Великий китайський фаєрвол часто уявляють як величезний список заборонених сайтів: користувач намагається відкрити Google, YouTube або інший заблокований ресурс, а система просто не пропускає з’єднання. Насправді сучасна китайська інфраструктура інтернет-фільтрації набагато складніша.
За кілька десятиліть вона пройшла шлях від відносно простого блокування доменів та IP-адрес до системи, здатної аналізувати поведінку зашифрованих з’єднань і автоматично визначати трафік, який намагається виглядати як випадковий набір даних.
Особливо показовим став 2021 рік. Тоді дослідники GFW Report зафіксували новий механізм, який дозволив Великому фаєрволу в реальному часі масово блокувати повністю зашифровані протоколи Shadowsocks, VMess і obfs4 навіть без попередньої активної перевірки сервера.
Це стало черговим етапом багаторічної технологічної гонки між китайською системою цензури та розробниками інструментів її обходу.
Спочатку достатньо було підмінити адресу
Перші покоління Великого фаєрволу значною мірою спиралися на кілька відносно простих методів.
Один із них — DNS-підміна. Коли комп’ютер запитує, якій IP-адресі відповідає певний домен, система цензури може підкинути неправильну відповідь. У результаті користувач не потрапляє на потрібний сервер, навіть якщо сам сайт продовжує нормально працювати.
Масштабне дослідження GFWatch показало, наскільки великою стала ця система. Під час дев’ятимісячних вимірювань науковці перевіряли в середньому 411 млн доменів щодня та виявили понад 311 тисяч доменів, до яких застосовувалася DNS-цензура. Причому через особливості правил блокування під них потрапляли й тисячі невинних адрес.
Другий очевидний метод — блокування IP-адрес.
Ще один механізм працює безпосередньо з незашифрованою інформацією всередині з’єднання. Наприклад, фаєрвол може побачити домен у HTTP-запиті або в полі SNI під час встановлення TLS-з’єднання і примусово розірвати його за допомогою підроблених TCP-пакетів.
Але з поширенням шифрування ефективність таких підходів почала знижуватися.
VPN виявилися зашифрованими, але не невидимими
Звичайний VPN добре приховує вміст переданих даних. Інтернет-провайдер уже не бачить, яку сторінку читає користувач або що саме він передає.
Але це не означає, що неможливо визначити сам факт використання певного протоколу.
Різні системи встановлюють з’єднання по-різному, мають характерну структуру перших пакетів та інші мережеві «відбитки». Для системи глибокого аналізу пакетів, або DPI, цього іноді достатньо, щоб відрізнити звичайне HTTPS-з’єднання від Tor чи певного VPN-протоколу.
Китай пішов ще далі та почав використовувати активне зондування.
Механізм працює приблизно так: фаєрвол бачить з’єднання, яке нагадує заборонений протокол, після чого з китайської мережі до підозрілого сервера надсилається спеціально сформований запит. За реакцією сервера система намагається визначити, чи справді перед нею проксі або вузол Tor.
Дослідження Tor Project показували, що таким способом Великий фаєрвол навчився перевіряти Tor, obfs2, obfs3 та інші системи. Причому тисячі IP-адрес, з яких надходили перевірки, імовірно контролювалися централізованою інфраструктурою.
Таким чином фаєрвол не просто спостерігав за користувачем — він сам починав «розмовляти» з сервером.
Shadowsocks спробував виглядати як ніщо
Однією з відповідей на DPI став Shadowsocks, створений китайським програмістом під псевдонімом clowwindy.
Його концепція суттєво відрізнялася від традиційних VPN. Розробники намагалися прибрати характерні ознаки протоколу, щоб потік зашифрованих даних був максимально схожий на випадковий шум.
У 2015 році сам clowwindy написав на GitHub, що до нього звернулася поліція з вимогою припинити роботу над проєктом та видалити код. Автор зупинив розробку, однак на той момент Shadowsocks уже був відкритим проєктом і продовжив існувати завдяки спільноті.
Технологічна боротьба на цьому не закінчилася.
