v2rcChinas Great Firewall ist das am besten untersuchte Zensursystem, und das hilft: Manches von dem, was sie tut, ist in begutachteten Fachartikeln dokumentiert, nicht nur in Forenbeiträgen. Dieser Artikel trennt diese Befunde von den vielen ungeprüften Behauptungen und sagt, was sie für die Wahl des Protokolls bedeuten.
Was die Forschung zeigt
- Aktives Probing von Shadowsocks. Nach Angaben der Autoren der unten genannten Studie von 2023 setzte China seit Mai 2019 passive Verkehrsanalyse und aktives Probing gegen Shadowsocks ein. Die IMC-2020-Studie beschreibt, wie das System eigene Sonden an einen verdächtigen Server schickt und ihn blockiert, wenn er wie ein Shadowsocks-Server antwortet.
- Blockieren von vollständig verschlüsseltem Datenverkehr. Im November 2021 begann die Firewall, Verbindungen zu blockieren, deren erstes Paket wie vollständig verschlüsselte Daten aussieht, in Echtzeit und ohne Probing. Wu et al. (USENIX Security 2023) zeigen, dass der Detektor nicht versucht, ein Protokoll zu identifizieren. Er nimmt zunächst erste Pakete aus, die nicht wie Zufallsdaten aussehen, etwa solche, die mit einem erkennbaren Protokoll-Header beginnen oder überwiegend aus druckbaren Zeichen bestehen, und blockiert, was übrig bleibt.
- TLS in TLS. Xue et al. (USENIX Security 2024) haben gezeigt, dass ein TLS-Handshake, der innerhalb einer verschleierten Verbindung läuft, einen Proxy verrät, selbst bei zufälligem Padding. Sie bauten einen Klassifikator und testeten ihn bei einem mittelgroßen Internetanbieter. Das zeigt, was erkennbar ist. Wie verbreitet ein Zensor es einsetzt, ist eine andere Frage, die öffentliche Messungen nicht klären.
Was das für die Wahl des Protokolls bedeutet
| Einrichtung | Das erste Paket sieht aus wie | Gefährdung durch den Detektor von 2021 |
|---|---|---|
| Shadowsocks ohne Plug-in | Zufällige Bytes | In der anvisierten Gruppe |
| VMess über reines TCP | Zufällige Bytes | In der anvisierten Gruppe |
| Trojan oder VLESS bzw. VMess über TLS | Ein TLS-Handshake | Nicht in dieser Gruppe; weiterhin Prüfungen von Adresse, Servername und Zertifikat ausgesetzt |
| VLESS mit REALITY | Ein TLS-Handshake zu einer echten Website | Nicht in dieser Gruppe; Adresse und TLS-in-TLS-Muster spielen weiterhin eine Rolle |
Die praktische Regel, die sich aus den Studien ergibt: Meide Einrichtungen, deren erstes Paket zufällig wirkt, und bevorzuge solche, die mit einem echten TLS-Handshake beginnen. Der Protokoll-Leitfaden erklärt die Optionen.
Worauf du dich nicht verlassen kannst
Du findest Beiträge, die genaue Erkennungsraten für REALITY oder für eine bestimmte Chiffre im Jahr 2026 nennen oder eine datierte Eskalation beschreiben. Wir konnten keine dieser Angaben anhand unabhängiger Messungen überprüfen, und die meisten Beiträge stammen von Unternehmen, die VPN-Dienste verkaufen. Die Firewall verändert sich, und die sichere Annahme ist, dass jede einzelne Einrichtung irgendwann nicht mehr funktionieren kann.
Gewohnheiten, die helfen
- Halte Ersatzkonfigurationen von verschiedenen Hosts bereit und aktualisiere dein Abonnement. Das Blockieren nach Adresse ist Routine.
- Veröffentliche keine Konfigurationen. Eine geteilte Adresse wird früher blockiert.
- Hinter einem CDN (VLESS oder Trojan über TLS und WebSocket) bleibt die eigene Adresse des Servers verborgen, aber die Adressen des CDN können gedrosselt werden. Die Berichte dazu sind uneinheitlich, und wir haben es nicht gemessen.
- Teste in jedem Netz, das du nutzt. Festnetz und Mobilfunk können sich unterschiedlich verhalten.
- Lies Behauptungen kritisch. „Nicht erkennbar“ ist keine Eigenschaft, die ein Protokoll hat. Es ist eine Aussage über eine bestimmte Firewall zu einem bestimmten Zeitpunkt.
Quellen
- Wu et al.: How the Great Firewall of China Detects and Blocks Fully Encrypted Traffic, USENIX Security 2023
- Alice et al.: How China Detects and Blocks Shadowsocks, IMC 2020
- Xue, Kallitsis, Houmansadr, Ensafi: Fingerprinting Obfuscated Proxy Traffic with Encapsulated TLS Handshakes, USENIX Security 2024
- GFW Report: laufende Messungen der Great Firewall