Projektet Geneva utvecklar en motor för automatisering av kringgånget av censurering av trafik

Forskare från universitetet i Maryland har inom ramen för projektet Geneva gjort ett försök att skapa en motor för automatisering av metoder som används för att censurera åtkomst till innehåll. Att manuellt försöka gå igenom möjliga brister i system för djup paketinspektion (DPI) är en ganska svår och tidskrävande process, i Genève har man försökt använda genetiska algoritmer för att utvärdera egenskaperna hos DPI, identifiera fel i implementeringen och formulera en optimal strategi för att kringgå blockeringar på klientsidan. Projektkoden är skriven i Python.

Den DPI-utrustning som används för blockering har sina brister, vilket gör det möjligt att dölja anropet till en förbjuden resurs eller undvika blockering. Till exempel, i det enklaste fallet vid blockering genom att använda en falsk svar (används av passiva DPI) är det tillräckligt att på klientsidan avvisa det falska svaret som skickades av DPI. Vid användning av aktiv DPI kan man försöka dölja själva faktumet av att man försöker nå den blockerade webbplatsen, genom att lite förändra HTTP-förfrågans parametrar (till exempel genom att lägga till ett extra mellanslag efter "GET"), separera TLS-anslutningens handskakningsdata i flera paket eller utföra attackerna TCB Teardown och TCB Desync. Poängen med dessa attacker är att klienten i början skickar ett falskt paket med data eller RST/ACK-flaggor, som inte kommer att mottas av målhosten, men som DPI kommer att fånga, basera sitt beslut på och inte analysera det efterföljande paketet med den verkliga förfrågan (till exempel kan ett annat SNI anges i det falska första paketet, och för att dölja detta paket från målhosten kan ett lågt TTL anges, samt en felaktig checksumma, flaggor eller ett TCP-sekvensnummer).

Geneva att utveckla en fungerande metod för att kringgå DPI, med hjälp av fyra grundläggande primitiva för manövrering med nätverkspaket — avvisning, ändring av rubriker, duplicering och fragmentering. För att söka efter den optimala strategin används en genetisk algoritm som modellerar processer liknande naturligt urval, genom att slumpmässigt kombinera olika alternativ för manipulation av paket. I slutändan kombineras primitiva till ett "handlingsträd" som definierar algoritmen för att kringgå DPI.

align=top

Geneva har framgångsrikt testats för att kringgå censurmetoder som tillämpas i Kina, Indien och Kazakstan. Med hjälp av Geneva har flera nya sårbarheter upptäckts som tidigare var okända. Det bör noteras att Geneva endast är effektiv för att kringgå blockeringar baserade på DPI, medan det är värdelöst vid blockeringar via IP-adresser och utan VPN går det inte att kringgå. identifierats flera dussin standardstrategier för att kringgå DPI som kan testas direkt utan en fullständig analys, till exempel:

python3 engine.py —server-port 80 —strategy «[TCP:flags:PA]-duplicate(tamper{TCP:dataofs:replace:10} tamper{TCP:chksum:corrupt},),)-|» —log debug

2020-01-24 20:54:41 DEBUG:[ENGINE] Motorn skapad med strategi \/ (ID bm3kdw3r) till port 80
2020-01-24 20:54:41 DEBUG:[ENGINE] Konfigurerar iptables-regler
2020-01-24 20:54:41 DEBUG:[ENGINE] iptables -A OUTPUT -p tcp —sport 80 -j NFQUEUE —queue-num 1
2020-01-24 20:54:41 DEBUG:[ENGINE] iptables -A INPUT -p tcp —dport 80 -j NFQUEUE —queue-num 2
2020-01-24 20:54:41 DEBUG:[ENGINE] iptables -A OUTPUT -p udp —sport 80 -j NFQUEUE —queue-num 1
2020-01-24 20:54:41 DEBUG:[ENGINE] iptables -A INPUT -p udp —dport 80 -j NFQUEUE —queue-num 2

Källa: opennet.ru