Čína všetky HTTPS pripojenia, ktoré používajú protokol TLS 1.3 a rozšírenie TLS ESNI (Encrypted Server Name Indication), ktoré zabezpečuje šifrovanie údajov o požadovanom hostiteľovi. Blokovanie prebieha na tranzitných smerovačoch ako pre pripojenia z Číny do vonkajšieho sveta, tak aj z vonkajšieho sveta do Číny.
Na blokovanie sa vykonáva odmietanie paketov od klienta k serveru, a nie zasielanie paketov s prapore RST, ktoré sa predtým vykonávalo pri selektívnom blokovaní na základe obsahu SNI. Po spustení blokovania paketu s ESNI sú tiež na 120 až 180 sekúnd zablokované všetky sieťové pakety, ktoré zodpovedajú spojeniu z počiatočnej IP, cieľovej IP a cieľového čísla portu. HTTPS pripojenia založené na starých verziách TLS a TLS 1.3 bez ESNI sú prepušťané ako obvykle.
Pripomeňme, že pre organizáciu práce viacerých HTTPS stránok na jednej IP adrese bolo vyvinuté rozšírenie SNI, ktoré prenáša názov hostiteľa v otvorenej podobe v správe ClientHello, zasielanej pred vytvorením šifrovaného kanála. Táto vlastnosť umožňuje poskytovateľovi internetu selektívne filtrovať HTTPS prevádzku a analyzovať, aké stránky používateľ navštevuje, čo neumožňuje dosiahnuť úplnú dôvernosť pri používaní HTTPS.
Nové TLS rozšírenie ECH (predtým ESNI), ktoré môže byť použité spoločne s TLS 1.3, odstraňuje tento nedostatok a úplne vylučuje únik informácií o požadovanej stránke pri analýze HTTPS pripojení. V kombinácii s využitím cez sieť na doručovanie obsahu uplatnenie ECH/ESNI tiež umožňuje skryť pred poskytovateľom aj IP adresu požadovaného zdroja. Systémy na kontrolu prevádzky uvidia iba požiadavky na CDN a nebudú schopné aplikovať blokovanie bez zmeny TLS relácie, pri ktorej sa v prehliadači používateľa zobrazí príslušné upozornenie o zmene certifikátu. Možným kanálom úniku zostáva DNS, ale na skrytie dotazu na DNS môže klient použiť DNS-over-HTTPS alebo DNS-over-TLS.
Vedci už Existuje niekoľko obchádzacích metód na obídenie čínskej blokácie na strane klienta a servera, ale môžu stratiť aktuálnosť a mali by sa považovať iba za dočasné opatrenie. Napríklad, v súčasnosti sú blokované iba pakety s identifikátorom rozšírenia ESNI 0xffce (encrypted_server_name), ktorý bol použitý v , ale zatiaľ prechádzajú pakety s aktuálnym identifikátorom 0xff02 (encrypted_client_hello), navrhnutým v .
Inou možnosťou obchádzania je použitie нестандартного procesu vyjednávania pripojenia, napríklad blokácia nefunguje pri predbežnom odoslaní dodatočného SYN-paketu s nesprávnym poradovým číslom, manipuláciami s flagmi fragmentácie paketov, odoslaní paketu s naraz nastavenými flagmi FIN a SYN, nahradení RST-paketu s neplatnou kontrolnou súčtom alebo odoslaní paketu s flagmi SYN a ACK pred začiatkom vyjednávania pripojenia. Opísané metódy už boli implementované vo forme pluginu pre nástroje , na obídenie cenzorských metód.
Zdroj: opennet.ru
