⁣ Статья Интернет-цензура

[Журналист]

Тема Интернет-цензуры становится все более насущной. Государство стремится контролировать Сеть с весьма прозаичными целями, но всегда есть часть несогласных, которые ищут новые методы обхода блокировок. И между ними идет игра в догонялки. Запретили сайты – люди поставили прокси. Стали банить прокси – стали юзать VPN. Прикрыли VPN – люди стали делать обфускацию траффика. И эта борьба будет вечной, ведь на каждый хитрый болт найдется гайка с левой резьбой. Причем, как у той, так и другой стороны.

Взглянем на ситуацию с юридической точки зрения. Хоть РКН блокирует доступ к целому ряду сайтов и ресурсов, по состоянию на 2024 год использование VPN и обфускации не является нарушением закона (тут) и (тут). Нельзя только рекламировать и популяризировать VPN и другие средства обхода блокировок. Поскольку разговор у нас исключительно научно-образовательный, поговорим мы про технологическую составляющую этой борьбы.

Вначале было слово список. Первые попытки ограничивать юзерам вход в Интернет начинались с создания черного списка IP-адресов, куда ходить совсем не можно. На втором этапе подключили анализ заголовков, специальный софт для анализа DNS и другие инструменты. Но все это нивелировалось одним простым словом: прокси. Потому что на плохие сайты ходить нельзя, а на прокси можно. А уже оттуда человек перебирался туда, куда его не пускают.

Для борьбы с прокси был создан DPI. Он же Deep Package Inspection, глубокий анализ пакетов. Поскольку первые прокси использовали незашифрованный канал, по ключевым словам в URL запросы могли блокировать. Введение шифрования лишило DPI доступа к заголовкам. Тогда DPI доработали, чтобы он мог определять тип траффика – если он отличается от стандартных форм, то включается режим банхаммера. Например, идет бан по срокам TLS. Уважаемые корпоративные ресурсы покупают себе сертификат на несколько лет вперед, а всякие нехорошие сайты для обхода блокировок – нет. Поэтому туда людей пускать совсем не нужно.

В ответ на это была создана хитрая штука – обфускация траффика. Первый вариант – рандомизация. Этот метод превращает траффик в «пирожок ни с чем», то есть траффик перестает быть похожим на известную сетевую активность. На это последовал простой ответ: белые списки. Поэтому если траффик не содержит в себе адреса разрешенных ресурсов – его тоже блокируют.

Второй вариант – мимикрия. Если можно ходить только на белые адреса – нужно маскироваться под белые адреса. Поэтому обфускаторы делают траффик похожим на часто используемые протоколы. Пока это работает. Но проблема в том, что сделать такой траффик полностью идентичным не выйдет и при наличии серьезных ресурсов отделить его можно. Но в связке с туннелированием этот подход пока побороть не могут. Но то ли еще будет. Теперь вы знаете немного больше.​