v2rcO Great Firewall da China é o sistema de censura mais estudado, e isso ajuda: parte do que ele faz está documentada em estudos revisados por pares, e não só em postagens de fóruns. Este artigo separa essas descobertas das muitas alegações não verificadas e diz o que elas implicam para a escolha do protocolo.
O que a pesquisa mostra
- Sondagem ativa do Shadowsocks. Segundo os autores do estudo de 2023 citado abaixo, a China usava análise passiva de tráfego e sondagem ativa contra o Shadowsocks desde maio de 2019. O estudo do IMC 2020 descreve como o sistema envia as próprias sondas a um servidor suspeito e o bloqueia se ele responder como um servidor Shadowsocks.
- Bloqueio de tráfego totalmente criptografado. Em novembro de 2021, o firewall passou a bloquear conexões cujo primeiro pacote parece dados totalmente criptografados, em tempo real e sem sondagem. Wu et al. (USENIX Security 2023) mostram que o detector não tenta identificar um protocolo. Primeiro ele isenta os primeiros pacotes que não parecem dados aleatórios, por exemplo os que começam com um cabeçalho de protocolo reconhecível ou são formados em sua maior parte por caracteres imprimíveis, e bloqueia o que sobra.
- TLS dentro de TLS. Xue et al. (USENIX Security 2024) mostraram que um handshake TLS transportado dentro de uma conexão ofuscada denuncia um proxy, mesmo com preenchimento aleatório. Eles construíram um classificador e o testaram em um provedor de internet de médio porte. Isso é uma demonstração do que é detectável. A extensão em que algum censor o usa de fato é outra questão, que as medições públicas não resolvem.
O que isso significa para a escolha do protocolo
| Configuração | Aparência do primeiro pacote | Exposição ao detector de 2021 |
|---|---|---|
| Shadowsocks sem plugin | Bytes aleatórios | No grupo-alvo |
| VMess sobre TCP simples | Bytes aleatórios | No grupo-alvo |
| Trojan, ou VLESS ou VMess sobre TLS | Um handshake TLS | Fora desse grupo; ainda sujeito a verificações de endereço, nome do servidor e certificado |
| VLESS com REALITY | Um handshake TLS para um site real | Fora desse grupo; o endereço e os padrões de TLS dentro de TLS ainda importam |
A regra prática que decorre dos estudos: evite configurações cujo primeiro pacote tenha aparência aleatória e prefira as que começam com um handshake TLS real. O guia de protocolos explica as opções.
Em que você não pode confiar
Você vai encontrar publicações que dão taxas de detecção exatas para o REALITY ou para uma cifra específica em 2026, ou que descrevem uma escalada datada. Não conseguimos verificar nenhuma delas com medições independentes, e a maioria vem de empresas que vendem serviços de VPN. O firewall muda, e a suposição segura é que qualquer configuração isolada pode parar de funcionar.
Hábitos que ajudam
- Mantenha reservas de hosts diferentes e atualize a assinatura. O bloqueio por endereço é rotina.
- Não publique configurações. Um endereço compartilhado é bloqueado mais cedo.
- Atrás de uma CDN (VLESS ou Trojan sobre TLS e WebSocket), o endereço do próprio servidor fica oculto, mas os endereços da CDN podem sofrer limitação de velocidade. Os relatos sobre isso variam e nós não medimos.
- Teste em cada rede que você usa. Redes fixas e móveis podem se comportar de forma diferente.
- Leia as alegações com espírito crítico. “Indetectável” não é uma propriedade que algum protocolo tenha. É uma afirmação sobre um firewall específico em um momento específico.
Fontes
- Wu et al.: How the Great Firewall of China Detects and Blocks Fully Encrypted Traffic, USENIX Security 2023
- Alice et al.: How China Detects and Blocks Shadowsocks, IMC 2020
- Xue, Kallitsis, Houmansadr, Ensafi: Fingerprinting Obfuscated Proxy Traffic with Encapsulated TLS Handshakes, USENIX Security 2024
- GFW Report: medições contínuas do Great Firewall