até mesmo conhecer esse conteúdo através da manipulação do DNS.
No entanto, o desenvolvimento da internet também trouxe novas maneiras de disseminar informações. Uma delas é o uso de conteúdo em cache para melhorar o desempenho e acelerar as comunicações. Hoje, os provedores de CDN lidam com um volume significativo de todo o tráfego mundial – somente a Akamai, líder neste setor, responde por até 30% do tráfego web estático global.
Uma rede CDN é um sistema distribuído para entregar conteúdo da internet com a máxima velocidade. Uma típica rede CDN consiste em servidores em vários pontos geográficos que armazenam em cache o conteúdo, para que possam 'entregá-lo' aos usuários que estão mais próximos desse servidor. Isso permite aumentar significativamente a velocidade das comunicações online.
Além de melhorar a qualidade do serviço para os usuários finais, a hospedagem em CDN ajuda os criadores de conteúdo a escalonar seus projetos, aliviando a carga sobre a infraestrutura.
Censura de conteúdo CDN
Apesar de o tráfego de CDN já representar uma parte significativa de toda a informação transmitida pela internet, ainda há pouca pesquisa sobre como os censores no mundo real abordam seu controle.
Os autores do estudo começaram investigando as técnicas de censura que podem ser aplicadas ao CDN. Em seguida, examinaram os mecanismos reais utilizados pelas autoridades da China.
Primeiro, vamos abordar os possíveis métodos de censura e a viabilidade de sua aplicação para controlar o CDN.
Filtragem por IP
Esta é a técnica de censura mais simples e barata da internet. Aplicando essa abordagem, o censor identifica e adiciona à lista negra IPs de recursos que hospedam conteúdo proibido. Então, os provedores de internet sob controle deixam de entregar pacotes enviados a esses endereços.
O bloqueio baseado em IP é um dos métodos de censura mais comuns da internet. A maioria dos dispositivos de rede comerciais é equipada com funções para realizar esses bloqueios sem custos computacionais sérios.
No entanto, esse método não é muito adequado para bloquear tráfego de CDN devido a algumas características da própria tecnologia:
- Cache distribuído – para garantir a melhor disponibilidade de conteúdo e otimizar o desempenho, as redes CDN armazenam em cache o conteúdo do usuário em um grande número de servidores de borda localizados em locais geograficamente distribuídos. Para filtrar esse conteúdo com base em IP, o censor precisaria conhecer os endereços de todos os servidores de borda e adicioná-los à lista negra. Isso afetaria as principais propriedades do método, pois sua maior vantagem é que, em um esquema normal, bloquear um servidor permite "cortar" o acesso ao conteúdo proibido imediatamente para um grande número de pessoas.
- IPs compartilhados – os provedores comerciais de CDN compartilham sua infraestrutura (ou seja, servidores de borda, sistema de mapeamento etc.) entre muitos clientes. Como resultado, o conteúdo CDN proibido é carregado pelos mesmos endereços IP que o conteúdo não proibido. Assim, qualquer tentativa de filtragem por IP levará ao bloqueio de um enorme número de sites e conteúdos que não interessam aos censores.
- Atribuição de IP de alto desempenho – para otimizar o balanceamento de carga e melhorar a qualidade do serviço, o mapeamento de servidores edge e usuários finais é realizado de maneira muito rápida e dinâmica. Por exemplo, a Akamai atualiza os endereços IP retornados a cada minuto. Isso tornará quase impossível o processo de associação de endereços a conteúdos proibidos.
Interferência de DNS
Além da filtragem de IP, outro método popular de censura é a interferência de DNS. Este abordagem envolve ações de censores para que os usuários não descubram os endereços IP de recursos com conteúdo proibido. Ou seja, a intervenção ocorre no nível de resolução de nomes de domínio. Existem várias maneiras de fazer isso, incluindo a interceptação de conexões DNS, o uso da técnica de envenenamento de DNS e o bloqueio de consultas DNS a sites proibidos.
Este é um modo muito eficaz de bloqueio, no entanto, pode ser contornado se forem usados métodos não convencionais de resolução de DNS, como canais fora de banda. Portanto, geralmente os censores combinam bloqueios de DNS com filtragem de IP. Mas, como mencionado acima, a filtragem de IP não é eficaz para censurar conteúdo de CDN.
Filtragem por URL/Palavras-chave usando DPI
Equipamentos modernos para monitoramento de atividade de rede podem ser usados para analisar URLs e palavras-chave específicas nos pacotes de dados transmitidos. Essa tecnologia é chamada DPI (inspeção profunda de pacotes). Esses sistemas encontram menções a palavras e recursos proibidos, e em seguida ocorre a intervenção na comunicação online. Como resultado, os pacotes são simplesmente descartados.
Esse método é eficaz, mas mais complexo e exige mais recursos, pois requer a defragmentação de todos os pacotes de dados enviados dentro de determinados fluxos.
O conteúdo da CDN pode ser protegido contra esse tipo de filtragem da mesma forma que o conteúdo "comum" – em ambos os casos, a utilização de criptografia (ou seja, HTTPS) é útil.
Além de usar DPI para buscar palavras-chave ou URLs de conteúdos proibidos, essas ferramentas podem ser utilizadas para uma análise mais avançada. Esses métodos incluem análise estatística do tráfego online/offline e análise de logs de identificação. Esses métodos são extremamente exigentes em termos de recursos e, no momento, não há evidências suficientes de seu uso por censores em um volume considerável.
Autocensura de provedores de CDN
Se o censor é o estado, ele tem todas as condições para proibir a operação de provedores de CDN no país que não cumprem as leis locais que regulam o acesso ao conteúdo. É impossível resistir à autocensura - portanto, se uma empresa fornecedora de CDN está interessada em operar em um determinado país, ela será forçada a cumprir as leis locais, mesmo que restrinjam a liberdade de expressão.
