v2rcKinas Great Firewall er det best studerte sensursystemet, og det hjelper: noe av det den gjør, er dokumentert i fagfellevurderte artikler, ikke bare i forumsinnlegg. Denne artikkelen skiller disse funnene fra de mange uverifiserte påstandene og sier hva de betyr for valget av protokoll.
Hva forskningen viser
- Aktiv probing av Shadowsocks. Ifølge forfatterne av artikkelen fra 2023 nedenfor hadde Kina brukt passiv trafikkanalyse og aktiv probing mot Shadowsocks siden mai 2019. IMC 2020-studien beskriver hvordan systemet sender egne prober til en mistenkt server og blokkerer den hvis den svarer som en Shadowsocks-server.
- Blokkering av fullstendig kryptert trafikk. I november 2021 begynte brannmuren å blokkere tilkoblinger der den første pakken ser ut som fullstendig kryptert data, i sanntid og uten probing. Wu et al. (USENIX Security 2023) viser at detektoren ikke prøver å identifisere en protokoll. Den unntar først tilkoblinger der den første pakken ikke ser ut som tilfeldige data, for eksempel fordi den starter med en gjenkjennelig protokollheader eller for det meste består av skrivbare tegn, og blokkerer det som er igjen.
- TLS inne i TLS. Xue et al. (USENIX Security 2024) viste at et TLS-håndtrykk som føres inne i en obfuskert tilkobling avslører en proxy, selv med tilfeldig padding. De bygde en klassifikator og testet den hos en mellomstor internettleverandør. Det er en demonstrasjon av hva som kan oppdages. Hvor utbredt bruken er hos noen sensurmyndighet, er et eget spørsmål som offentlige målinger ikke avgjør.
Hva det betyr for valg av protokoll
| Oppsett | Første pakke ser ut som | Utsatt for detektoren fra 2021 |
|---|---|---|
| Shadowsocks uten plugin | Tilfeldige byte | I gruppen som rammes |
| VMess over vanlig TCP | Tilfeldige byte | I gruppen som rammes |
| Trojan, eller VLESS eller VMess over TLS | Et TLS-håndtrykk | Ikke i den gruppen; fortsatt utsatt for kontroller av adresse, servernavn og sertifikat |
| VLESS med REALITY | Et TLS-håndtrykk til et ekte nettsted | Ikke i den gruppen; adresse og TLS-in-TLS-mønstre har fortsatt betydning |
Den praktiske regelen som følger av artiklene: unngå oppsett der den første pakken ser tilfeldig ut, og foretrekk de som starter med et ekte TLS-håndtrykk. Protokollguiden forklarer alternativene.
Hva du ikke kan stole på
Du finner innlegg som oppgir nøyaktige deteksjonsrater for REALITY eller for et bestemt chiffer i 2026, eller som beskriver en datert opptrapping. Vi kunne ikke verifisere noen av dem mot uavhengige målinger, og de fleste kommer fra selskaper som selger VPN-tjenester. Brannmuren endrer seg, og den trygge antakelsen er at ethvert enkelt oppsett kan slutte å virke.
Vaner som hjelper
- Ha reserver fra ulike hostingleverandører og oppdater abonnementet. Blokkering på adresse er rutine.
- Ikke publiser konfigurasjoner. En delt adresse blir blokkert raskere.
- Bak et CDN (VLESS eller Trojan over TLS og WebSocket) er serverens egen adresse skjult, men CDN-ets adresser kan strupes. Rapportene om dette varierer, og vi har ikke målt det.
- Test på hvert nettverk du bruker. Fast og mobilt nett kan oppføre seg ulikt.
- Les påstandene kritisk. «Uoppdagelig» er ikke en egenskap noen protokoll har. Det er en påstand om en bestemt brannmur på et bestemt tidspunkt.
Kilder
- Wu et al.: How the Great Firewall of China Detects and Blocks Fully Encrypted Traffic, USENIX Security 2023
- Alice et al.: How China Detects and Blocks Shadowsocks, IMC 2020
- Xue, Kallitsis, Houmansadr, Ensafi: Fingerprinting Obfuscated Proxy Traffic with Encapsulated TLS Handshakes, USENIX Security 2024
- GFW Report: løpende målinger av Great Firewall