Kitajska vse HTTPS-povezav, kjer se uporablja protokol TLS 1.3 in razširitev TLS ESNI (Encrypted Server Name Indication), ki zagotavlja šifriranje podatkov o zahtevanem gostitelju. Blokada se izvaja na tranzitnih usmerjevalnikih tako za povezave, ki se vzpostavljajo iz Kitajske v preostali svet, kot tudi iz preostalega sveta v Kitajsko.
Za blokado se izvede zavračanje paketov od odjemalca do strežnika, namesto da bi se vstavljali paketi z zastavico RST, kar je bilo prej izvajano pri selektivni blokadi po vsebini SNI. Po aktiviranju blokade paketa z ESNI se v času od 120 do 180 sekund blokirajo tudi vsi omrežni paketi, ki ustrezajo povezavi iz izvornega IP, ciljnega IP in številke ciljanega porta. HTTPS-povezave na osnovi starejših različic TLS in TLS 1.3 brez ESNI se obravnavajo normalno.
Spomnimo, da je bilo za organizacijo delovanja več HTTPS-spletnih mest na enem IP-naslovu razvito razširitev SNI, ki omogoča prenos imena gostitelja v odprti obliki v sporočilu ClientHello, ki se pošlje pred vzpostavitvijo šifriranega komunikacijskega kanala. Takšna posebnost omogoča internetnim ponudnikom selektivno filtriranje HTTPS-prometa in analizo, kateri spletni strani odpirajo uporabniki, kar ne omogoča popolne zasebnosti pri uporabi HTTPS.
Nova TLS-razširitev ECH (prej ESNI), ki se lahko uporablja skupaj s TLS 1.3, odpravlja to pomanjkljivost in popolnoma izključuje uhajanje informacij o zahtevanem spletnem mestu pri analizi HTTPS-povezav. V kombinaciji z dostopom prek omrežja za distribucijo vsebine uporaba ECH/ESNI prav tako omogoča skriti IP-naslov zahtevanega vira pred ponudnikom. Sistemi za pregledovanje prometa bodo videli le klice do CDN in ne bodo mogli izvesti blokade brez zamenjave TLS-seje, v primeru katere bo uporabniku v brskalniku prikazano ustrezno obvestilo o zamenjavi certifikata. Možen kanal uhajanja ostaja DNS, vendar za skrivanje poizvedb do DNS lahko stranka uporablja DNS-over-HTTPS ali DNS-over-TLS.
Raziskovalci so že več načinov za obhod kitajske blokade na strani odjemalca in strežnika, vendar morda izgubijo veljavnost in jih je treba obravnavati le kot začasno rešitev. Na primer, trenutno so blokirana le paketi z identifikatorjem razširitve ESNI 0xffce (encrypted_server_name), ki se je uporabljal v , a paketi z aktualnim identifikatorjem 0xff02 (encrypted_client_hello), ki ga predlaga .
Druga možnost obhoda je uporaba nestandardnega postopka dogovarjanja o povezavi, na primer, blokada se ne aktivira pri predhodnem pošiljanju dodatnega SYN-paketa z napačnim zaporednim številom, manipulacijah z zastavicami fragmentacije paketov, pošiljanju paketa z istočasno nastavitvijo zastavic FIN in SYN, nadomeščanju RST-paketa z napačno kontrolno vsoto ali pošiljanju paketa z zastavicami SYN in ACK pred začetkom dogovarjanja o povezavi. Opisane metode so že realizirane v obliki dodatka k orodju , za obhod cenzurnih metod.
Izvor: opennet.ru