У 2019 році дослідники з’ясували, що Великий фаєрвол навчився виявляти навіть Shadowsocks.
І для цього йому не обов’язково було розуміти вміст трафіку.
Система аналізувала довжину та ентропію першого пакета. Якщо він виглядав підозріло, сервер отримував серію активних запитів, за допомогою яких фаєрвол намагався підтвердити свою здогадку.
Фактично це нагадувало роботу детектора: спочатку знайти аномалію за непрямими ознаками, а вже потім провести додаткову перевірку.
У 2021 році правила гри змінилися
Нова система, яку дослідники зафіксували у листопаді 2021 року, виявилася ще цікавішою.
Протоколи Shadowsocks, VMess та obfs4 намагалися зробити кожен байт переданих даних максимально випадковим. Логіка була зрозумілою: якщо в потоці немає впізнаваного заголовка, сигнатури або структури, цензору начебто немає за що зачепитися.
Великий фаєрвол перетворив саме цю властивість на ознаку.
Дослідники GFW Report встановили, що система перевіряє перше корисне навантаження TCP-з’єднання за низкою евристичних правил.
Серед них — дуже груба оцінка випадковості за співвідношенням бітів, аналіз кількості друкованих ASCII-символів, їх розташування та пошук ознак відомих легітимних протоколів.
Ідея виявилася парадоксально простою.
Звичайний інтернет-трафік часто має структуру. Навіть HTTPS починається з TLS-рукостискання, яке містить впізнавані поля. А потік, який від самого першого байта виглядає ідеально випадковим, може виявитися саме тим, хто спеціально намагається нічим не виділятися.
Тобто «виглядати як ніщо» саме по собі стало підозрілою поведінкою.
При цьому некоректно говорити, що Китай просто створив абсолютний «білий список» і почав блокувати все інше. Дослідники описали набір правил-виключень, а сама фільтрація застосовувалася не до всього інтернету однаково та мала ймовірнісний характер.
За розрахунками авторів дослідження, якби алгоритм застосовувався глобально без обмежень, він міг би випадково зачіпати близько 0,6% звичайного інтернет-трафіку.
Маскування під HTTPS теж не стало остаточним рішенням
Подальша гонка перемістилася до протоколів, які намагаються не виглядати випадковим шумом, а навпаки — бути максимально схожими на звичайний HTTPS-трафік.
До цього покоління належить VLESS, перша публічна версія якого з’явилася у 2020 році.
Проте назвати його універсальною зброєю проти Великого фаєрволу не можна.
У жовтні 2022 року GFW Report зафіксував масштабне блокування серверів, що використовували TLS-базовані системи обходу цензури. Серед постраждалих називали Trojan, Xray, V2Ray із TLS та WebSocket, VLESS і gRPC.
Це добре демонструє головну особливість китайської системи: вона не є одним фільтром або одним алгоритмом.
DNS-підміна, блокування IP, аналіз SNI, DPI, статистичний аналіз трафіку та активне зондування можуть застосовуватися одночасно.
І метод, який працює сьогодні, не обов’язково працюватиме через рік.
Великий фаєрвол став лабораторією мережевої цензури
За десятиліття протистояння розробників та цензорів Великий китайський фаєрвол фактично перетворився на одну з найскладніших систем контролю інтернет-трафіку у світі.
Особливо показово те, що для блокування вже не обов’язково знати, що саме передає людина.
Достатньо аналізувати форму трафіку: розмір пакетів, їх послідовність, структуру початку з’єднання та реакцію сервера на спеціальні запити.
З іншого боку, кожен новий метод фільтрації породжує нове покоління технологій маскування. Tor, Shadowsocks, VMess, obfs4 та VLESS — фактично різні етапи однієї довгої технологічної гонки.
І ця історія показала доволі незвичайну річ: в інтернеті навіть ідеально зашифровані дані не обов’язково є невидимими. Іноді система може нічого не знати про їхній вміст, але все одно достатньо точно здогадуватися, навіщо вони передаються.
