v2rcIl Great Firewall cinese è il sistema di censura più studiato, e questo aiuta: parte di ciò che fa è documentata in articoli sottoposti a peer review, non solo nei post dei forum. Questo articolo separa questi risultati dalle numerose affermazioni non verificate e spiega cosa implicano per la scelta del protocollo.
Cosa mostra la ricerca
- Sonde attive contro Shadowsocks. Secondo gli autori dell’articolo del 2023 qui sotto, la Cina usava l’analisi passiva del traffico e le sonde attive contro Shadowsocks già da maggio 2019. Lo studio IMC 2020 descrive come il sistema invii proprie sonde a un server sospetto e lo blocchi se risponde come un server Shadowsocks.
- Blocco del traffico completamente cifrato. A novembre 2021 il firewall ha iniziato a bloccare le connessioni il cui primo pacchetto sembra dati completamente cifrati, in tempo reale e senza sonde. Wu et al. (USENIX Security 2023) mostrano che il rilevatore non cerca di identificare un protocollo. Prima esenta i primi pacchetti che non sembrano dati casuali, per esempio quelli che iniziano con un’intestazione di protocollo riconoscibile o sono composti per lo più da caratteri stampabili, e blocca ciò che resta.
- TLS dentro TLS. Xue et al. (USENIX Security 2024) hanno mostrato che un handshake TLS trasportato dentro una connessione offuscata tradisce un proxy, anche con padding casuale. Hanno costruito un classificatore e lo hanno testato presso un ISP di medie dimensioni. È una dimostrazione di ciò che si può rilevare. Quanto sia diffuso il suo uso da parte dei censori è una questione a parte, che le misurazioni pubbliche non chiariscono.
Cosa significa per la scelta del protocollo
| Configurazione | Il primo pacchetto sembra | Esposizione al rilevatore del 2021 |
|---|---|---|
| Shadowsocks senza plug-in | Byte casuali | Nel gruppo preso di mira |
| VMess su TCP semplice | Byte casuali | Nel gruppo preso di mira |
| Trojan, o VLESS o VMess su TLS | Un handshake TLS | Non in quel gruppo; ancora esposto ai controlli su indirizzo, nome del server e certificato |
| VLESS con REALITY | Un handshake TLS verso un sito reale | Non in quel gruppo; contano ancora l’indirizzo e gli schemi TLS-in-TLS |
La regola pratica che discende dagli studi: evita le configurazioni il cui primo pacchetto ha un aspetto casuale e preferisci quelle che iniziano con un vero handshake TLS. La guida ai protocolli spiega le opzioni.
Su cosa non puoi contare
Troverai post che indicano tassi di rilevamento esatti per REALITY o per un cifrario specifico nel 2026, o che descrivono un’escalation con date precise. Non siamo riusciti a verificarne nessuno con misurazioni indipendenti, e la maggior parte proviene da aziende che vendono servizi VPN. Il firewall cambia, e l’ipotesi prudente è che qualsiasi singola configurazione possa smettere di funzionare.
Abitudini utili
- Tieni di scorta configurazioni di host diversi e aggiorna l’abbonamento. Il blocco per indirizzo è routine.
- Non pubblicare le configurazioni. Un indirizzo condiviso viene bloccato prima.
- Dietro una CDN (VLESS o Trojan su TLS e WebSocket) l’indirizzo del server resta nascosto, ma gli indirizzi della CDN possono essere rallentati. Le segnalazioni su questo punto variano e noi non l’abbiamo misurato.
- Prova su ogni rete che usi. Le reti fisse e mobili possono comportarsi in modo diverso.
- Leggi le affermazioni con spirito critico. “Non rilevabile” non è una proprietà di nessun protocollo. È un’affermazione che riguarda un particolare firewall in un particolare momento.
Fonti
- Wu et al.: How the Great Firewall of China Detects and Blocks Fully Encrypted Traffic, USENIX Security 2023
- Alice et al.: How China Detects and Blocks Shadowsocks, IMC 2020
- Xue, Kallitsis, Houmansadr, Ensafi: Fingerprinting Obfuscated Proxy Traffic with Encapsulated TLS Handshakes, USENIX Security 2024
- GFW Report: misurazioni continue sul Great Firewall