v2rc中国の Great Firewall は、最もよく研究されている検閲システムです。そのおかげで、フォーラムの投稿だけでなく、査読付きの論文に記録されている部分もあります。この記事では、そうした知見と、検証されていない数多くの主張を分け、それらがプロトコル選びにとって何を意味するかを述べます。
研究が示していること
- Shadowsocks へのアクティブプロービング。 下に挙げる 2023 年の論文の著者によれば、中国は 2019 年 5 月から Shadowsocks に対して、受動的なトラフィック分析とアクティブプロービングを使ってきました。IMC 2020 の研究は、このシステムが疑わしいサーバーに自前のプローブを送り、Shadowsocks サーバーのように応答すればブロックする仕組みを説明しています。
- 完全に暗号化されたトラフィックのブロック。 2021 年 11 月、ファイアウォールは、最初のパケットが完全に暗号化されたデータに見える接続を、プロービングなしでリアルタイムにブロックし始めました。Wu et al. (USENIX Security 2023) は、この検出器がプロトコルを特定しようとはしていないことを示しています。検出器はまず、ランダムなデータに見えない最初のパケット（たとえば、見分けのつくプロトコルヘッダーで始まるものや、大半が印字可能文字でできているもの）を対象から外し、残ったものをブロックします。
- TLS の中の TLS。 Xue et al. (USENIX Security 2024) は、難読化された接続の内側に載せた TLS ハンドシェイクが、ランダムなパディングを入れてもプロキシを露呈させることを示しました。彼らは分類器を作り、中規模の ISP でテストしています。これは何が検出可能かを示す実証です。どの検閲当局がそれをどこまで広く使っているかは別の問題で、公開されている計測では決着していません。
プロトコル選びへの意味
| 構成 | 最初のパケットの見え方 | 2021 年の検出器への露出 |
|---|---|---|
| プラグインなしの Shadowsocks | ランダムなバイト列 | 対象グループに含まれる |
| 素の TCP 上の VMess | ランダムなバイト列 | 対象グループに含まれる |
| Trojan、または TLS 上の VLESS や VMess | TLS ハンドシェイク | そのグループには含まれない。ただし、アドレス、サーバー名、証明書のチェックにはさらされる |
| REALITY 付きの VLESS | 実在のサイトへの TLS ハンドシェイク | そのグループには含まれない。ただし、アドレスと TLS-in-TLS のパターンは依然として重要 |
論文から導かれる実践的なルールは、最初のパケットがランダムに見える構成を避け、本物の TLS ハンドシェイクで始まる構成を選ぶことです。選択肢はプロトコルガイドで説明しています。
当てにできないこと
2026 年の REALITY や特定の暗号の正確な検出率を示す投稿や、日付入りで段階的な強化を述べる投稿を目にするでしょう。独立した計測と照らして確認できたものは 1 つもなく、その多くは VPN サービスを販売する企業によるものです。ファイアウォールは変化し続けるので、どの構成もいつか使えなくなりうると考えるのが安全です。
役立つ習慣
- 異なるホストの予備を持ち、サブスクリプションを更新する。 アドレスによるブロックは日常的に行われています。
- 設定を公開しない。 共有されたアドレスは、より早くブロックされます。
- CDN の背後に置く場合（TLS と WebSocket 上の VLESS や Trojan）、サーバー自体のアドレスは隠れますが、CDN のアドレスが帯域制限を受けることはありえます。これについての報告はまちまちで、私たち自身は計測していません。
- 使うネットワークごとにテストする。 固定回線とモバイル回線では、挙動が違うことがあります。
- 主張は批判的に読む。 「検出されない」は、どのプロトコルも持っている性質ではありません。特定の時点における特定のファイアウォールについての言明です。
出典
- Wu et al.：How the Great Firewall of China Detects and Blocks Fully Encrypted Traffic, USENIX Security 2023
- Alice et al.：How China Detects and Blocks Shadowsocks, IMC 2020
- Xue, Kallitsis, Houmansadr, Ensafi：Fingerprinting Obfuscated Proxy Traffic with Encapsulated TLS Handshakes, USENIX Security 2024
- GFW Report：Great Firewall の継続的な計測