Como a China censura o conteúdo de CDN
O grande firewall chinês é justamente considerado o sistema mais eficaz e avançado para garantir a censura na internet.
Metodologia da pesquisa
Os pesquisadores realizaram experimentos com um nó Linux localizado dentro da China. Eles também tinham acesso a vários computadores fora do país. Primeiro, os pesquisadores verificaram o que era censurado a partir do nó, de forma semelhante ao que é aplicado a outros usuários chineses - para isso, tentaram acessar diversos sites proibidos a partir dessa máquina. Assim, a presença do mesmo nível de censura foi confirmada.
A lista de sites bloqueados na China que usam CDN foi obtida no site GreatFire.org. Em seguida, foi realizada a análise do modo de bloqueio em cada caso.
De acordo com dados abertos, o único grande jogador do mercado de CDN com infraestrutura própria na China é a Akamai. Outros provedores que participaram da pesquisa foram: CloudFlare, Amazon CloudFront, EdgeCast, Fastly e SoftLayer.
Durante os experimentos, os pesquisadores descobriram os endereços dos servidores edge da Akamai dentro do país e tentaram acessar o conteúdo em cache permitido por meio deles. O acesso ao conteúdo proibido não foi possível (retornou erro HTTP 403 Forbidden) - é evidente que a empresa realiza autocensura para manter a possibilidade de operação no país. No entanto, fora do país, o acesso a esses recursos permaneceu aberto.
Provedores sem infraestrutura na China não utilizam autocensura para usuários locais.
Para os demais provedores, o método de bloqueio mais utilizado foi a filtragem de DNS – as solicitações a sites bloqueados são redirecionadas para endereços IP incorretos. Nesse caso, o firewall não bloqueia os próprios edge servers da CDN, uma vez que eles armazenam tanto informações proibidas quanto permitidas.
E, se no caso de tráfego não criptografado as autoridades têm a possibilidade de bloquear páginas específicas de sites usando DPI, ao utilizar HTTPS elas podem apenas proibir o acesso a todo o domínio como um todo. Isso resulta também no bloqueio de conteúdo permitido.
Além disso, na China há provedores de CDN próprios, entre eles redes como ChinaCache, ChinaNetCenter e CDNetworks. Todas essas empresas cumprem integralmente a legislação do país e bloqueiam conteúdo proibido.
CacheBrowser: ferramenta de contorno de bloqueios utilizando CDN
Como demonstrou a análise, é bastante difícil para os censores bloquear conteúdo da CDN. Portanto, os pesquisadores decidiram ir além e desenvolver uma ferramenta de contorno de bloqueios online que não utilizará a tecnologia de proxy.
A ideia principal da ferramenta é que, para bloquear a CDN, os censores precisam interferir no funcionamento do DNS, no entanto, para carregar o conteúdo da CDN, na verdade, não é necessário utilizar resolução de nomes de domínio. Assim, o usuário pode acessar o conteúdo desejado, entrando diretamente no edge server onde foi previamente armazenado.
No diagrama abaixo, a estrutura do sistema é apresentada.
Um software cliente é instalado no computador do usuário, e para acessar o conteúdo, é utilizado um navegador comum.
Ao solicitar um URL ou parte de um conteúdo já solicitado, o navegador envia uma solicitação para o sistema DNS local (LocalDNS) para obter o endereço IP do hospedagem. O DNS comum é consultado apenas para domínios que ainda não estão na base de dados do LocalDNS. O módulo Scraper percorre constantemente os URLs solicitados e busca na lista nomes de domínio potencialmente bloqueados. Em seguida, o Scraper se direciona ao módulo Resolver para resolver os novos domínios bloqueados descobertos; este módulo executa a tarefa e adiciona uma entrada ao LocalDNS. Em seguida, o cache DNS do navegador é limpo para remover os registros DNS existentes para o domínio bloqueado.
Se o módulo Resolver não consegue entender a qual provedor de CDN pertence o domínio, ele pedirá ajuda ao módulo Bootstrapper.
Como isso funciona na prática
O software cliente do produto foi implementado para Linux, mas pode ser facilmente portado também para Windows. O navegador utilizado é o comum Mozilla
Firefox. Os módulos Scraper e Resolver são escritos em Python e as bases de dados Customer-to-CDN e CDN-to-IP são armazenadas em arquivos .txt. O arquivo /etc/hosts no Linux atua como a base de dados do LocalDNS.
Como resultado, para um URL bloqueado do tipo o script irá obter o endereço IP do edge server do arquivo /etc/hosts e enviar uma solicitação HTTP GET para acessar o BlockedURL.html com os campos do cabeçalho HTTP Host:
blocked.com/ e User-Agent: Mozilla/5.0 (Windows NT 5.1; rv:14.0) Gecko/20100101 Firefox/14.0.1O módulo Bootstrapper é implementado com a ajuda da ferramenta gratuita digwebinterface.com. Este resolvedor DNS não pode ser bloqueado e responde a solicitações DNS em nome de vários servidores DNS distribuídos geograficamente em diferentes regiões de rede.
Com essa ferramenta, os pesquisadores conseguiram acessar o Facebook a partir de seu nó na China – embora a rede social esteja há muito bloqueada na China.
Conclusão
O experimento mostrou que os problemas que os censores enfrentam ao tentar bloquear conteúdo de CDN podem ser usados para criar um sistema de contorno de bloqueios. Essa ferramenta permite contornar restrições mesmo na China, onde uma das mais poderosas sistemas de censura online está em vigor.
Outros artigos sobre o uso de para negócios:
Fonte: habr.com
